Ransom.Win64.HEXALOCK.THAOBBE.go

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %Application Data%\MyApp\myapp.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Infiltra los archivos siguientes:

• %System Root%\error_log.txt
• %AppDataLocal%\DataHexaLocker\data_{Random}.zip → contains stolen .pdf files

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Agrega los procesos siguientes:

• %System Root%\SGDYSRE67T43TVD6E5RD.exe
• wmic csproduct get UUID
• notepad %Desktop%\ReadMe.txt

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las carpetas siguientes:

• %Application Data%\MyApp
• %AppDataLocal%\DataHexaLocker

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MyAppAutostart = %Application Data%\MyApp\myapp.exe

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %System Root%\SGDYSRE67T43TVD6E5RD.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Recopila los siguientes datos:

• Machine UUID
• Machine IP Address
• Computer Name
• Salt and Key Used for Encryption
• Files in all available drives with the following extensions:
  • .pdf

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• https://{BLOCKED}cker.xyz/receive.php → URL where %AppDataLocal%\DataHexaLocker\data_{Random}.zip is being sent
• https://{BLOCKED}cker.xyz/index.php?method=new&hwid={Encoded UUID}&ip={Affected Machine's IP Address}&computername={Affected Machine's Computer Name}&password={Key}&sel={Salt} → URL where the affected system information and the salt and key used for encryption are being sent

  As of this writing, the said sites are inaccessible.

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .1cd
• .3ds
• .3fr
• .3g2
• .3gp
• .7z
• .7zip
• .accda
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .ace
• .adp
• .ai
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .amv
• .apk
• .arj
• .arw
• .ascx
• .asm
• .asmx
• .asp
• .aspx
• .avi
• .avs
• .backup
• .bak
• .bat
• .bay
• .bin
• .bk
• .blob
• .bmp
• .bz2
• .cab
• .cer
• .cfm
• .cmd
• .config
• .contact
• .core
• .cpp
• .crt
• .cs
• .css
• .csv
• .cub
• .cvs
• .dae
• .dat
• .db
• .dbf
• .dbx
• .dc3
• .dcm
• .dcr
• .dib
• .dic
• .dif
• .divx
• .djvu
• .dll
• .dmg
• .doc
• .docm
• .docx
• .dot
• .dotx
• .dwg
• .dwt
• .epsp
• .exe
• .exif
• .exr
• .f4v
• .flp
• .flv
• .geo
• .gif
• .gsm
• .gz
• .gzip
• .htm
• .html
• .ibank
• .ico
• .iff
• .inc
• .indd
• .ini
• .iso
• .jar
• .java
• .jpe
• .jpeg
• .jpg
• .js
• .json
• .jsp
• .key
• .kmz
• .kwm
• .lnk
• .log
• .lzh
• .m1v
• .m4a
• .m4p
• .m4v
• .max
• .mda
• .mdb
• .mde
• .mdf
• .mdw
• .mht
• .mhtml
• .mka
• .mkv
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .mpv
• .msg
• .msi
• .myi
• .nef
• .obj
• .odc
• .odm
• .odp
• .ods
• .odt
• .oft
• .onepkg
• .onetoc2
• .opt
• .oqy
• .orf
• .p12
• .p7b
• .p7c
• .pam
• .pas
• .pdb
• .pdf
• .pfx
• .php
• .pict
• .pl
• .pls
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppt
• .pptm
• .pptx
• .ps
• .psb
• .psd
• .pst
• .py
• .r3d
• .rar
• .raw
• .rb
• .rgbe
• .rss
• .rtf
• .safe
• .settings
• .sie
• .slk
• .sln
• .sql
• .stm
• .sum
• .svg
• .svgz
• .swf
• .swift
• .tab
• .tar
• .tar.gz
• .tbi
• .tif
• .torrent
• .txt
• .vb
• .vbs
• .vdi
• .vmdk
• .vob
• .vss
• .wallet
• .wav
• .webm
• .webp
• .wma
• .wmv
• .wpd
• .wps
• .xla
• .xlam
• .xlk
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xps
• .xsd
• .xsf
• .xsl
• .xz
• .zip

Hace lo siguiente:

• It adds its stolen .pdf files to the following .zip file:
  • %AppDataLocal%\DataHexaLocker\data_{Random}.zip