Ransom.MSIL.SHINOLOCK.THKBCBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %User Temp%\{Random filename 1}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %User Temp%\{Random filename 3}.txt → sample file to encrypt
• %User Temp%\{Random filename 4}.lst → contains the list of encrypted files

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\{Random filename 2}.exe → AES Encryptor/Decryptor

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%System%\vssadmin.exe" delete shadows /all /quiet
• "%User Temp%\{Random filename 2}.exe" E Wez03hsEhpTFfcIBCH1CnQ== D91JCmhNvM0wuImxRf7PuQ== "%User Temp%\{Random filename 3}.txt" → AES Encryptor to encrypt sample file
• "%User Temp%\{Random filename 2}.exe" D D91JCmhNvM0wuImxRf7PuQ== "%User Temp%\{Random filename 3}.txt.shino" → AES Decryptor to decrypt sample file
• "%User Temp%\{Random filename 2}.exe" E Wez03hsEhpTFfcIBCH1CnQ== D91JCmhNvM0wuImxRf7PuQ== "%Desktop%\{target file}" → AES Encryptor to encrypt target files in Desktop folder
• "%User Temp%\{Random filename 2}.exe" E Wez03hsEhpTFfcIBCH1CnQ== D91JCmhNvM0wuImxRf7PuQ== "%Desktop%\{subfolders}\{target file}" → AES Encryptor to encrypt target files in Desktop subfolders

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\ShinoLocker
P = %User Temp%\{Random filename 1}.exe

HKEY_CURRENT_USER\Software\ShinoLocker
PS = %User Temp%\{Random filename 2}.exe

HKEY_CURRENT_USER\Software\ShinoLocker
FL = %User Temp%\{Random filename 4}.lst

HKEY_CURRENT_USER\Software\ShinoLocker
TF = %User Temp%\{Random filename 3}.txt

HKEY_CURRENT_USER\Software\ShinoLocker
TD = {string}

HKEY_CURRENT_USER\Software\ShinoLocker
H = 1

HKEY_CURRENT_USER\Software\ShinoLocker
V = "{B64 string}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
BitBucket\c
NeedToPurge = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.shino
(Default) = ShinoLockerEncryptedFile

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShinoLockerEncryptedFile\shell\open\
command
(Default) = %User Temp%\{Random filename 1}.exe "%l"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ShinoLockerEncryptedFile\DefaultIcon
(Default) = %User Temp%\{Random filename 1}.exe, 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 37

Andere Details

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• Restore Encrypted files
• Uninstall itself

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .bmp
• .jpg
• .jpeg
• .png
• .wmv
• .avi
• .mov
• .mp4
• .mp3
• .wav
• .pptx
• .doc
• .docx
• .xls
• .xlsx
• .doc

Es macht Folgendes:

• It displays the following user interface upon execution:
  
• It replaces the encrypted files' icon with the malware's icon.