Ransom.Win32.MEDUSALOCKER.THIBHBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• To delete backup files:
  • vssadmmin.exe Delete Shadows /All /Quiet
  • wbadmin delete backup -keepVersion:0 -quiet
  • wbadmin DELETE SYSTEMSTATEBACKUP
  • wbadmin DELETE SYSTEMSTABACKUP -deleteOldest
  • wmic.exe SHADOWCOPY /nointeractive
• bcdedit.exe /set {default} recoverynabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• rem Kill \"SQL\"
• taskkill -f -m {Target process}
• net stop {Target service}
• taskkill /f /im explorer.exe
• start explorer.exe
• cipher /w\?\{Drive letter}: → removes deleted files permanently
• %System%\cmd.exe /c pause
• {Malware file path} -network

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BabyLockerKZ = {Malware file path}

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

HKEY_CURRENT_USER\Software\PAIDMEMES
PUBLIC = {Ransomware public key}

HKEY_CURRENT_USER\Software\PAIDMEMES
PRIVATE = {Ransomware private key}

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• via net stop:
  • MSSQL$ISARS
  • MSSQL$MSFW
  • SQLAgent$ISARS
  • SQLAgent$MSFW
  • SQLBrowser
  • REportServer$ISARS
  • SQLWriter

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• via taskkill /f /im:
  • sqlbrowser.exe
  • sql writer.exe
  • sqlserv.exe
  • msmdsrv.exe
  • MsDtsSrvr.exe
  • sqlceip.exe
  • fdlauncher.exe
  • Ssms.exe
  • SQLAGENT.EXE
  • fdhost.exe
  • ReportingServicesService.exe
  • msftesql.exe
  • pg_ctl.exe
  • postgres.exe

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software
PAIDMEMES =

Es macht Folgendes:

• Empties Recycle Bin.
• it encrypts fixed, removable and network drives.
• It shows its logs within the command prompt: