Ransom.AutoIt.ISHTAR.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Roba información sobre las cuentas de correo electrónico. Recopila información específica del sistema afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{5-12 Random Alphanumeric Characters}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Desktop%\{Malware File Name}.docx → Contains the generated 5-12 random alphanumeric characters
• %Application Data%\ISHTAR.DATA → Contains a generated key
• {Drive Letter}:\ISHTAR.DATA → Contains a generated key

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Infiltra y ejecuta los archivos siguientes:

• %Application Data%\{5-12 Random Alphanumeric Characters}.tmp → Contains the decrypted payload

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• %System%\cmd.exe /c "%Desktop%\{Malware File Name}.docx"
• %Application Data%\{5-12 Random Alphanumeric Characters}.exe
• %System%\cmd.exe /c ping -n 1 localhost > nul & del /f /q "{Malware File Path}\{Malware File Name}.exe"
• "%Application Data%\{5-12 Random Alphanumeric Characters}.exe" /AutoIt3ExecuteScript "%Application Data%\{5-12 Random Alphanumeric Characters}.tmp
• %System%\cmd.exe /c whoami /all
• "%System%\eventvwr.exe"
• "%System%\cmd.exe /c vssadmin delete shadows /all /quiet

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = %Application Data%\{5-12 Random Alphanumeric Characters}.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Classes\
mscfile\shell\open\
command
(Default) = %System%\cmd.exe /c vssadmin delete shadows /all /quiet

HKEY_CURRENT_USER\Software\Ishtr 1.0
Eop = Success

HKEY_CURRENT_USER\Software\Ishtr 1.0
Start = Success

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• Taskmgr.exe

Robo de información

Roba información sobre las cuentas de correo electrónico.

Recopila la siguiente información del sistema afectado:

• Security Identifier (SID)
• Product Name
• Computer Name
• Architecture

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.176/pw/gate.php

Otros detalles

Hace lo siguiente:

• It executes then deletes itself afterwards.
• It disables the user's mouse and keyboard.
• It is capable of locking the screen of the affected system.
• It displays the following GUI after it locks the screen: