Ransom.MSIL.CORVINA.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se propaga a través de las redes compartidas e infiltra copias de sí mismo en las redes disponibles.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %AppDataLocal%\{filename}{file extension}
• filename can be any of the following:
  • lsass
  • csrss
  • avp
  • winlogon
  • cacls
  • cftmon
  • GrooveMonitor
  • scvhost
  • inetinf
  • spoolsv
  • drwtsn
  • MSServer
  • rundll32
  • dumprep
  • Cmdlg
  • msiexec
  • ccEtvMgr
  • wuauclt
  • osk
  • sihost
• file extension can be any of the following:
  • .exe
  • .src

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 2A2B2425586352797054307225242B2A

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• 0f81f97a-aaa6-4401-ae29-184e4f718009.lnk - dropped copy
• c4e69908-3cf5-42d4-b396-ca66b478f349.lnk - ransom note

Propagación

Se propaga a través de las redes compartidas e infiltra copias de sí mismo en las redes disponibles.

Robo de información

Recopila los siguientes datos:

• Machine Name
• User Name
• Current date and time
• Hardware identification
• Randomly generated password

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• https://n2019cov.{BLOCKED}hostapp.com/prueba.php

Otros detalles

Hace lo siguiente:

• Encrypts files in all the drives except files in protected folders
• Checks if:
  • VM is present
  • Operating system is Windows XP
  • Debugger is Attached
  • SbieDll.dll is loaded
  • vboxhook.dll is in environment variable
  • If any of the conditions above is met it starts the following process:
  • cmd.exe /c ping0 -n 2 & del\{malware path and filename}
  • ping 0 -n 2
• Drops copies of itself via shared network:
  • %SystemRoot%\User\{string1}{string2}
  • string1 can be any of the following:
  • video
  • foto
  • amor
  • sexo
  • secreto
  • string2 can be any of the following:
  • .pif
  • .com
  • .scr