Ransom.Win32.DARKSIDE.FAIO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %All Users Profile%\{Generated Extension}.ico → Icon for encrypted files.
• %All Users Profile%\{Generated Extension}.BMP → Used as wallpaper.

Agrega los procesos siguientes:

• {Malware Directory}\{Malware Filename} -work worker{Number} job{Number}-{4-Digit Number} → For every drive that it will encrypt.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{32-Hex Characters generated from Machine GUID}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{Generated Extension}
(Default) = {Generated Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{Generated Extension}\DefaultIcon
(Default) = %All Users Profile%\{Generated Extension}.ico

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_USERS\{USER SID}\Control Panel\
Desktop
Wallpaper = %All Users Profile%\{Generated Extension}.BMP

HKEY_USERS\{USER SID}\Control Panel\
Desktop
WallpaperStyle = 10

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• vss
• sql
• svc$
• memtas
• mepocs
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• sql
• oracle
• ocssd
• dbsnmp
• synctime
• agntsvc
• isqlplussvc
• xfssvccon
• mydesktopservice
• ocautoupds
• encsvc
• firefox
• tbirdconfig
• mydesktopqos
• ocomm
• dbeng50
• sqbcoreservice
• excel
• infopath
• msaccess
• mspub
• onenote
• outlook
• powerpnt
• steam
• thebat
• thunderbird
• visio
• winword
• wordpad
• notepad

Robo de información

Recopila los siguientes datos:

• Username
• Computer Name
• Domain Name
• OS Information (Type, Version, Architecture)
• System Language
• Drives Information (Drive Names, Drive Space)

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• bar{BLOCKED}ees.com

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{Generated Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{Generated Extension}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{Generated Extension}\DefaultIcon

Hace lo siguiente:

• It checks computer's language and will terminate itself if any of the following language is detected:
  • Arabic
  • Armenian
  • Azerbaijani
  • Belarusian
  • Georgian
  • Kazakh
  • Kyrgyz
  • Romanian
  • Russian
  • Tajik
  • Tatar
  • Turkmen
  • Ukranian
  • Uzbek
• It checks if it is running with a privilege level that is on SYSTEM level. If it is not, it will do the following:
  • If it is running on a non-administrator account and the os version is Windows 7 or above it will use the Elevated COM Object UAC Bypass technique to execute an instance of itself with SYSTEM level privilege.
  • If it is running on an administrator account it would add the following service then start and use the service to execute an instance of itself with SYSTEM level privilege. The service is deleted after it is used.
    • Service Name: .{Generated Extension}
    • Binary Pathname: {Malware Directory}\{Malware Filename}
• It searches for files to encrypt in fixed drives, removable drives, and network resources.
• It empties the recycle bin.
• It deletes shadow copies.