Ransom.Win32.NEMTY.THBOCBO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• cmd.exe/c vssadmin resize shadowstorage /for=A: /on=A: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=A: /on=A: /maxsize=unbounded;
• cmd.exe/c vssadmin resize shadowstorage /for=C: /on=C: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=C: /on=C: /maxsize=unbounded;
• cmd.exe/c vssadmin resize shadowstorage /for=D: /on=D: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=D: /on=D: /maxsize=unbounded;
• cmd.exe/c vssadmin resize shadowstorage /for=F: /on=F: /maxsize=401MB;
• cmd.exe/c vssadmin resize shadowstorage /for=F: /on=F: /maxsize=unbounded;
• "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -e {Base64 command};
• cmd.exe/c "{User Profile}\NEMTY_{7 random characters}-DECRYPT.txt";

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\NEMTY
fid = "_NEMTY_{7 random characters}_"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
daite drobovik = {Malware Name}.exe

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• DbxSvc
• OracleXETNSListener
• OracleServiceXE
• AcrSch2Svc
• AcronisAgent
• Apache2.4
• SQLWriter
• MSSQL$SQLEXPRESS
• MSSQLServerADHelper100
• MongoDB
• SQLAgent$SQLEXPRESS
• SQLBrowser
• CobianBackup11
• cbVSCService11

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• sql
• winword
• wordpad
• outlook
• thunderbird
• oracle
• excel
• onenote
• virtualboxvm

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\NEMTY

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://{BLOCKED}y10.hk/public/gate.php?data={configuration}

Hace lo siguiente:

• It encrypts files in fixed, removable, and network drives.
• It will not proceed with its routine if found not running on any of the following:
  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows XP