Ransom.Win32.SCHOOBOS.A
Trojan:Win32/Lockbit.HA!MTB (MICROSOFT)
Windows
Tipo di minaccia informatica:
Ransomware
Distruttivo?:
No
Crittografato?:
In the wild::
Sì
Panoramica e descrizione
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Dettagli tecnici
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Instalación
Infiltra los archivos siguientes:
- %ProgramData%\exxga8oKd.ico → icon used for all encrypted files.
- %ProgramData%\exxga8oKd.bmp → image to set as system wallpaper after encryption
Agrega los procesos siguientes:
- bcdedit /set {current} safeboot network → if -safe commandline parameter is used
Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:
- Global\3620d3a865322698b9aafc9c1d227fe9
Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce → if -safe commandline parameter is used
{Random Characters} = {Malware Path}\{Malware File Name}
Otras modificaciones del sistema
Modifica las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.exxga8oKd
(Defaut) = exxga8oKd
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exxga8oKd\DefaultIcon
(Defaut) = %ProgramData%\exxga8oKd.ico
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 38
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon → if -safe commandline parameter is used
AutoAdminLogon = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon → if -safe commandline parameter is used
DefaultUserName = Administrator
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon → if -safe commandline parameter is used
DefaultDomainName = {Computer Domain Name}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exxga8oKd → if -safe commandline parameter is used
hScreen = 928
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exxga8oKd → if -safe commandline parameter is used
wScreen = 1918
Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:
HKEY_CURRENT_USER\Control Panel\Desktop
WallPaper = %ProgramData%\exxga8oKd.bmp
HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 10
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %ProgramData%\exxga8oKd.bmp
Este malware establece la imagen siguiente como fondo de escritorio del sistema:
Infección de archivo
Evita infectar archivos que contienen las cadenas siguientes en sus nombres:
- autorun.inf
- boot.ini
- bootfont.bin
- bootsect.bak
- desktop.ini
- iconcache.db
- ntldr
- ntuser.dat
- ntuser.dat.log
- ntuser.ini
- thumbs.db
Finalización del proceso
Finaliza los servicios siguientes si los detecta en el sistema afectado:
- vss
- sql
- svc$
- memtas
- mepocs
- msexchange
- sophos
- veeam
- backup
- GxVss
- GxBlr
- GxFWD
- GxCVD
- GxCIMgr
Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:
- sql
- oracle
- ocssd
- dbsnmp
- synctime
- agntsvc
- isqlplussvc
- xfssvccon
- mydesktopservice
- ocautoupds
- encsvc
- firefox
- tbirdconfig
- mydesktopqos
- ocomm
- dbeng50
- sqbcoreservice
- excel
- infopath
- msaccess
- mspub
- onenote
- outlook
- powerpnt
- steam
- thebat
- thunderbird
- visio
- winword
- wordpad
- notepad
- calc
- wuauclt
- onedrive
Robo de información
Acepta los siguientes parámetros:
- -safe →Reboots in safeboot, then encrypts the user's machine
- -wall → Changes system Wallpaper and Print ransom note on printers then deletes itself after renaming for 26 times.
- -path {target} → Specifically encrypt the target, can be file or folder
- -gspd → Perform Group Policy Modification for Lateral Movement
- -psex → Lateral Movement via Admin Shares
- -gdel → Delete group policy updates
- -del → Deletes itself after renaming for 26 times.
Otros detalles
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.exxga8oKd
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exxga8oKd
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exxga8oKd\DefaultIcon
Hace lo siguiente:
- If not executed with admin rights, it will attempt to relaunch itself as admin by elevating its privileges via bypassing UAC
- It encrypts fixed, removable and network shares
- It deletes files in recycle bin folder for removable and fixed drives
- It uses WQL to delete shadow copies
- It renames itself 26 times before deleting itself after encryption
- It has the capability to print the ransom note in infected machines
- It terminates if the machine has the following system language:
- Arabic (Syria)
- Armenian (Armenia)
- Azerbaijani (Cyrillic Azerbaijan)
- Azerbaijani (Latin Azerbaijan)
- Belarusian (Belarus)
- Georgian (Georgia)
- Kazakh (Kazakhstan)
- Kyrgyz (Kyrgyzstan)
- Russian (Moldova)
- Russian (Russia)
- Tajik (Cyrillic Tajikistan)
- Tatar (Russia) Romanian (Moldova)
- Turkmen (Turkmenistan)
- Ukranian (Ukraine)
- Uzbek (Cyrillic Uzbekistan)
- Uzbek (Latin Uzbekistan)
- It deletes the following services with corresponding hashes:
- 0xE3823BF2
- 0xE42EE5F5
- 0xC46F5935
- 0xE1D75A35 → wdnissvc
- 0xB7BA4173 → WinDefend
- 0x6AFA4DBA → wscsvc
- 0xEAEB1DB8 → sppsvc
- 0x5F2E6CFA → Sense
- 0x616E5B6A → SecurityHealthService
Soluzioni
Step 2
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 3
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 4
Reiniciar en modo seguro
Step 5
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exxga8oKd
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exxga8oKd\DefaultIcon
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
- GlobalAssocChangedCounter = 38
- GlobalAssocChangedCounter = 38
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- AutoAdminLogon = 1
- AutoAdminLogon = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultUserName = Administrator
- DefaultUserName = Administrator
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultDomainName = {Computer Domain Name}
- DefaultDomainName = {Computer Domain Name}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exxga8oKd
- hScreen = 928
- hScreen = 928
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exxga8oKd
- wScreen = 1918
- wScreen = 1918
Step 6
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exxga8oKd
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exxga8oKd
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exxga8oKd\DefaultIcon
Step 7
Restaurar este valor del Registro modificado
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Control Panel\Desktop
- WallPaper = %ProgramData%\exxga8oKd.bmp
- WallPaper = %ProgramData%\exxga8oKd.bmp
- In HKEY_CURRENT_USER\Control Panel\Desktop
- WallpaperStyle = 10
- WallpaperStyle = 10
- In HKEY_CURRENT_USER\Control Panel\Desktop
- Wallpaper = %ProgramData%\exxga8oKd.bmp
- Wallpaper = %ProgramData%\exxga8oKd.bmp
Step 8
Buscar y eliminar este archivo
- %ProgramData%\exxga8oKd.ico
- %ProgramData%\exxga8oKd.bmp
- %Desktop%\exxga8oKd.README.txt
- {Encrypted Directory}\exxga8oKd.README.txt
Step 9
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Ransom.Win32.SCHOOBOS.A En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Step 10
Restore encrypted files from backup.
Step 11
Restablecer las propiedades del escritorio
Sondaggio