Ransom.Win32.SPOOSH.THGAGBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• %System%\cmd.exe /C "vssadmin delete shadows /all /quiet"
• %System%\cmd.exe /C "rd /s /q %systemdrive%\$Recycle.bin"
• %System%\WindowsPowershell\v1.0\powershell.exe -Command "New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name EnableLinkedConnections -Value 1 -PropertyType 'DWord'"
• %System%\WindowsPowershell\v1.0\powershell.exe -Command "get-service LanmanWorkstation |Restart-Service –Force"
• attrib.exe -R {Directory to Encrypt}\{File Name to Encrypt}.{File Extension to Encrypt}
• mshta.exe %System Root%\Boot\cs-CZ\information.hta

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Printers\SettingsLow
DI = {8 Random Alphanumeric Characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %AppDataLocal%\wallpaper.jpg

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• Agntsvc.exe
• Dbeng50.exe
• Dbsnmp.exe
• Encsvc.exe
• Excel.exe
• Firefox.exe
• Infopath.exe
• Isqlplussvc.exe
• Msaccess.exe
• Mspub.exe
• Mydesktopqos.exe
• Mydesktopservice.exe
• Notepad.exe
• Ocautoupds.exe
• Ocomm.exe
• Ocssd.exe
• Onenote.exe
• Oracle.exe
• Outlook.exe
• Powerpnt.exe
• Sqbcoreservice.exe
• Sql.exe
• Steam.exe
• Synctime.exe
• Tbirdconfig.exe
• Thebat.exe
• Thunderbird.exe
• Ut.exe
• Utweb.exe
• Visio.exe
• Winword.exe
• Wordpad.exe
• Xfssvccon.exe

Rutina de infiltración

Infiltra los archivos siguientes:

• %AppDataLocal%\wallpaper.jpg

Robo de información

Recopila los siguientes datos:

• Processor Name
• Memory
• Internal IP Address
• Manufacturer
• OS Version
• Computer Name
• Product Name
• External IP Address
• Device ID

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Printers\SettingsLow

Se conecta al sitio Web siguiente para enviar y recibir información:

• tcp://{BLOCKED}.{BLOCKED}.154.137:21119

Hace lo siguiente:

• It terminates itself if the computer language is Russian
• It downloads the desktop wallpaper to be set from the following url:
  
  • https://i.{BLOCKED}g.cc/JzpfvBFf/wallapaper.jpg
• It connects to the following url to identify the machine's external IP address:
  
  • https://{BLOCKED}rnalip.com