Ransom.Win32.ZHEN.THIBDBO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• If not run in %ProgramData% directory
  • %ProgramData%\{malware name} -copy of itself
• %Public%\Desktop\Decryptor.lnk - shortcut to %ProgramData%\{malware name} -ui
• %Public%\Desktop\Read For Decryption.lnk - shortcut to ransome note in %ProgramData%\read.ini
• %ProgramData%\1.bmp - used as desktop background after malware execution
• %ProgramData%\MSWINSCK.OCX -normal dll file
• %ProgramData%\x86.exe - detected as HackTool.Win32.MIMIKATZ.SMGD
• %ProgramData%\chk.dat - empty file used as indicator

Agrega los procesos siguientes:

• %ProgramData%\{malware name} - if malware is not run in %ProgramData%
• "%System%\taskkill.exe" /F /IM MSExchange*
• "%System%\taskkill.exe" /F /IM Microsoft*
• "%System%\taskkill.exe" /F /IM ora*
• "%System%\taskkill.exe" /F /IM tns*
• "%System%\taskkill.exe" /F /IM sql*
• "%System%\taskkill.exe" /F /IM postgres*
• "%System%\cmd.exe" /c logoff
• "%System%\wbadmin.exe" delete catalog -quiet
• "%System%\bcedit.exe" /set {default} bootstatuspolicy ignoreallfailures
• "%System%\bcedit.exe" /set {default} recoveryenabled no

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
Zhen = "C:\ProgramData\{malware name}" -ui

Otras modificaciones del sistema

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• mysqld.exe
• sqlservr.exe
• sqlwriter.exe
• sqlceip.exe
• TiWorker.exe
• mcbuilder.exe
• jenkins.exe
• java.exe

Otros detalles

Hace lo siguiente:

• It shows the following after the user logs in to show bitcoin payment window:
  • 
• It does the following using HackTool.Win32.MIMIKATZ.SMGD
  • Checks if it has appropriate permissions to continue
  • Lists all available provider credentials
  • Impersonates a token
  • Get the SysKey to decrypt SAM entries (from registry or hive)
• It also encrypts files in removable drives.