Ransom.Linux.BLACKMATTER.RTS

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• tmp\main.log

Agrega los procesos siguientes:

• esxcli network firewall set --enabled false -> Disables firewall
• esxcli vm process kill --type=force --world-id {ID} -> Terminates virtual machines

Se ejecuta y, a continuación, se elimina.

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• vmsyslogd

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}hacks.com/?{encrypted gathered information}
• http://{BLOCKED}den.com/?{encrypted gathered information}

Otros detalles

Hace lo siguiente:

• It does not terminate virtual machine processes with the following strings in its filepath:
  • VMWare vCenter
  • VMWare-VirtualSAN-Witness