Ransom.Win32.MEDUSALOCKER.THIBHBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• To delete backup files:
  • vssadmmin.exe Delete Shadows /All /Quiet
  • wbadmin delete backup -keepVersion:0 -quiet
  • wbadmin DELETE SYSTEMSTATEBACKUP
  • wbadmin DELETE SYSTEMSTABACKUP -deleteOldest
  • wmic.exe SHADOWCOPY /nointeractive
• bcdedit.exe /set {default} recoverynabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• rem Kill \"SQL\"
• taskkill -f -m {Target process}
• net stop {Target service}
• taskkill /f /im explorer.exe
• start explorer.exe
• cipher /w\?\{Drive letter}: → removes deleted files permanently
• %System%\cmd.exe /c pause
• {Malware file path} -network

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BabyLockerKZ = {Malware file path}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLinkedConnections = 1

HKEY_CURRENT_USER\Software\PAIDMEMES
PUBLIC = {Ransomware public key}

HKEY_CURRENT_USER\Software\PAIDMEMES
PRIVATE = {Ransomware private key}

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• via net stop:
  • MSSQL$ISARS
  • MSSQL$MSFW
  • SQLAgent$ISARS
  • SQLAgent$MSFW
  • SQLBrowser
  • REportServer$ISARS
  • SQLWriter

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• via taskkill /f /im:
  • sqlbrowser.exe
  • sql writer.exe
  • sqlserv.exe
  • msmdsrv.exe
  • MsDtsSrvr.exe
  • sqlceip.exe
  • fdlauncher.exe
  • Ssms.exe
  • SQLAGENT.EXE
  • fdhost.exe
  • ReportingServicesService.exe
  • msftesql.exe
  • pg_ctl.exe
  • postgres.exe

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software
PAIDMEMES =

Hace lo siguiente:

• Empties Recycle Bin.
• it encrypts fixed, removable and network drives.
• It shows its logs within the command prompt: