Ransom.Win64.MAGNIBER.YXCFF

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware se puede inyectar en los procesos que se ejecutan en la memoria.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• regsvr32.exe scrobj.dll /s /u /n /i:../../../Users/Public/{random}
• "%System%\vssadmin.exe" Delete Shadows /all /quiet
• "%System%\bcdedit.exe" /set {default} bootstatuspolicy ignoreallfailures
• "%System%\bcdedit.exe" /set {default} recoveryenabled no
• "%System%\wbadmin.exe" delete catalog -quiet
• "%System%\wbadmin.exe" delete systemstatebackup -quiet
• "%System%\fodhelper.exe"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Este malware se puede inyectar en los procesos que se ejecutan en la memoria.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\SOFTWARE\Classes\
ms-settings\shell\open\
command
(Default) = regsvr32.exe scrobj.dll /s /u /n /i:../../../Users/Public/{random}

Otros detalles

It connects to the following possibly malicious URL:

• {BLOCKED}.fightof.info/ytxaifbnj{random}