Ransom.Win32.EMPIRE.THAOBBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• Notepad %Desktop%\HOW-TO-DECRYPT.txt
• "vssadmin.exe" delete shadows /all /quiet
• "Wbadmin.exe" DELETE SYSTEMSTATEBACKUP
• "Wbadmin.exe" DELETE SYSTEMSTATEBACKUP -deleteOldest
• "cmd.exe" /c vssadmin delete shadows /all /quiet
• Cmd.exe /c wmic shadowcopy delete
• Cmd.exe /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
• Cmd.exe /c bcdedit /set {default} recoveryenabled no
• Cmd.exe /c wbadmin delete catalog -quiet
• Cmd.exe /C choice /C Y /N /D Y /T 1 & Del {Malware File Path}

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• ntyUBXFQTHyHkrn

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

Hace lo siguiente:

• After its encryption, it display its ransom note
• Delete System Restore point
• Terminates itself if mutex is not created
• Connects to the following URL to send Keys(Password, Hwid, Salt):
  • https://{BLOCKED}54.xsph.ru/one.php
• It also encrypt removable and fixed drives