Ransom.Win32.LOCKBIT.EOC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna capacidad para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Drive Letter}:\{Random characters}.lock
• %System%\{Random characters}.ico → icon used for encrypted files
• %User Temp%\{Random characters}.tmp.bmp → image used as wallpaper after encryption

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• "%System%\cmd.exe" /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
• "%System%\mshta.exe" "%Desktop%\LockBit_Ransomware.hta" {1E460BD7-F1C3-4B2E-88BF-4E770A288AF5}{1E460BD7-F1C3-4B2E-88BF-4E770A288AF5}
• "%System%\cmd.exe" /C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 "{Malware Path}\{Malware Filename}.exe" & Del /f /q "{Malware Path}\{Malware Filename}.exe"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {2616EB00-2616-3573-8C49-ECBDBD33ECCC}

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "{Malware Path}\{Malware File Name}" → deleted after successful encryption

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Desktop%\LockBit_Ransomware.hta" → to enable automatic display of dropped .hta file

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\.lockbit
(Default) = LockBit

HKEY_CLASSES_ROOT\Lockbit
(Default) = LockBit Class

HKEY_CLASSES_ROOT\Lockbit\DefaultIcon
(Default) = %System%\{random}.ico

HKEY_CLASSES_ROOT\Lockbit\shell\
Open\Command
(Default) = %System%\mshta.exe %Desktop%\LockBit_Ransomware.hta

HKEY_CURRENT_USER\Software\40D9EB00167349
Private = {Generated session key}

HKEY_CURRENT_USER\Software\40D9EB00167349
Public = {Generated session key}

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 2

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{4 Random Characters}.tmp.bmp

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• AcronisAgent
• AcrSch2Svc
• ARSM
• backup
• BackupExecAgentAccelerator
• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• BackupExecRPCService
• BackupExecVSSProvider
• bedbg
• CAARCUpdateSvc
• CASAD2DWebSvc
• ccEvtMgr
• ccSetMgr
• Culserver
• dbeng8
• dbsrv12
• DefWatch
• FishbowlMySQL
• Intuit.QuickBooks.FCS
• memtas
• mepocs
• MSExchange
• MSExchange$
• msftesql-Exchange
• msmdsrv
• MSSQL
• MSSQL$
• MSSQL$KAV_CS_ADMIN_KIT
• MSSQL$MICROSOFT##SSEE
• MSSQL$MICROSOFT##WID
• MSSQL$MICROSOFT##WID
• MSSQL$SBSMONITORING
• MSSQL$SHAREPOINT
• MSSQL$VEEAMSQL2012
• MSSQLFDLauncher$SBSMONITORING
• MSSQLFDLauncher$SHAREPOINT
• MSSQLServerADHelper100
• MVArmor
• MVarmor64
• MySQL57
• PDVFSService
• QBCFMonitorService
• QBFCService
• QBIDPService
• QBVSS
• RTVscan
• SavRoam
• sophos
• sql
• sqladhlp
• SQLADHLP
• sqlagent
• SQLAgent$KAV_CS_ADMIN_KIT
• SQLAgent$SBSMONITORING
• SQLAgent$SHAREPOINT
• SQLAgent$VEEAMSQL2012
• sqlbrowser
• SQLBrowser
• Sqlservr
• SQLWriter
• stc_raw_agent
• svc$
• tomcat6
• veeam
• VeeamDeploymentService
• VeeamNFSSvc
• VeeamTransportSvc
• vmware-converter
• vmware-usbarbitator64
• VSNAPVSS
• vss
• wrapper
• WSBExchange
• YooBackup
• YooIT
• zhudongfangyu

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• 360doctor
• 360se
• acwebbrowser
• ADExplorer
• ADExplorer64
• ADExplorer64a
• Adobe CEF
• Adobe Desktop Service
• AdobeCollabSync
• AdobeIPCBroker
• agntsvc
• AutodeskDesktopApp
• Autoruns
• Autoruns64
• Autoruns64a
• Autorunsc
• Autorunsc64
• Autorunsc64a
• avz
• axlbridge
• bedbh
• benetns
• bengien
• beserver
• BrCcUxSys
• BrCtrlCntr
• CagService
• CoreSync
• Creative Cloud
• Culture
• dbeng50
• dbsnmp
• Defwatch
• DellSystemDetect
• dumpcap
• encsvc
• EnterpriseClient
• excel
• fbguard
• fbserver
• fdhost
• fdlauncher
• GDscan
• GlassWire
• GWCtlSrv
• Helper
• httpd
• infopath
• InputPersonalization
• isqlplussvc
• j0gnjko1
• java
• koaly-exp-engine-service
• msaccess
• MsDtSrvr
• mspub
• mydesktopqos
• mydesktopservice
• mysqld
• node
• notepad
• notepad++
• ocautoupds
• ocomm
• ocssd
• onenote
• ONENOTEM
• oracle
• outlook
• powerpnt
• ProcessHacker
• Procexp
• Procexp64
• procexp64a
• procmon
• procmon64
• procmon64a
• pvlsvr
• QBDBMgr
• QBDBMgrN
• QBIDPService
• qbupdate
• QBW32
• Raccine
• Raccine_x86
• RaccineElevatedCfg
• RaccineSettings
• RAgui
• raw_agent_svc
• RdrCEF
• RTVscan
• sam
• Simply
• SimplyConnectionManager
• sqbcoreservice
• sqlbrowser
• sqlmangr
• Sqlservr
• Ssms
• steam
• supervise
• sync-taskbar
• synctime
• sync-worker
• Sysmon
• Sysmon64
• SystemExplorer
• SystemExplorerService
• SystemExplorerService64
• SystemTrayIcon
• tbirdconfig
• tcpview
• tcpview64
• tcpview64a
• tdsskiller
• TeamViewer
• TeamViewer_Service
• thebat
• thunderbird
• TitanV
• tomcat6
• Totalcmd
• Totalcmd64
• tv_w32
• tv_x64
• VeeamDeploymentSvc
• visio
• vsnapvss
• vxmon
• wdswfsafe
• winword
• WireShark
• wordpad
• wsa_service
• wxServer
• wxServerView
• xfssvccon
• ZhuDongFangYu

Robo de información

Este malware no tiene ninguna capacidad para robar información.

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\40D9EB00167349

HKEY_CLASSES_ROOT\.lockbit

HKEY_CLASSES_ROOT\Lockbit

Hace lo siguiente:

• It retrieves the computer's default language and geoID, then terminates itself if any of the following languages or locations are found:
  • Azerbaijani (Cyrillic, Azerbaijan)
  • Azerbaijani (Latin, Azerbaijan)
  • Armenian (Armenia)
  • Belarusian (Belarus)
  • Georgian (Georgia)
  • Kazakh (Kazakhstan)
  • Kyrgyz (Kyrgyzstan)
  • Russian (Moldova)
  • Russian (Russia)
  • Tajik (Cyrillic, Tajikistan)
  • Turkmen (Turkmenistan)
  • Uzbek (Cyrillic, Uzbekistan)
  • Uzbek (Latin, Uzbekistan)
  • Ukrainian (Ukraine)
• It encrypts files found in the following drive types:
  • Fixed drive
  • Removable drive
  • Network drive
  • RAM Disks
• It enumerates printers in the network to print the ransom note.
• It retrieves connected machines in the network using LDAP queries.
• It performs a group policy update to connected machines for propagation and execution.
• It creates a scheduled task with random file name to execute the copied ransomware and terminate processes.
• It bypasses UAC to escalate its privileges on infected machines.
• It modifies the following files inside the SYSVOL folder for modification of group policies:
  • Registry.pol
  • comment.cmtx
  • NetworkShares.xml
  • Services.xml
  • ScheduledTasks.xml
• It pushes the following group policy updates to disable malware protection on queried machines:
  • [Software\Policies\Microsoft\Windows Defender;DisableAntiSpyware]
  • [Software\Policies\Microsoft\Windows Defender\Real-Time Protection;DisableRealtimeMonitoring]
  • [Software\Policies\Microsoft\Windows Defender\Spynet;SubmitSamplesConsent]
  • [Software\Policies\Microsoft\Windows Defender\Threats;Threats_ThreatSeverityDefaultAction]
  • [Software\Policies\Microsoft\Windows Defender\Threats\ThreatSeverityDefaultAction]
  • [Software\Policies\Microsoft\Windows Defender\UX Configuration;Notification_Suppress]
• It drops copies of itself in the following directory of connected machines.
  • %Desktop%\{Random characters}.exe

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).