Ransom.Win32.LOKILOCKER.YXBIG

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\{Random characters}.loki -> set as the desktop background
• {Malware directory}\logs.txt -> logs information regarding the sample's operation

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• vssadmin delete shadows /all /quiet
• wmic shadowcopy delete
• wbadmin delete catalog -quiet
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• netsh advfirewall set currentprofile state off
• netsh firewall set opmode mode=disable

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• LokiLocker

Técnica de inicio automático

Infiltra los archivos siguientes:

• %User Startup%\winlogon.exe
• %Common Startup%\winlogon.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Loki

HKEY_CURRENT_USER\Software\Loki
public = {hex bytes}

HKEY_CURRENT_USER\Software\Loki
full = {hex bytes}

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real Time Protection
DisableBehaviorMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real Time Protection
DisableOnAccessProtection = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real Time Protection
DisableScanOnRealtimeEnable = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
legalnoticecaption = Encrypted by Loki locker

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\OEMInformation
Manufacturer = Encrypted by Loki locker

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\OEMInformation
SupportPhone = All your files have been encrypted . . . . . . . @ProtonMail.Com

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{Random characters}.loki

Finalización del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• wxserver
• wxserverview
• sqlservr
• ragui
• supervise
• culture
• rtvscan
• defwatch
• sqlbrowser
• winword
• qbw32
• qbdbmgr
• qbupdate
• qbcfmonitorservice
• axlbridge
• qbidpservice
• httpd
• fdlauncher
• msdtsrvr
• tomcat6
• zhudongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• notepad
• defwatch
• ccevtmgr
• ccsetmgr
• savroam
• sqlserv
• sqlagent
• sqladhlp
• culserver
• rtvscan
• sqlbrowser
• sqladhlp
• qbidpservice
• quickboooks.fcs
• qbcfmonitorservice
• sqlwriter
• msmdsrv
• tomcat6
• zhundongfangyu
• vmware-usbarbitator64
• vmware-converter
• dbsrv12
• dbeng8
• wrapper
• mssqlserver
• mssql$contoso1
• msdtc
• sqlserveragent
• vds

Robo de información

Recopila los siguientes datos:

• Unique ID
• Disk Space

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• {BLOCKED}cker.one/index.php

Otros detalles

Hace lo siguiente:

• It checks for 'loki.txt' as its configuration file:
  
• loki.txt contains the following configurations:
  • nocdrive
  • update
  • nostartup
  • disabletask
  • clast
  • norun
  • shutdown
• It empties the recycle bin
• It changes the encrypted volume name to:
  • Locked by Loki {Volume name}
• It shows the following message box after its encryption:
  
• It changes the Legal Notice Caption and Legal Notice Text to the following: