Ransom.Win64.AKIRA.B

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna capacidad para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Malware File Path}\Log-{Date of execution in MM-DD-YYYY-hh-mm-ss}.txt → malware logs
• {Encrypted File Path}\{Random}.arika → deleted afterwards

Agrega los procesos siguientes:

• powershell.exe -Command "Get-WmiObject Win32_Shadowcopy | Remove-WmiObject"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Robo de información

Acepta los siguientes parámetros:

• -p, --encryption_path → used to specify a directory to be encrypted
• -l → used to list the logical drives mounted in the system in the malware logs
• -s, --share_files → used to specify shared folder to be encrypted
• -n, --encryption_percent → enables the user to specify the percentage of data in each file that should be encrypted.
• -localonly → used to only encrypt the affected system

Este malware no tiene ninguna capacidad para robar información.

Otros detalles

Hace lo siguiente:

• It uses the Windows Restart Manager API to close processes or shut down Windows services that may be keeping a file open and preventing encryption.