Ransom.MSIL.HAVANACRYPT.THFACBB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = %ProgramData%\{Random Characters}.exe

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\{Random Characters}.exe → copy of itself
• %User Startup%\vallo.bat → Disables Task Manager

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• agntsvc
• agntsvc
• axlbridge
• ccevtmgr
• ccsetmgr
• contoso1
• culserver
• culture
• dbeng50
• dbeng8
• dbsnmp
• dbsrv12
• dbsrv12
• defwatch
• defwatch
• encsvc
• excel
• fdlauncher
• firefoxconfig
• httpd
• infopath
• isqlplussvc
• msaccess
• msdtc
• msdtsrvr
• msftesql
• msmdsrv
• mspub
• mssql
• mssqlserver
• mydesktopqos
• mydesktopservice
• mysqld
• mysqld-nt
• mysqld-opt
• ocautoupds
• ocomm
• ocssd
• onenote
• oracle
• outlook
• powerpnt
• qbcfmonitorservice
• qbcfmonitorservice
• qbdbmgr
• qbidpservice
• qbidpservice
• qbupdate
• qbw32
• quickboooks.fcs
• ragui
• rtvscan
• rtvscan
• savroam
• sqbcoreservice
• sqladhlp
• sqladhlp
• sqlagent
• sqlagent
• sqlbrowser
• sqlbrowser
• sqlserv
• sqlserveragent
• sqlservr
• sqlwriter
• sqlwriter
• steam
• supervise
• synctime
• tbirdconfig
• thebat
• thebat64
• thunderbird
• tomcat6
• tomcat6
• vds
• visio
• vmware-converter
• vmware-converter
• vmware-usbarbitator64
• vmware-usbarbitator64
• winword
• winword
• word
• wordpad
• wrapper
• wxserver
• wxserverview
• xfssvccon
• zhudongfangyu
• zhundongfangyu

Robo de información

Recopila los siguientes datos:

• Username
• Token
• Date
• RAM information
• OS Information

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}.{BLOCKED}.128.33/index.php

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.128.33/ham.php

Hace lo siguiente:

• It terminates itself if it finds the following virtual machine/sandbox artifacts in the affected system:
  
  • %System%\Drivers\Vmmouse.sys
  • %System%\Drivers\vm3dgl.dll
  • %System%\Drivers\vmdum.dll
  • %System%\Drivers\vm3dver.dll
  • %System%\Drivers\vmtray.dll
  • %System%\Drivers\VMToolsHook.dll
  • %System%\Drivers\vmmousever.dll
  • %System%\Drivers\vmhgfs.dll
  • %System%\Drivers\vmGuestLib.dll
  • %System%\Drivers\VmGuestLibJava.dll
  • %System%\Driversvmhgfs.dll
  • %System%\Drivers\VBoxMouse.sys
  • %System%\Drivers\VBoxGuest.sys
  • %System%\Drivers\VBoxSF.sys
  • %System%\Drivers\VBoxideo.sys
  • %System%\vboxdisp.dll
  • %System%\voxhook.dll
  • %System%\vboxmrxnp.dll
  • %System%\vboxogl.dll
  • %System%\vboxoglarraysp.dll
  • %System%\vboxoglcrutil.dll
  • %System%\vboxoglerrorspu.dll
  • %System%\vboxoglfeedbackspu.dll
  • %System%\vboxoglpackspu.dll
  • %System%\vboxoglpassthroughspu.dll
  • %System%\vboxservice.exe
  • %System%\vboxtray.exe
  • %System%\VBoxControl.exe
• It terminates itself if services found running in the affected system:
  
  • VMTools
  • Vmhgfs
  • VMMEMCTL
  • Vmmouse
  • Vmrawdsk
  • Vmusbmouse
  • Vmvss
  • Vmscsi
  • Vmxnet
  • vmx_svga
  • Vmware Tools
  • Vmware Physical Disk Helper Service
• It terminates itself when executed in the following environments:
  • VMware ESX,VMware GSX Server
  • Standalone VMware vSphere
  • VMware Wrokstation
  • VMware Horizon
  • VMware
  • VMware vSphere
  • VMware ESX Server
  • Oracle VirtualBox 5.2
• It terminates itself if it finds the following processes in the affected system's memory:
  
  • vmtoolsd.exe
  • vmwaretrat.exe
  • vmwareuser.exe
  • vmacthlp.exe
  • vboxservice.exe
  • vboxtray.exe
  • vbox.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).