Ransom.Win32.DARKRACE.THCOFBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %ProgramData%\icon.ico → icon for encrypted files

Agrega los procesos siguientes:

• vssadmin Delete Shadows /All /Quiet
• wmic shadowcopy delete /nointeractive
• cmd %ProgramData%\1.bat
• ping 127.0.0.1 -n 2
• taskkill /f /im {process}

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• CheckMutex

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.f58A66B51
{default} = f58A66B51 file → register extension of encrypted file to system

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.f58A66B51\DefaultIcon
{default} = %ProgramData%\icon.ico → set default icon for encrypted files

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number} → deleted afterwards

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
Owner = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
SessionHash = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
Sequence = 1

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
RegFiles0000 = {full path of file to encrypt}

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session{number}
RegFilesHash = {hex values}

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• vss
• sql
• svc$
• memtas
• mepocs
• msexchange
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• sql
• oracle
• mysq
• chrome
• veeam
• firefox
• excel
• msaccess
• onenote
• outlook
• powerpnt
• winword
• wuauclt

Otros detalles

Hace lo siguiente:

• It encrypts the following in the affected system:
  • Local Drives
  • Network Shares
• It clears event logs to hide its malicious activities.
• It shuts down the system to prevent access from the user.
• It empties the recycle bin of the affected system.