Ransom.Win32.HELDOWN.THJAGBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %ProgramData%\xx.ico
• %ProgramData%\1.bat

Agrega los procesos siguientes:

• cmd /c wmic shadowcopy delete /noninteractive
• cmd /c "vssadmin Delete Shadows /All /Quiet"
• cmd /c %ProgramData%\1.bat
• ping 127.0.0.1 -n 2
• taskkill /f /im sql*
• taskkill /f /im oracle*
• taskkill /f /im mysq*
• taskkill /f /im veeam*
• taskkill /f /im firefox*
• taskkill /f /im excel*
• taskkill /f /im msaccess*
• taskkill /f /im onenote*
• taskkill /f /im outlook*
• taskkill /f /im powerpnt*
• taskkill /f /im winword*
• taskkill /f /im wuauclt*
• cmd /c "taskkill /f /im cmd.exe & taskkill /f /im conhost.exe"
• cmd /c "ping 127.0.0.1 & del %ProgramData%\1.bat & del {Malware File Path}\{Malware File Name} & shutdown -r -f -t 0"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\Classes\.uQlf
(Default) = uQlfIcon

HKEY_LOCAL_MACHINE\Classes\uQlfIcon\
DefaultIcon
(Default) = %ProgramData%\xx.ico

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\Classes
uQlfIcon =

HKEY_LOCAL_MACHINE\Classes
.uQlf =

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• backup
• GxBlr
• GxCIMgr
• GxCVD
• GxFWD
• GxVss
• memtas
• mepocs
• msexchange
• sophos
• sql
• svc$
• veeam
• vss

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• excel
• firefox
• msaccess
• mysq
• onenote
• oracle
• outlook
• powerpnt
• veeam
• winword
• wuauclt

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .ldf
• .mdf
• .pko
• Extensions not in the whitelist

Hace lo siguiente:

• It changes the encrypted file icon to the following image:
  
• It encrypts network shares.