Ransom.Win32.CRING.C

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Wird ausgeführt und löscht sich dann selbst.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• {Malware Filepath}\Go.bat "{Malware Filepath}\{Malware Filename}.exe"
• wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• {Malware Filepath}\killme.bat "{Malware Filepath}\{Malware Filename}.exe"

Wird ausgeführt und löscht sich dann selbst.

Andere Systemänderungen

Löscht die folgenden Dateien:

• {Malware Filepath}\Go.bat
• {Malware Filepath}\killme.bat
• • {Drive Letter} are the following:
    • D:\
    • E:\
    • F:\
    • G:\
    • H:\
  • {Filename} are files that satisfies the following filters:
    • *.VHD
    • *.bac
    • *.bak
    • *.wbcat
    • *.bkf
    • *.set
    • *.win
    • *.dsk
    • Backup*.*
    • backup*.*

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• Services that start with:
  • mssql
  • sql
  • postgresql
  • oracle
  • mysql
  • veeam
  • backup
  • msexchange

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• {Malware Filepath}\Go.bat
• {Malware Filepath}\killme.bat

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .xlsx
• .png
• .fob
• .jp?
• .lic
• .dcm
• .cf?
• .rvt
• .cpp
• .qb?
• .cs
• .sln
• .vb
• .xml
• .dwg
• .edb
• .ndf
• .wk
• .xl?
• .txt
• .doc?
• .md?
• mp?
• .sql
• .bak
• .ora
• .pdf
• .pp?
• .dbf
• .zip
• .rar
• .asp?
• .php
• .jsp?
• .bk?
• .csv
• .7z
• .myd
• .ibd
• _fsm
• _vm
• .db?
• .rpt

Es macht Folgendes:

• Argument must be equal to "rsa" to proceed in encrypting files
• It writes the following to the command prompt:
  • "What the FUck" → before the encryption routine
  • "EZ Games" → after the encryption routine