Ransom.Win32.FOG.THDODBE

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• {Malware File Path}\DbgLog.sys → logs the behavior of the sample upon execution
• %Application Data%\Microsoft\Crypto\RSA\{SID}}\{Generated Hash}{GUID}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%System%\NOTEPAD.EXE" %Desktop%\RANSOMNOTE.txt
• %System%\vssadmin.exe delete shadows /all /quiet
• cmd.exe /c net config Workstation → Gathers computer name, domain/workgroup, and logged-on user information.
• cmd.exe /c systeminfo → Gathers OS version, build, architecture, boot time, and system manufacturer.
• cmd.exe /c hostname → Gathers local system hostname.
• cmd.exe /c net users → Gathers local user accounts and metadata (e.g., last set, expiry).
• cmd.exe /c ipconfig /all → Gathers IP configuration, DNS, DHCP, MAC addresses, and adapter info.
• cmd.exe /c route print → Gathers routing table and interface metrics.
• cmd.exe /c arp -A → Gathers ARP cache entries (discovered local hosts and MACs).
• cmd.exe /c netstat -ano → Gathers active network connections, listening ports, and process IDs.
• cmd.exe /c netsh firewall show state → Gathers current firewall state and global policy settings.
• cmd.exe /c netsh firewall show config → Gathers full firewall configuration including rules and exceptions.
• cmd.exe /c schtasks /query /fo LIST /v → Gathers scheduled tasks, triggers, actions, and user contexts.
• cmd.exe /c tasklist /SVC → Gathers running processes and associated services.
• cmd.exe /c net start → Gathers currently running services.
• cmd.exe /c DRIVERQUERY → Gathers loaded drivers, types, and load dates.

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• 6jSf6QFH0VGR5XL4RGYarc5YVpB4W1H3

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• Dhcp
• Dnscache
• *sql*

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• notepad.exe
• calc.exe
• *sql*

Andere Details

Es macht Folgendes:

• It empties the recycle bin of the affected machine.