Analisado por: Jeffrey Francis Bonaobra   

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Ransomware

  • Destrutivo:
    Não

  • Criptografado:
    Não

  • In the Wild:
    Sim

  Visão geral

Canal de infecção: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien in bestimmten Ordnern, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Fügt Konten mit Administratorrechten hinzu. Dadurch kann die Malware oder ein böswilliger Benutzer Tasks ausführen, die das betroffene System stärker gefährden.

  Detalhes técnicos

Tipo de compactação: 682,655 bytes
Tipo de arquivo: EXE
Residente na memória: Sim
Data de recebimento das amostras iniciais: 21 março 2022
Carga útil: Drops files, Deletes files, Others, Displays message/message boxes, Hides files and processes

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

  • Used to change default account picture:
    • %ProgramData%\Microsoft\User Account Pictures\user.bmp
    • %ProgramData%\Microsoft\User Account Pictures\user.png
    • %ProgramData%\Microsoft\User Account Pictures\user-32.png
    • %ProgramData%\Microsoft\User Account Pictures\user-40.png
    • %ProgramData%\Microsoft\User Account Pictures\user-48.png
    • %ProgramData%\Microsoft\User Account Pictures\user-192.png
  • Used to change desktop wallpaper
    • %AppDataLocal%\noescape.png

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %Windows%\winnt32.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Prozesse hinzu:

  • %System%\notepad.exe
  • %System%\cmd.exe
  • %System%\mspaint.exe
  • %System%\taskmgr.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

  • processLimit
  • processLimitPayLoad

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,%Windows%\winnt32.exe → to execute malware copy during Windows logon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\runas\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing

Andere Systemänderungen

Löscht Dateien in den folgenden Ordnern:

  • %ProgramData%\Microsoft\User Account Pictures
  • %Desktop%
  • %Public%\Desktop

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1 → enable automatic logon

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DisableCAD = 1 → disable Secure Attention Sequence

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0 → disable the shutdown button in the log on to Windows dialog box

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
UseDefaultTile = 1 → apply the default account picture to all users

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableLogonBackgroundImage = 1 → disable sign-in background image

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Keyboard Layout
Scancode Map = → disable selected keyboard keys

HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1 → swap mouse buttons

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0 → disables User Account Control (UAC)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1 → disables Windows registry editors

HKEY_CURRENT_USER\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2 → disable command line

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0 → disables rebooting of explorer.exe

HKEY_CURRENT_USER\Control Panel\Desktop
AutoColorization = 1 → automatically pick an accent color from desktop background

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Shell\Bags\1\
Desktop
FFLags = → to randomly rearrange desktop icons

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
NoEscape
ShowWindow =

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

  • %AppDataLocal%\noescape.png

Andere Details

Fügt zur Administratorgruppe die folgenden Konten hinzu:

  • NO ESCAPE

Es macht Folgendes:

  • It only proceeds to its encryption routine if it is executed in a Windows NT 10.0 OS.
    • It prompts the following message box if not executed in a Windows NT 10.0 OS.

  • It prompts the following message box before encryption:
  • It adds user accounts with random usernames.
  • It adds user accounts to the following local groups:
    • Administrators
    • Users
  • It changes the user name to the following:
    • NO ESCAPE
  • It changes the user password to the following:
    • death
  • If the malware copy is existing:
    • It displays the following window:
      • It terminates itself if window is closed.
    • It stretches the bitmap of the desktop and running windows.
  • It prompts the following message box when executable files are opened:
  • It terminates explorer.exe to hide taskbar.
  • It randomly rearranges desktop icons.
  • It blocks user input.
  • It controls the system's keyboard activity to type the following on notepad.exe:
    • It waits for the user to enter 'yes' on notepad and then proceeds on opening the following processes:
      • %System%\cmd.exe
      • %System%\mspaint.exe
      • %System%\taskmgr.exe
  • It enables automatic logon.
  • It disables Ctrl+Alt+Delete keystroke combination.
  • It disables the shutdown button in the log on to Windows dialog box.
  • It changes the default account picture to the following images:
  • It disables sign-in background image.
  • It enables selected keyboard keys.
  • It swaps mouse buttons.
  • It disables User Account Control (UAC).
  • It disables Windows registry editors.
  • It disables command line.
  • It disables rebooting of explorer.exe.
  • It automatically picks an accent color from desktop background
  • It executes malware copy during Windows logon.
  • It deletes itself after execution.
  • It restarts the machine after execution.
  • It prompts the following message box when executable files are opened:

  Solução

Mecanismo de varredura mínima: 9.800
Primeiro arquivo padrão VSAPI: 17.458.03
Data do lançamento do primeiro padrão VSAPI: 23 março 2022
VSAPI OPR Pattern Version: 17.459.00
VSAPI OPR Pattern veröffentlicht am: 24 março 2022

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>

Step 3

Im abgesicherten Modus neu starten

[ Saber mais ]

Step 4

Diesen Registrierungswert löschen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layout
    • Scancode Map
  • In HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Windows\System
    • DisableCMD = 2
  • In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Shell\Bags\1\Desktop
    • FFLags
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\NoEscape
    • ShowWindow

Step 5

Diesen geänderten Registrierungswert wiederherstellen

[ Saber mais ]

Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • AutoAdminLogon = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • DisableCAD = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • shutdownwithoutlogon = 0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
    • UseDefaultTile = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • DisableLogonBackgroundImage = 1
  • In HKEY_CURRENT_USER\Control Panel\Mouse
    • SwapMouseButtons = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • EnableLUA = 0
  • In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
    • DisableRegistryTools = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • AutoRestartShell = 0
  • In HKEY_CURRENT_USER\Control Panel\Desktop
    • AutoColorization = 1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • Userinit = %System%\userinit.exe,%Windows%\winnt32.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
    • (Default) = %Windows%\winnt32.exe
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\runas\command
    • (Default) = %Windows%\winnt32.exe

Step 6

Diese Dateien suchen und löschen

[ Saber mais ]
Möglicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollkästchen Versteckte Elemente durchsuchen unter "Weitere erweiterte Optionen", um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen.  
  • %ProgramData%\Microsoft\User Account Pictures\user.bmp
  • %ProgramData%\Microsoft\User Account Pictures\user.png
  • %ProgramData%\Microsoft\User Account Pictures\user-32.png
  • %ProgramData%\Microsoft\User Account Pictures\user-40.png
  • %ProgramData%\Microsoft\User Account Pictures\user-48.png
  • %ProgramData%\Microsoft\User Account Pictures\user-192.png
  • %AppDataLocal%\noescape.png
  • %Windows%\winnt32.exe
  • %Public%\Desktop\{random}
DATA_GENERIC_FILENAME_1
  • Wählen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und drücken Sie die Eingabetaste.
  • Markieren Sie die gefundene Datei, und drücken Sie UMSCHALT+ENTF, um sie endgültig zu löschen.
  • Wiederholen Sie die Schritte 2 bis 4 für die übrigen Dateien:
       
      • %ProgramData%\Microsoft\User Account Pictures\user.bmp
      • %ProgramData%\Microsoft\User Account Pictures\user.png
      • %ProgramData%\Microsoft\User Account Pictures\user-32.png
      • %ProgramData%\Microsoft\User Account Pictures\user-40.png
      • %ProgramData%\Microsoft\User Account Pictures\user-48.png
      • %ProgramData%\Microsoft\User Account Pictures\user-192.png
      • %AppDataLocal%\noescape.png
      • %Windows%\winnt32.exe
      • %Public%\Desktop\{random}
  • Step 7

    Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Ransom.Win32.NOESCAPE.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.

    Step 8

    Desktop-Eigenschaften zurücksetzen

    [ Saber mais ]

    Step 9

    Dateien über eine Sicherungskopie wiederherstellen Nur Microsoft basierte Dateien werden wiederhergestellt. Falls diese Malware/Grayware/Spyware auch Dateien aus Programmen gelöscht hat, die nicht von Microsoft stammen, installieren Sie diese Programme auf Ihrem Computer bitte neu.


    Participe da nossa pesquisa!