Ransom.Win32.SCARAB.PYOBO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\sysem.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%System%\cmd.exe" /c copy /y "{Malware file path and name}" "%Application Data%\sysem.exe"
• "{Malware file path and name}" runas
• "%Application Data%\sysem.exe"
• mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('{Malware name}');close()}catch(e){}}10);"
• mshta.exe "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('sysem.exe').Path;o.RegWrite('HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\hetvuEz'i);}catch(e){}}10);";
• mshta.exe "javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\Software\{5 random characters}\{5 random characters}'));close();";
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
• "%System%\cmd.exe" /c wmic SHADOWCOPY DELETE
• "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet
• "%System%\cmd.exe" /c bcdedit /set {default} recoveryenabled No
• "%System%\cmd.exe" /c bcdedit /set {default} bootstatuspolicy ignoreallfailures

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
hetvuEz = %Application Data%\sysem.exe

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\hetvuEz

HKEY_CURRENT_USER\Software\{5 random characters}