Analisado por: Rheniel Rhay Ramos   
 

Ransom.Tox (Symantec); Trojan.Win32.KillMBR.gfd (Kaspersky); Ransom:Win32/Genasom (Microsoft)

 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Ransomware

  • Destrutivo:
    Não

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Visão geral

Startet das betroffene System neu.

  Detalhes técnicos

Tipo de compactação: 1,246,725 bytes
Tipo de arquivo: EXE
Residente na memória: Não
Data de recebimento das amostras iniciais: 23 setembro 2017
Carga útil: Terminates processes, Restarts system, Displays graphics/image, Encrypts files

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

  • %User Profile%\{random numbers}\main.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

  • %User Profile%\{random numbers}\boot.asm -> will be compiled into boot.bin
  • %User Profile%\{random numbers}\boot.bin -> new master boot record

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

  • %User Profile%\{random numbers}\assembler.exe -> used to compile boot.asm into boot.bin
  • %User Profile%\{random numbers}\overwrite.exe -> used to overwrite the existing master boot record with boot.bin
  • %User Profile%\{random numbers}\protect.exe -> used to terminate process related applications

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

  • %User Profile%\{random numbers}\assembler.exe -f bin %User Profile%\{random numbers}\boot.asm -o %User Profile%\{random numbers}\boot.bin
  • %User Profile%\{random numbers}\overwrite.exe %User Profile%\{random numbers}\boot.bin
  • %User Profile%\{random numbers}\protect.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %User Profile%\{random numbers}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

  • taskmgr.exe

Andere Details

Startet das betroffene System neu.

  Solução

Mecanismo de varredura mínima: 9.850
Primeiro arquivo padrão VSAPI: 13.680.05
Data do lançamento do primeiro padrão VSAPI: 23 setembro 2017
VSAPI OPR Pattern Version: 13.681.00
VSAPI OPR Pattern veröffentlicht am: 24 setembro 2017

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.


Participe da nossa pesquisa!