Ransom.MSIL.THANOS.FAIL

Installation

Schleust die folgenden Dateien ein:

• %User Startup%\mystartup.lnk -> points to %User Temp%\HOW_TO_DECYPHER_FILES.txt

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "cmd.exe" /c rd /s /q %SYSTEMDRIVE%\$Recycle.bin
• "sc.exe" config SQLTELEMETRY start= disabled
• "sc.exe" config SQLTELEMETRY$ECWDB2 start= disabled
• "sc.exe" config SQLWriter start= disabled
• "sc.exe" config SstpSvc start= disabled
• "taskkill.exe" /IM mspub.exe /F
• "taskkill.exe" /IM mydesktopqos.exe /F
• "taskkill.exe" /IM mydesktopservice.exe /F
• "taskkill.exe" /IM mysqld.exe /F
• "taskkill.exe" /IM sqbcoreservice.exe /F
• "taskkill.exe" /IM firefoxconfig.exe /F
• "taskkill.exe" /IM agntsvc.exe /F
• "taskkill.exe" /IM thebat.exe /F
• "taskkill.exe" /IM steam.exe /F
• "taskkill.exe" /IM encsvc.exe /F
• "taskkill.exe" /IM excel.exe /F
• "taskkill.exe" /IM CNTAoSMgr.exe /F
• "taskkill.exe" /IM sqlwriter.exe /F
• "taskkill.exe" /IM tbirdconfig.exe /F
• "taskkill.exe" /IM dbeng50.exe /F
• "taskkill.exe" /IM thebat64.exe /F
• "taskkill.exe" /IM ocomm.exe /F
• "taskkill.exe" /IM infopath.exe /F
• "taskkill.exe" /IM mbamtray.exe /F
• "taskkill.exe" /IM zoolz.exe /F
• "taskkill.exe" IM thunderbird.exe /F
• "taskkill.exe" /IM dbsnmp.exe /F
• "taskkill.exe" /IM xfssvccon.exe /F
• "taskkill.exe" /IM mspub.exe /F
• "taskkill.exe" /IM Ntrtscan.exe /F
• "taskkill.exe" /IM isqlplussvc.exe /F
• "taskkill.exe" /IM onenote.exe /F
• "taskkill.exe" /IM PccNTMon.exe /F
• "taskkill.exe" /IM msaccess.exe /F
• "taskkill.exe" /IM outlook.exe /F
• "taskkill.exe" /IM tmlisten.exe /F
• "taskkill.exe" /IM msftesql.exe /F
• "taskkill.exe" /IM powerpnt.exe /F
• "taskkill.exe" /IM mydesktopqos.exe /F
• "taskkill.exe" /IM visio.exe /F
• "taskkill.exe" /IM mydesktopservice.exe /F
• "taskkill.exe" /IM winword.exe /F
• "taskkill.exe" /IM mysqld-nt.exe /F
• "taskkill.exe" /IM wordpad.exe /F
• "taskkill.exe" /IM mysqld-opt.exe /F
• "taskkill.exe" /IM ocautoupds.exe /F
• "taskkill.exe" /IM ocssd.exe /F
• "taskkill.exe" /IM oracle.exe /F
• "taskkill.exe" /IM sqlagent.exe /F
• "taskkill.exe" /IM sqlbrowser.exe /F
• "taskkill.exe" /IM sqlservr.exe /F
• "taskkill.exe" /IM synctime.exe /F
• "powershell.exe" & Get-WmiObject Win32_Shadowcopy | ForEach-Object { $_Delete() }
• "%System%\notepad.exe" %Desktop%\HOW_TO_DECYPHER_FILES.txt
• ping 127.0.0.7 -n 3
• choice /C Y /N /D Y /T 3
• fsutil file setZeroData offset=0 length=524288 “%s”

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\Desktop unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\090392ad-028d-4ec9-bea1-97463ac26063

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• CFF Explorer 
• de4dot 
• dnspy 
• dnspy-x86 
• dotpeek 
• dotpeek64 
• dumpcap 
• effetech http sniffer 
• fiddler 
• firesheep 
• http analyzer stand-alone 
• HTTPNetworkSniffer 
• HTTPNetworkSniffer 
• ida64 
• IEWatch Professional 
• ilspy 
• intercepter 
• intercepter 
• Intercepter-NG 
• LordPE 
• MegaDumper 
• NetworkMiner 
• NetworkMiner 
• NetworkTrafficView 
• NetworkTrafficView 
• NoFuserEx 
• ollydbg 
• PEiD 
• pe-sieve 
• procexp 
• procexp64 
• protection_id 
• RDG Packer Detector 
• sysinternals tcpview 
• tcpdump 
• tcpdump 
• UnConfuserEx 
• Universal_Fixer 
• wireshark 
• wireshark portable 
• x32dbg 
• x64dbg 

Andere Details

Es macht Folgendes:

• Kills processes with large private memory space if their process name is not one of the following:
  • {Malware name}
  • chrome
  • opera
  • msedge
  • iexplore
  • firefox
  • explorer
  • winint
  • winlogon
• Clears Recycle Bin contents