Ransom.PS1.SODINOKIBI.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\{random characters}.bmp → used as wallpaper

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• powershell.exe -e {base-64 encoded command} → used to delete shadow copies

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\GitForWindows
9jR = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
s0Sl = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
Fawve = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
JT2I4d = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
mcTFXtA = ".{random characters}"

HKEY_CURRENT_USER\Software\GitForWindows
Vb09CACg = "{hex values}"

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{random characters}.bmp

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Prozessbeendigung

Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:

• svc$
• mepocs
• vss
• memtas
• sql
• veeam
• sophos
• backup

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• mysql

Datendiebstahl

Folgende Daten werden gesammelt:

• User Name
• Computer Name
• Workgroup
• Systems Architecture
• Operating System
• Processor Information

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\GitForWindows

Es macht Folgendes:

• It checks for the system’s computer layout and terminates if it is any of the following:
  • Russian
  • Ukrainian
  • Belarusian
  • Tajik
  • Armenian
  • Azeri Latin
  • Georgian
  • Kazakh
  • Kyrgyz
  • Turkmen
  • Uzbek Latin
  • Tatar
  • Romanian
  • Azerbaijani
  • Uzbek
  • Syriac
  • Arabic Syria
• It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources.