Ransom.Win32.MATRIX.AQDEE

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• {Malware directory}\{random characters}.exe

Schleust die folgenden Dateien ein:

• %System%\Drivers\PROCEXP152.SYS
• {Malware directory}\{random characters}.exe → used for file handle manipulation
• {Malware directory}\ALL_dmp.fldp
• {Malware directory}\log.txt
• %Application Data%\{random characters}.bmp → used as wallpaper
• %Application Data%\{random characters}.bat → contains commands to remove volume shadow copies and disable system recovery
• %Application Data%\{random characters}.vbs → contains commands to create scheduled task
• {Malware directory}\{random characters}.bat → contains commands to take ownership of a file

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• "%System%\cmd.exe" /C copy /V /Y "{Malware directory}\{malware name}.exe" "{Malware directory}\{random characters}.exe";
• "{Malware directory}\{random characters}.exe" -n;
• %System%\cmd.exe" /C reg add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "%Application Data%\{random characters}.bmp" /f & reg add "HKCU\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d "0" /f & reg add "HKCU\Control Panel\Desktop" /v TileWallpaper /t REG_SZ /d "0" /f;
• "%System%\cmd.exe" /C wscript //B //Nologo "%Application Data%\{random characters}.vbs";
• "%System%\cmd.exe" /C schtasks /Create /tn DSHCA /tr "%Application Data%\{random characters}.bat" /sc minute /mo 5 /RL HIGHEST /F;
• "%System%\cmd.exe" /C schtasks /Run /I /tn DSHCA;
• cmd /c ""{Malware directory}\{random characters}.bat" "%System Root%\Users\All Users\Microsoft\RAC\StateData\RacDatabase.sdf"";
• cacls "%System Root%\Users\All Users\Microsoft\RAC\StateData\RacDatabase.sdf" /E /G Machine Name:F /C;
• takeown /F "%System Root%\Users\All Users\Microsoft\RAC\StateData\RacDatabase.sdf";
• {random characters}.exe -accepteula "RacDatabase.sdf" -nobanner;

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• MutexTRU8

Andere Systemänderungen

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\{random characters}.bmp

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 0

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• http://tru.{BLOCKED}sday.org

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer name
• User name
• System Integrity Level
• Available Drives and Drive Data

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .MDF
• .NDF
• .LDF
• .MYD
• .EQL
• .SQL
• .VHD
• .SQLITE
• .SQLITE3
• .SQLITEDB
• .HWP
• .HWT
• .HML
• .HWDT
• .HWPX
• .CELL
• .NXL
• .HCDT
• .NXT
• .SHOW
• .HPT
• .HSDT
• .XLSX
• .XLS
• .DOCX
• .DOC
• .DOT
• .DOTX
• .ODT
• .ODS
• .BAK
• .TIB
• .DBS
• .DB
• .DBK
• .DB2
• .DB3
• .DBC
• .DT
• .DBS
• .DBF
• .DBX
• .MDB
• .SDF
• .NDF
• .NS2
• .NS3
• .NS4
• .NSF
• .ACCDB
• .VPD
• .DWG
• .CDR
• .PDF
• .JPEG
• .PSD
• .ZIP
• .RAR
• .7Z
• .TAR
• .GZ

Es macht Folgendes:

• It deletes the scheduled task with the following task name:
  • DSHCA