Ransom.Win32.Exorcist.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• wmic.exe SHADOWCOPY DELETE /nointeractive
• wbadmin DELETE SYSTEMSTATEBACKUP
• wbadmin DELETE SYSTEMSTATEBACKUP -deleteOldest
• bcdedit.exe /set {default} recoveryenabled No
• bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
• vssadmin.exe Delete Shadows /All /Quiet
• C:\Windows\system32\vssvc.exe

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• KgexAmqjYXQWQuk2Zaoqci0hs9jr77UsuVmF751

Otras modificaciones del sistema

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• MSSQL$MICROSOFT##WID*
• wxServer*
• wxServerView*
• sqlmangr*
• RAgui*
• supervise*
• Culture*
• Defwatch*
• winword*
• QBW32*
• QBDBMgr*
• qbupdate*
• axlbridge*
• httpd*
• fdlauncher*
• MsDtSrvr*
• java*
• 360se*
• 360doctor*
• wdswfsafe*
• fdhost*
• GDscan*
• ZhuDongFangYu*
• QBDBMgrN*
• mysqld*
• AutodeskDesktopApp*
• acwebbrowser*
• Creative Cloud*
• Adobe Desktop Service*
• CoreSync*
• Adobe CEF Helper*
• node*
• AdobeIPCBroker*
• sync-taskbar*
• sync-worker*
• InputPersonalization*
• AdobeCollabSync*
• BrCtrlCntr*
• BrCcUxSys*
• SimplyConnectionManager*
• Simply.SystemTrayIcon*
• fbguard*
• fbserver*
• ONENOTEM*
• wrapper*
• DefWatch*
• ccEvtMgr*
• ccSetMgr*
• SavRoam*
• Sqlservr*
• sqlagent*
• sqladhlp*
• Culserver*
• RTVscan*
• sqlbrowser*
• SQLADHLP*
• QBIDPService*
• Intuit.QuickBooks.FCS*
• QBCFMonitorService*
• sqlwriter*
• msmdsrv*
• tomcat6*
• zhudongfangyu*
• vmware-usbarbitator64*
• vmware-converter*
• dbsrv12*
• dbeng8*
• MSSQL$VEEAMSQL2012*
• SQLAgent$VEEAMSQL2012*
• SQLBrowser*
• SQLWriter*
• FishbowlMySQL*
• MySQL57*
• MSSQL$KAV_CS_ADMIN_KIT*
• MSSQLServerADHelper100*
• SQLAgent$KAV_CS_ADMIN_KIT*
• msftesql-Exchange*
• MSSQL$MICROSOFT##SSEE*
• MSSQL$SBSMONITORING*
• MSSQL$SHAREPOINT*
• MSSQLFDLauncher$SBSMONITORING*
• MSSQLFDLauncher$SHAREPOINT*
• SQLAgent$SBSMONITORING*
• SQLAgent$SHAREPOINT*
• QBFCService*
• QBVSS*

Robo de información

Recopila los siguientes datos:

• User ID
• Build ID
• Appended Extension
• OS Version
• User Name
• Computer Name
• RSA Key
• Local Information
• Is user admin
• Is system a server
• Does system have ru keys
• OS Architecture

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• {BLOCKED}.{BLOCKED}.117.26:80

Otros detalles

Hace lo siguiente:

• It will not perform its ransomware routine if the geolocation of affected system is any of the following:
  • russian
  • armenian
  • belarusian
  • georgian
  • kazakh
  • tajik
  • turkmen
  • ukrainian
  • uzbek
  • azerbaijani
• Executes the following command if the above condition is satisfied:
  • """%system%\cmd.exe"" /C timeout /T 15 /NOBREAK && del ""{Malware Directory}\{Malware Name}.exe"" /F"