Ransom.Win32.LOCKBIT.SMYXCGU

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra y ejecuta los archivos siguientes:

• %Program Data%\7O80AqiSH.ico → icon used for encrypted files
• %Program Data%\7O80AqiSH.bmp → image used as wallpaper after encryption
• %Program Data%\E6F6.tmp → Detected as Trojan.Win32.KCALBREPUS.THCAIBE
• {Encrypted Directory}\7O80AqiSH.README.txt

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.7O80AqiSH
{Default} = 7O80AqiSH

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
7O80AqiSH\DefaultIcon
{Default} = %Program Data%\7O80AqiSH.ico

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = 36

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Program Data%\7O80AqiSH.bmp

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %Program Data%\7O80AqiSH.bmp

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• sql.exe
• oracle.exe
• ocssd.exe
• dbsnmp.exe
• synctime.exe
• agntsvc.exe
• isqlplussvc.exe
• xfssvccon.exe
• mydesktopservice.exe
• ocautoupds.exe
• encsvc.exe
• firefox.exe
• tbirdconfig.exe
• mydesktopqos.exe
• ocomm.exe
• dbeng50.exe
• sqbcoreservice.exe
• excel.exe
• infopath.exe
• msaccess.exe
• mspub.exe
• onenote.exe
• outlook.exe
• powerpnt.exe
• steam.exe
• thebat.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• notepad.exe
• msexchange.exe

Otros detalles

Hace lo siguiente:

• It encrypts fixed, removable, and network shares
• It uses the Windows Restart Manager API to close processes or shut down Windows services that may be keeping a file open and preventing encryption.
• It empties the recycle bin.
• It changes the file icon of the encrypted files into the following image: