Ransom.Win32.SODINOKIBI.AUWUC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {encrypted folder}\{random characters}-readme.txt
• %User Temp%\{random characters}.bmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• powershell -e {base64 encoded command}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows
aaH = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows
fdle = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows
1TfXk = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows
2YEdLY = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows
AaZW1s3 = {Random Characters}

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows
QaUXNv2P = {Hex Values}

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{random characters}.bmp

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\GitForWindows

It connects to the following possibly malicious URL:

• {BLOCKED}enter.org
• {BLOCKED}trust.com
• {BLOCKED}ic-studio.com
• {BLOCKED}raktijkhartjegroningen.nl
• {BLOCKED}ips.se
• {BLOCKED}ios.com
• {BLOCKED}co.uk
• {BLOCKED}nd.org
• {BLOCKED}lie-nim.nl
• {BLOCKED}e
• {BLOCKED}
• {BLOCKED}d.pl
• {BLOCKED}ax-cr.com
• {BLOCKED}pe
• {BLOCKED}s.com
• {BLOCKED}sennus.fi
• {BLOCKED}
• {BLOCKED}ochen.de
• {BLOCKED}om
• {BLOCKED}e.at
• {BLOCKED}m
• {BLOCKED}g
• {BLOCKED}.com
• {BLOCKED}tagenijmegen.nl
• {BLOCKED}nto.com
• {BLOCKED}matology.lt
• {BLOCKED}t
• {BLOCKED}tings.co.uk
• {BLOCKED}.com
• {BLOCKED}
• {BLOCKED}rts.net
• {BLOCKED}h
• {BLOCKED}leman.nl
• {BLOCKED}sbakery.com