Ransom.Win32.GARYTEST.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• wmic.exe shadowcopy delete /nointeractive
• taskkill /f /im msftesql.exe
• taskkill /f /im sqlagent.exe
• taskkill /f /im sqlbrowser.exe
• taskkill /f /im sqlwriter.exe
• taskkill /f /im oracle.exe
• taskkill /f /im ocssd.exe
• taskkill /f /im dbsnmp.exe
• taskkill /f /im synctime.exe
• taskkill /f /im agntsvc.exeisqlplussvc.exe
• taskkill /f /im xfssvccon.exe
• taskkill /f /im sqlservr.exe
• taskkill /f /im mydesktopservice.exe
• taskkill /f /im ocautoupds.exe
• taskkill /f /im agntsvc.exeagntsvc.exe
• taskkill /f /im agntsvc.exeencsvc.exe
• taskkill /f /im firefoxconfig.exe
• taskkill /f /im tbirdconfig.exe
• taskkill /f /im mydesktopqos.exe
• taskkill /f /im ocomm.exe
• taskkill /f /im mysqld.exe
• taskkill /f /im mysqld-nt.exe
• taskkill /f /im mysqld-opt.exe
• taskkill /f /im dbeng50.exe
• taskkill /f /im sqbcoreservice.exe
• taskkill /f /im excel.exe
• taskkill /f /im infopath.exe
• taskkill /f /im msaccess.exe
• taskkill /f /im mspub.exe
• taskkill /f /im onenote.exe
• taskkill /f /im outlook.exe
• taskkill /f /im powerpnt.exe
• taskkill /f /im steam.exe
• taskkill /f /im sqlservr.exe
• taskkill /f /im thebat.exe
• taskkill /f /im thebat64.exe
• taskkill /f /im thunderbird.exe
• taskkill /f /im visio.exe
• taskkill /f /im winword.exe
• taskkill /f /im wordpad.exe

Otras modificaciones del sistema

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Public%\Desktop\desktop.bmp

Otros detalles

It connects to the following possibly malicious URL:

• http://{BLOCKED}.{BLOCKED}.64.52/CERA/Captures/ran.asp