Ransom.PS1.NEDIB.THCBIBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• "%System%\NOTEPAD.EXE" %Desktop%\README.txt

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Otras modificaciones del sistema

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\control panel\desktop
wallpaper = %Temp%\photo.jpg

Robo de información

Recopila los siguientes datos:

• satellite:IP
  • IP address
• bust_in_silhouette: User Information
  • Language
  • Current date and time
  • User Name
  • Computer Name
• shield: Antivirus
  • Installed antivirus software
• computer: Hardware
  • Display resolution
  • OS version
  • OS build
  • Manufacturer
  • Model
  • CPU name
  • GPU name
  • RAM
  • UUID
  • MAC address
  • Uptime
• floppy_disk: Disk
  • All disk information

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .7z
• .docx
• .gif
• .gz
• .ini
• .jpg
• .pdf
• .psd
• .png
• .rtf
• .txt
• .zip
• .accd
• .avi
• .csv
• .doc
• .jpeg
• .midi
• .mov
• .mp3
• .mp4
• .mpeg
• .mpeg2
• .mpeg3
• .mpg
• .ogg
• .ppt
• .xls

Hace lo siguiente:

• It deletes all shadow copies on the system.
• It attempts to download from this URL to use as wallpaper
  • https://{BLOCKED}fshore.cat/HrD5nI4Z.cat → %Temp%\photo.jpg