Ransom.Win32.FOG.THDODBE

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Malware File Path}\DbgLog.sys → logs the behavior of the sample upon execution
• %Application Data%\Microsoft\Crypto\RSA\{SID}}\{Generated Hash}{GUID}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• "%System%\NOTEPAD.EXE" %Desktop%\RANSOMNOTE.txt
• %System%\vssadmin.exe delete shadows /all /quiet
• cmd.exe /c net config Workstation → Gathers computer name, domain/workgroup, and logged-on user information.
• cmd.exe /c systeminfo → Gathers OS version, build, architecture, boot time, and system manufacturer.
• cmd.exe /c hostname → Gathers local system hostname.
• cmd.exe /c net users → Gathers local user accounts and metadata (e.g., last set, expiry).
• cmd.exe /c ipconfig /all → Gathers IP configuration, DNS, DHCP, MAC addresses, and adapter info.
• cmd.exe /c route print → Gathers routing table and interface metrics.
• cmd.exe /c arp -A → Gathers ARP cache entries (discovered local hosts and MACs).
• cmd.exe /c netstat -ano → Gathers active network connections, listening ports, and process IDs.
• cmd.exe /c netsh firewall show state → Gathers current firewall state and global policy settings.
• cmd.exe /c netsh firewall show config → Gathers full firewall configuration including rules and exceptions.
• cmd.exe /c schtasks /query /fo LIST /v → Gathers scheduled tasks, triggers, actions, and user contexts.
• cmd.exe /c tasklist /SVC → Gathers running processes and associated services.
• cmd.exe /c net start → Gathers currently running services.
• cmd.exe /c DRIVERQUERY → Gathers loaded drivers, types, and load dates.

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 6jSf6QFH0VGR5XL4RGYarc5YVpB4W1H3

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• Dhcp
• Dnscache
• *sql*

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• notepad.exe
• calc.exe
• *sql*

Otros detalles

Hace lo siguiente:

• It empties the recycle bin of the affected machine.