Ransom.MSIL.THANOS.FAIL

Instalación

Infiltra los archivos siguientes:

• %User Startup%\mystartup.lnk -> points to %User Temp%\HOW_TO_DECYPHER_FILES.txt

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• "cmd.exe" /c rd /s /q %SYSTEMDRIVE%\$Recycle.bin
• "sc.exe" config SQLTELEMETRY start= disabled
• "sc.exe" config SQLTELEMETRY$ECWDB2 start= disabled
• "sc.exe" config SQLWriter start= disabled
• "sc.exe" config SstpSvc start= disabled
• "taskkill.exe" /IM mspub.exe /F
• "taskkill.exe" /IM mydesktopqos.exe /F
• "taskkill.exe" /IM mydesktopservice.exe /F
• "taskkill.exe" /IM mysqld.exe /F
• "taskkill.exe" /IM sqbcoreservice.exe /F
• "taskkill.exe" /IM firefoxconfig.exe /F
• "taskkill.exe" /IM agntsvc.exe /F
• "taskkill.exe" /IM thebat.exe /F
• "taskkill.exe" /IM steam.exe /F
• "taskkill.exe" /IM encsvc.exe /F
• "taskkill.exe" /IM excel.exe /F
• "taskkill.exe" /IM CNTAoSMgr.exe /F
• "taskkill.exe" /IM sqlwriter.exe /F
• "taskkill.exe" /IM tbirdconfig.exe /F
• "taskkill.exe" /IM dbeng50.exe /F
• "taskkill.exe" /IM thebat64.exe /F
• "taskkill.exe" /IM ocomm.exe /F
• "taskkill.exe" /IM infopath.exe /F
• "taskkill.exe" /IM mbamtray.exe /F
• "taskkill.exe" /IM zoolz.exe /F
• "taskkill.exe" IM thunderbird.exe /F
• "taskkill.exe" /IM dbsnmp.exe /F
• "taskkill.exe" /IM xfssvccon.exe /F
• "taskkill.exe" /IM mspub.exe /F
• "taskkill.exe" /IM Ntrtscan.exe /F
• "taskkill.exe" /IM isqlplussvc.exe /F
• "taskkill.exe" /IM onenote.exe /F
• "taskkill.exe" /IM PccNTMon.exe /F
• "taskkill.exe" /IM msaccess.exe /F
• "taskkill.exe" /IM outlook.exe /F
• "taskkill.exe" /IM tmlisten.exe /F
• "taskkill.exe" /IM msftesql.exe /F
• "taskkill.exe" /IM powerpnt.exe /F
• "taskkill.exe" /IM mydesktopqos.exe /F
• "taskkill.exe" /IM visio.exe /F
• "taskkill.exe" /IM mydesktopservice.exe /F
• "taskkill.exe" /IM winword.exe /F
• "taskkill.exe" /IM mysqld-nt.exe /F
• "taskkill.exe" /IM wordpad.exe /F
• "taskkill.exe" /IM mysqld-opt.exe /F
• "taskkill.exe" /IM ocautoupds.exe /F
• "taskkill.exe" /IM ocssd.exe /F
• "taskkill.exe" /IM oracle.exe /F
• "taskkill.exe" /IM sqlagent.exe /F
• "taskkill.exe" /IM sqlbrowser.exe /F
• "taskkill.exe" /IM sqlservr.exe /F
• "taskkill.exe" /IM synctime.exe /F
• "powershell.exe" & Get-WmiObject Win32_Shadowcopy | ForEach-Object { $_Delete() }
• "%System%\notepad.exe" %Desktop%\HOW_TO_DECYPHER_FILES.txt
• ping 127.0.0.7 -n 3
• choice /C Y /N /D Y /T 3
• fsutil file setZeroData offset=0 length=524288 “%s”

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\090392ad-028d-4ec9-bea1-97463ac26063

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• CFF Explorer 
• de4dot 
• dnspy 
• dnspy-x86 
• dotpeek 
• dotpeek64 
• dumpcap 
• effetech http sniffer 
• fiddler 
• firesheep 
• http analyzer stand-alone 
• HTTPNetworkSniffer 
• HTTPNetworkSniffer 
• ida64 
• IEWatch Professional 
• ilspy 
• intercepter 
• intercepter 
• Intercepter-NG 
• LordPE 
• MegaDumper 
• NetworkMiner 
• NetworkMiner 
• NetworkTrafficView 
• NetworkTrafficView 
• NoFuserEx 
• ollydbg 
• PEiD 
• pe-sieve 
• procexp 
• procexp64 
• protection_id 
• RDG Packer Detector 
• sysinternals tcpview 
• tcpdump 
• tcpdump 
• UnConfuserEx 
• Universal_Fixer 
• wireshark 
• wireshark portable 
• x32dbg 
• x64dbg 

Otros detalles

Hace lo siguiente:

• Kills processes with large private memory space if their process name is not one of the following:
  • {Malware name}
  • chrome
  • opera
  • msedge
  • iexplore
  • firefox
  • explorer
  • winint
  • winlogon
• Clears Recycle Bin contents