Ransom.PS1.SODINOKIBI.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\{random characters}.bmp → used as wallpaper

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• powershell.exe -e {base-64 encoded command} → used to delete shadow copies

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\GitForWindows
9jR = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
s0Sl = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
Fawve = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
JT2I4d = "{hex values}"

HKEY_CURRENT_USER\Software\GitForWindows
mcTFXtA = ".{random characters}"

HKEY_CURRENT_USER\Software\GitForWindows
Vb09CACg = "{hex values}"

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{random characters}.bmp

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• svc$
• mepocs
• vss
• memtas
• sql
• veeam
• sophos
• backup

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• mysql

Robo de información

Recopila los siguientes datos:

• User Name
• Computer Name
• Workgroup
• Systems Architecture
• Operating System
• Processor Information

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\GitForWindows

Hace lo siguiente:

• It checks for the system’s computer layout and terminates if it is any of the following:
  • Russian
  • Ukrainian
  • Belarusian
  • Tajik
  • Armenian
  • Azeri Latin
  • Georgian
  • Kazakh
  • Kyrgyz
  • Turkmen
  • Uzbek Latin
  • Tatar
  • Romanian
  • Azerbaijani
  • Uzbek
  • Syriac
  • Arabic Syria
• It searches for files to encrypt in remote drives, fixed drives, removable drives, and network resources.