Ransom.Win32.MATRIX.AQDEE

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• {Malware directory}\{random characters}.exe

Infiltra los archivos siguientes:

• %System%\Drivers\PROCEXP152.SYS
• {Malware directory}\{random characters}.exe → used for file handle manipulation
• {Malware directory}\ALL_dmp.fldp
• {Malware directory}\log.txt
• %Application Data%\{random characters}.bmp → used as wallpaper
• %Application Data%\{random characters}.bat → contains commands to remove volume shadow copies and disable system recovery
• %Application Data%\{random characters}.vbs → contains commands to create scheduled task
• {Malware directory}\{random characters}.bat → contains commands to take ownership of a file

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• "%System%\cmd.exe" /C copy /V /Y "{Malware directory}\{malware name}.exe" "{Malware directory}\{random characters}.exe";
• "{Malware directory}\{random characters}.exe" -n;
• %System%\cmd.exe" /C reg add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "%Application Data%\{random characters}.bmp" /f & reg add "HKCU\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d "0" /f & reg add "HKCU\Control Panel\Desktop" /v TileWallpaper /t REG_SZ /d "0" /f;
• "%System%\cmd.exe" /C wscript //B //Nologo "%Application Data%\{random characters}.vbs";
• "%System%\cmd.exe" /C schtasks /Create /tn DSHCA /tr "%Application Data%\{random characters}.bat" /sc minute /mo 5 /RL HIGHEST /F;
• "%System%\cmd.exe" /C schtasks /Run /I /tn DSHCA;
• cmd /c ""{Malware directory}\{random characters}.bat" "%System Root%\Users\All Users\Microsoft\RAC\StateData\RacDatabase.sdf"";
• cacls "%System Root%\Users\All Users\Microsoft\RAC\StateData\RacDatabase.sdf" /E /G Machine Name:F /C;
• takeown /F "%System Root%\Users\All Users\Microsoft\RAC\StateData\RacDatabase.sdf";
• {random characters}.exe -accepteula "RacDatabase.sdf" -nobanner;

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• MutexTRU8

Otras modificaciones del sistema

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\{random characters}.bmp

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 0

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://tru.{BLOCKED}sday.org

Robo de información

Recopila los siguientes datos:

• Computer name
• User name
• System Integrity Level
• Available Drives and Drive Data

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .MDF
• .NDF
• .LDF
• .MYD
• .EQL
• .SQL
• .VHD
• .SQLITE
• .SQLITE3
• .SQLITEDB
• .HWP
• .HWT
• .HML
• .HWDT
• .HWPX
• .CELL
• .NXL
• .HCDT
• .NXT
• .SHOW
• .HPT
• .HSDT
• .XLSX
• .XLS
• .DOCX
• .DOC
• .DOT
• .DOTX
• .ODT
• .ODS
• .BAK
• .TIB
• .DBS
• .DB
• .DBK
• .DB2
• .DB3
• .DBC
• .DT
• .DBS
• .DBF
• .DBX
• .MDB
• .SDF
• .NDF
• .NS2
• .NS3
• .NS4
• .NSF
• .ACCDB
• .VPD
• .DWG
• .CDR
• .PDF
• .JPEG
• .PSD
• .ZIP
• .RAR
• .7Z
• .TAR
• .GZ

Hace lo siguiente:

• It deletes the scheduled task with the following task name:
  • DSHCA