Ransom.MSIL.ZORAB.A

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

It drops an AUTORUN.INF file to automatically execute the copies it drops when a user accesses the drives of an affected system.

It deletes itself after execution.

It encrypts files found in specific folders. It drops files as ransom note.

Arrival Details

This Ransomware arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

This Ransomware adds the following processes:

• vssadmin.exe delete shadows /all /quiet
• wmic.exe shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} recoveryenabled no
• wbadmin delete catalog -quiet

Other System Modifications

This Ransomware adds the following registry entries:

HKEY_CURRENT_USER\Software\ShortCutInfection
sp.sp = True

Propagation

This Ransomware drops the following copies of itself in all physical and removable drives:

• {drive letter}:\bot.exe

It drops an AUTORUN.INF file to automatically execute the copies it drops when a user accesses the drives of an affected system.

The said .INF file contains the following strings:

[autorun]
open=C:\bot.exe
shellexecute=C:\

Other Details

This Ransomware adds the following registry keys:

HKEY_CURRENT_USER\Software\ShortCutInfection

It encrypts files with the following extensions:

• .1cd
• .3d
• .3d4
• .3df8
• .3ds
• .3fr
• .3g2
• .3gp
• .3gp2
• .3mm
• .3pr
• .7z
• .7zip
• .aac
• .ab4
• .abk
• .abw
• .ac3
• .accdb
• .accde
• .accdr
• .accdt
• .ace
• .ach
• .acr
• .act
• .adb
• .ade
• .adi
• .adp
• .adpb
• .adr
• .ads
• .adt
• .aes
• .agdl
• .ai
• .aiff
• .aim
• .aip
• .ais
• .ait
• .al
• .amf
• .amr
• .amu
• .amx
• .amxx
• .ans
• .aoi
• .ap
• .ape
• .api
• .apj
• .arc
• .ari
• .arj
• .aro
• .arr
• .arw
• .asa
• .asc
• .ascx
• .ase
• .asf
• .ashx
• .asm
• .asmx
• .asp
• .aspx
• .asr
• .asx
• .avi
• .avs
• .awg
• .back
• .backup
• .backupdb
• .bak
• .bat
• .bay
• .bck
• .bdb
• .bdp
• .bdr
• .bgt
• .bib
• .bic
• .big
• .bik
• .bin
• .bkf
• .bkp
• .blend
• .blp
• .bmc
• .bmf
• .bml
• .bmp
• .boc
• .bp2
• .bp3
• .bpl
• .bpw
• .brd
• .bsp
• .bz2
• .c
• .cag
• .cam
• .cap
• .car
• .cbproj
• .cbr
• .cbz
• .cc
• .ccd
• .cch
• .cd
• .cdf
• .cdr
• .cdr3
• .cdr4
• .cdr5
• .cdr6
• .cdrw
• .cdx
• .ce1
• .ce2
• .cer
• .cfg
• .cgf
• .cgm
• .chk
• .cib
• .class
• .clr
• .cls
• .cmd
• .cms
• .cmt
• .cod
• .col
• .com
• .config
• .contact
• .cp
• .cpi
• .cpp
• .cr2
• .craw
• .crd
• .crt
• .crw
• .cs
• .csh
• .csi
• .csl
• .cso
• .csproj
• .csr
• .css
• .csv
• .ctt
• .cty
• .cwf
• .dac
• .dal
• .dap
• .dat
• .db
• .db3
• .db_journal
• .dbb
• .dbf
• .dbx
• .dc2
• .dch
• .dcp
• .dcr
• .dcs
• .dcu
• .ddc
• .ddcx
• .ddd
• .ddoc
• .ddrw
• .dds
• .dem
• .der
• .des
• .design
• .dev
• .dex
• .dgc
• .dic
• .dif
• .dii
• .dip
• .dir
• .disk
• .dit
• .divx
• .diz
• .djv
• .djvu
• .dll
• .dmg
• .dng
• .dob
• .doc
• .docb
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .dox
• .dpk
• .dpl
• .dpr
• .drf
• .drw
• .dsk
• .dsp
• .dtd
• .dvd
• .dvi
• .dvx
• .dwg
• .dxb
• .dxe
• .dxf
• .dxg
• .edb
• .elf
• .eml
• .eps
• .eql
• .erbsql
• .erf
• .err
• .euc
• .evo
• .ex
• .exe
• .exf
• .exif
• .f90
• .faq
• .fcd
• .fdb
• .fdr
• .fds
• .ff
• .ffd
• .fff
• .fh
• .fhd
• .fla
• .flac
• .flf
• .flp
• .flv
• .flvv
• .flvv
• .for
• .fpp
• .fpx
• .frm
• .fxg
• .gam
• .gif
• .gpg
• .gray
• .grey
• .grf
• .groups
• .gry
• .gthr
• .gz
• .gzig
• .h
• .h3m
• .h4r
• .hbk
• .hdd
• .hpp
• .htm
• .html
• .hwp
• .ibd
• .ibz
• .idx
• .iif
• .iiq
• .img
• .incpas
• .indd
• .ink
• .ipa
• .isu
• .isz
• .itdb
• .itl
• .iwd
• .jar
• .jav
• .java
• .jc
• .jfif
• .jgz
• .jif
• .jiff
• .jnt
• .jpc
• .jpe
• .jpeg
• .jpf
• .jpg
• .jpw
• .js
• .kc2
• .kdbx
• .kdc
• .key
• .keywallet
• .kmz
• .kpdx
• .kwd
• .kwm
• .laccdb
• .lay
• .lay6
• .lbi
• .lcd
• .lcf
• .ldb
• .ldf
• .lgp
• .lit
• .log
• .lp2
• .ltm
• .ltr
• .lua
• .lvl
• .m
• .m2ts
• .m3u
• .m4p
• .m4v
• .mag
• .man
• .map
• .max
• .mbox
• .mbx
• .mcd
• .md
• .md3
• .mdb
• .mdc
• .mdf
• .mdl
• .mdn
• .mds
• .mef
• .mfw
• .mic
• .mid
• .mip
• .mkv
• .mlb
• .mlx
• .mml
• .mmw
• .mny
• .mod
• .mos
• .mov
• .moz
• .mp3
• .mp4
• .mpeg
• .mpg
• .mrw
• .ms11
• .msg
• .msp
• .mxp
• .myd
• .myi
• .nav
• .ncd
• .nd
• .ndd
• .ndf
• .nds
• .nef
• .nfo
• .nk2
• .nop
• .now
• .nrg
• .nri
• .nrw
• .ns2
• .ns3
• .ns4
• .nsd
• .nsf
• .nsg
• .nsh
• .nvram
• .nwb
• .nx2
• .nxl
• .nyf
• .oab
• .obj
• .odb
• .odc
• .odf
• .odg
• .odi
• .odm
• .odp
• .ods
• .odt
• .oft
• .oga
• .ogg
• .oil
• .opf
• .orf
• .ost
• .otg
• .oth
• .otp
• .ots
• .ott
• .owl
• .oxt
• .p12
• .p7b
• .p7c
• .pab
• .pages
• .pak
• .paq
• .pas
• .pat
• .pbf
• .pbp
• .pbs
• .pcd
• .pct
• .pcv
• .pdb
• .pdd
• .pdf
• .pef
• .pem
• .pfx
• .php
• .pif
• .pkb
• .pkh
• .pl
• .plc
• .pli
• .plus_muhd
• .pm
• .png
• .pot
• .potm
• .potx
• .ppam
• .ppd
• .ppf
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .prc
• .prf
• .prt
• .ps
• .psa
• .psafe3
• .psd
• .pst
• .ptx
• .puz
• .pwf
• .pwi
• .pwm
• .pxp
• .py
• .python
• .qba
• .qbb
• .qbm
• .qbr
• .qbw
• .qbx
• .qby
• .qcow
• .qcow2
• .qdf
• .qed
• .qel
• .qif
• .qpx
• .qtq
• .qtr
• .r3d
• .ra
• .raf
• .rar
• .rat
• .raw
• .rdb
• .res
• .rev
• .rgn
• .rm
• .rng
• .rrt
• .rsrc
• .rsw
• .rte
• .rtf
• .rts
• .rtx
• .rum
• .run
• .rv
• .rvt
• .rw2
• .rwl
• .rwz
• .s3db
• .sad
• .saf
• .safe
• .sas7bdat
• .sav
• .save
• .say
• .sch
• .scm
• .scn
• .scx
• .sd0
• .sda
• .sdb
• .sdc
• .sdf
• .sdn
• .sds
• .sdt
• .sen
• .sfs
• .sfx
• .sh
• .shar
• .shr
• .shw
• .sldm
• .sldx
• .slk
• .sln
• .slt
• .snp
• .so
• .spr
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .sqx
• .sr2
• .srf
• .srt
• .srw
• .ssa
• .st4
• .st5
• .st6
• .st7
• .st8
• .stc
• .std
• .sti
• .stm
• .stt
• .stw
• .stx
• .sud
• .svg
• .svi
• .svr
• .swd
• .swf
• .sxc
• .sxd
• .sxg
• .sxi
• .sxm
• .sxw
• .tar
• .tax2013
• .tax2014
• .tbk
• .tbz2
• .tch
• .tcx
• .tex
• .text
• .tg
• .tga
• .tgz
• .thm
• .thmx
• .tif
• .tiff
• .tlg
• .tlz
• .tpu
• .tpx
• .trp
• .tu
• .tur
• .txd
• .txf
• .txt
• .uax
• .udf
• .umx
• .unr
• .unx
• .uop
• .uot
• .upoi
• .url
• .usa
• .usx
• .ut2
• .ut3
• .utc
• .utx
• .uvx
• .uxx
• .val
• .vbox
• .vbproj
• .vbs
• .vc
• .vcd
• .vdi
• .vdo
• .ver
• .vhd
• .vhdx
• .vmdk
• .vmf
• .vmsd
• .vmt
• .vmx
• .vmxf
• .vob
• .vsi
• .vtf
• .w3g
• .w3x
• .wab
• .wad
• .wallet
• .war
• .wav
• .wave
• .waw
• .wb2
• .wbk
• .wdgt
• .wks
• .wm
• .wma
• .wmd
• .wmdb
• .wmmp
• .wmv
• .wmx
• .wow
• .wpd
• .wpk
• .wpl
• .wps
• .wsh
• .wtd
• .wtf
• .wvx
• .x11
• .x3f
• .xis
• .xl
• .xla
• .xlam
• .xlc
• .xlk
• .xll
• .xlm
• .xlr
• .xls
• .xlsb
• .xlsb,3dm
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlv
• .xlw
• .xlwx
• .xml
• .xpi
• .xpt
• .xvid
• .xwd
• .yab
• .ycbcra
• .yps
• .yuv
• .z02
• .z04
• .zap
• .zip
• .zipx
• .zoo

It does the following:

• Encrypts all removable and network drives

It deletes itself after execution.

Ransomware Routine

This Ransomware encrypts files found in the following folders:

• %User Profile%

(Note: %User Profile% is the current user's profile folder, which is usually C:\Documents and Settings\{user name} on Windows 2000(32-bit), XP, and Server 2003(32-bit), or C:\Users\{user name} on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) and 10(64-bit).)

It appends the following extension to the file name of the encrypted files:

• .ZRB

It drops the following file(s) as ransom note:

• {Encrypted Directory}\--DECRYPT--ZORAB.txt