Ransom.Win32.BLACKMATTER.THGOCBA
Trojan-Ransom.BlackMatter (IKARUS)
Windows
Malware-Typ:
Ransomware
Zerstrerisch?:
Nein
Verschlsselt?:
Ja
In the wild::
Ja
?berblick
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Technische Details
?bertragungsdetails
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Schleust die folgenden Dateien ein:
- used as wallpaper:
- %ProgramData%\{appended ransomware extension}.bmp
Fügt die folgenden Prozesse hinzu:
- if -safe is used:
- bcdedit /set {current} safeboot network
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- Global\{Generated hash based on GUID}
Autostart-Technik
Fügt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*{random} = {malware path}\{malware name}
Andere System?nderungen
Fügt die folgenden Registrierungseintr?ge hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension}
hScreen = {screen height}
HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension}
wScreen = {screen width}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultUserName = Administrator
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultDomainName = {Computer name}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DefaultPassword = {random string}
?ndert das Hintergrundbild des Desktops durch Ab?nderung der folgenden Registrierungseintr?ge:
HKEY_CURRENT_USER\Control Panel\Desktop
WallPaper = %ProgramData%\{appended ransomware extension}.bmp
HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 10
Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:
Prozessbeendigung
Beendet die folgenden Dienste, wenn sie auf dem betroffenen System gefunden werden:
- mepocs
- memtas
- veeam
- svc$
- backup
- sql
- vss
Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:
- encsvc
- thebat
- mydesktopqos
- xfssvccon
- firefox
- infopath
- winword
- steam
- synctime
- notepad
- ocomm
- onenote
- mspub
- thunderbird
- agntsvc
- sql
- excel
- powerpnt
- outlook
- wordpad
- dbeng50
- isqlplussvc
- sqbcoreservice
- oracle
- ocautoupds
- dbsnmp
- msaccess
- tbirdconfig
- ocssd
- mydesktopservice
- visio
Datendiebstahl
Folgende Daten werden gesammelt:
- Machine GUID
- Computer name
- Hostname
- Username
- Domain
- OS Architecture
- Language
- Disk information (free size, disk size)
- Total number of files
- Total number of encrypted files
Entwendete Daten
Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:
- http://{BLOCKED}hacks.com/{encrypted gathered information}
- http://{BLOCKED}den.com/{encrypted gathered information}
Andere Details
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension} → deleted after execution
Es macht Folgendes:
- If not executed with admin rights, it will relaunch itself as admin
- It encrypts fixed, removable and network drives
- It deletes files in recycle bin folder for removable and fixed drives
- It uses WQL to delete shadow copies
- It attempts logging in to infected machine using the following credentials:
- Username: {BLOCKED}er@{BLOCKED}p.com
Password: {BLOCKED}er - Username: {BLOCKED}h@{BLOCKED}p.com
Password: {BLOCKED}19 - Username: {BLOCKED}r@{BLOCKED}p.com
Password: {BLOCKED}**
- Username: {BLOCKED}er@{BLOCKED}p.com
L?sungen
Step 2
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>
Step 4
Im abgesicherten Modus neu starten
Step 5
Diesen Registrierungswert l?schen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- AutoAdminLogon = 1
- AutoAdminLogon = 1
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultUserName = Administrator
- DefaultUserName = Administrator
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultDomainName = {Computer name}
- DefaultDomainName = {Computer name}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- DefaultPassword = {random string}
- DefaultPassword = {random string}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- *{random} = {malware path}\{malware name}
- *{random} = {malware path}\{malware name}
Step 6
Diesen Registrierungsschlüssel l?schen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\{appended ransomware extension}
Step 7
Diese Datei suchen und l?schen
- %ProgramData%\{extension}.bmp
- {appended ransomware extension}.README.txt
Step 8
Desktop-Eigenschaften zurücksetzen
Step 9
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt nach Dateien, die als Ransom.Win32.BLACKMATTER.THGOCBA entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.
Step 10
Restore encrypted files from backup.
Nehmen Sie an unserer Umfrage teil