Home / malware

PDF

Win32/Sarento

First posted on 06 November 2015.
Source: Microsoft

Aliases :

There are no other names known for Win32/Sarento.

Explanation :

Threat behavior

Installation

This threat can create files in your PC, for example:

• %desktop%\encryptor_raas_readme_liesmich.txt

Payload

Encrypts your files

This threat encrypts files on your PC that have the following extensions:

• .2fs
• .3dm
• .3ds
• .3g2
• .3gp
• .7z
• .aac
• .abbu
• .abw
• .accdb
• .adr
• .ahk
• .ai
• .aif
• .alt
• .ape
• .apk
• .arc
• .arv
• .as
• .asc
• .asf
• .ashdisc
• .asm
• .asp
• .aspx
• .asx
• .aup
• .avi
• .ba0
• .backup
• .bak
• .bas
• .bbb
• .bc
• .bc!
• .bdb
• .bde
• .bdf
• .bdg
• .bdi
• .bdk
• .bdl
• .bdm
• .bdmv
• .bdsproj
• .bdw
• .bdx
• .bee
• .ben
• .bes
• .bex
• .bexpk
• .bf
• .bf2
• .bfa
• .bfb
• .bfe
• .bff
• .bgz
• .bhx
• .bib
• .bibtex
• .bik
• .bkf
• .bkp
• .bks
• .bkup
• .bmp
• .bpn
• .bson
• .btd
• .bz2
• .c
• .c++
• .cad
• .cadp
• .caf
• .cbu
• .cda
• .cdf
• .cdi
• .cdr
• .cdx
• .cer
• .cert
• .cfg
• .cfm
• .cgi
• .chr
• .class
• .cnt
• .cod
• .conf
• .cpio
• .cpp
• .crd
• .crt
• .crypt7
• .cs
• .csproj
• .csr

• .csv
• .cue
• .d64
• .data
• .db3
• .dbf
• .dbt
• .dbx
• .dds
• .ddz
• .dem
• .deviceids
• .df
• .dfd
• .dfproj
• .dia
• .dir
• .diz
• .dmg
• .doc
• .docm
• .docx
• .dot
• .dqy
• .dsb
• .dsn
• .dta
• .dtr
• .dtv
• .dwg
• .dxf
• .ebk
• .eddx
• .edoc
• .eml
• .emlx
• .enc
• .eps
• .epub
• .es
• .es~
• .ex4
• .exp
• .fdb
• .fdf
• .ff1
• .ffs_db
• .ffu
• .fh10
• .fh11
• .fi2
• .fig
• .fil
• .flac
• .flg
• .flp
• .flv
• .fmd
• .fpt
• .ftp
• .gam
• .gar
• .gcode
• .gho
• .gid
• .gif
• .gla
• .gpg
• .gpx
• .gz
• .h
• .h++
• .hbk
• .hdd
• .hds
• .hex
• .hpp
• .hst
• .htc
• .ico
• .ics
• .idml
• .idx
• .if
• .iff
• .imb
• .img
• .imh
• .iml
• .imm
• .in0
• .indd
• .int
• .ipd
• .iso
• .isz
• .iwa
• .j2k
• .jad
• .jar
• .java
• .jdb

• .jks
• .jmf
• .jp2
• .jpeg
• .jpf
• .jpg
• .jpm
• .jpx
• .jsp
• .jspa
• .jspx
• .jst
• .k1f
• .kb1
• .kcf
• .kch
• .kcl
• .kdb
• .kdbx
• .key
• .keynote
• .kml
• .kmz
• .knt
• .kpr
• .ld
• .ldif
• .lib
• .lic
• .lis
• .lpd
• .ls
• .ltx
• .lwp
• .lyc
• .lyt
• .lzma
• .m3u
• .m4a
• .m4v
• .max
• .mb
• .mbox
• .mcs
• .md2
• .mdb
• .mdbackup
• .mddata
• .mde
• .mdf
• .mdi
• .mdinfo
• .mds
• .mdw
• .mdx
• .mid
• .mkv
• .mmf
• .mnu
• .mobileprovision
• .mon
• .mov
• .mp3
• .mp4
• .mpa
• .mpb
• .mpeg
• .mpg
• .mpj
• .mpp
• .mq4
• .mqh
• .ms
• .msf
• .msg
• .mso
• .mta
• .mts
• .mus
• .myd
• .myf
• .myi
• .nam
• .nap
• .nba
• .nbf
• .nbi
• .nbu
• .nbz
• .nco
• .nes
• .net
• .new
• .nfo
• .nng
• .note
• .nr
• .nrg
• .nri
• .nru
• .ns
• .nzb

• .oa4
• .oac
• .odb
• .odc
• .ods
• .odt
• .ogg
• .old
• .opt
• .or4
• .org
• .ott
• .ova
• .ovf
• .ovpn
• .oxps
• .p12
• .p2i
• .p65
• .p7
• .pages
• .pbi
• .pct
• .pdf
• .pdfx
• .pehape
• .pem
• .pfq
• .pfx
• .pgp
• .php
• .php3
• .php4
• .php5
• .phps
• .phpx
• .phpxx
• .phtm
• .phtml
• .pid
• .pins
• .pl
• .plist
• .pmd
• .pmk
• .pmx
• .pnf
• .png
• .ppdf
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .pref
• .prn
• .prt
• .ps
• .psd
• .pspimage
• .pst
• .pub
• .pvm
• .pwd
• .px
• .qcn
• .qcow
• .qcow2
• .qt
• .qxp
• .ra
• .rar
• .raw
• .rdp
• .rm
• .rpb
• .rtf
• .s
• .sam
• .sav
• .sbf
• .scv
• .sdc
• .sdi
• .sds
• .sdx
• .sdy
• .secure
• .seed
• .sel
• .seq
• .set
• .sfv
• .shs
• .skb
• .skd
• .skp
• .slf
• .sln
• .sme
• .smk

• .smm
• .sms
• .spb
• .spi
• .spro
• .sql
• .srp
• .srt
• .srv
• .ssc
• .ssi
• .sss
• .stf
• .stg
• .stl
• .stw
• .sub
• .suo
• .svg
• .swf
• .sxw
• .symbolmap
• .syncdb
• .tag
• .tar
• .tav
• .tb3
• .tc
• .tdl
• .tex
• .tga
• .thm
• .tib
• .tif
• .tiff
• .tlx
• .toast
• .torrent
• .tpl
• .ts
• .tv
• .tvc
• .txt
• .ucd
• .user
• .val
• .vbk
• .vcard
• .vcd
• .vcf
• .vdi
• .vfs4
• .vhd
• .vhdx
• .vir
• .vmc
• .vmdk
• .vob
• .vsd
• .vsv
• .wab
• .wallet
• .war
• .wav
• .wbk
• .wbverify
• .wc
• .webarchive
• .webm
• .whtt
• .wim
• .win
• .wlt
• .wma
• .wmb
• .wmv
• .workflow
• .wpb
• .wps
• .wsb
• .xdw
• .xed
• .xg0
• .xg1
• .xg2
• .xlg
• .xlk
• .xlr
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xlw
• .xsn
• .xz
• .yg0
• .yg1
• .yg2
• .yuv
• .z
• .zip

We have observed some variants do not encrypt the Bitcon wallet file wallet.dat.

Some variants of this threat delete shadow files to prevent users from restoring files from a local back up.

This threat uses TOR to communicate with its backend server.

Example icon and notifications:

Analysis by Carmen Liang Symptoms The following can indicate that you have this threat on your PC:

• You can't open your files
• You see a message like the following:

Last update 06 November 2015

 

TOP