Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Вход Регистрация
MITRE ATT&CK - Инструмент Ragnar Locker
Каталоги
MITRE ATT&CK
БДУ ФСТЭК
Новая БДУ ФСТЭК
Риски
Каталоги
MITRE ATT&CK
Инструмент
Ragnar Locker
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал

Ragnar Locker

Ragnar Locker is a ransomware that has been in use since at least December 2019.(Citation: Sophos Ragnar May 2020)(Citation: Cynet Ragnar Apr 2020)
ID: S0481
Type: MALWARE
Platforms: Windows
Version: 1.1
Created: 29 Jun 2020
Last Modified: 13 Apr 2021

Techniques Used
Domain ID Name Use
Enterprise T1059 .003 Command and Scripting Interpreter: Windows Command Shell

Ragnar Locker has used cmd.exe and batch scripts to execute commands.(Citation: Sophos Ragnar May 2020)
Enterprise T1543 .003 Create or Modify System Process: Windows Service

Ragnar Locker has used sc.exe to create a new service for the VirtualBox driver.(Citation: Sophos Ragnar May 2020)
Enterprise T1564 .006 Hide Artifacts: Run Virtual Instance

Ragnar Locker has used VirtualBox and a stripped Windows XP virtual machine to run itself. The use of a shared folder specified in the configuration enables Ragnar Locker to encrypt files on the host operating system, including files on any mapped drives.(Citation: Sophos Ragnar May 2020)
Enterprise T1562 .001 Impair Defenses: Disable or Modify Tools

Ragnar Locker has attempted to terminate/stop processes and services associated with endpoint security products.(Citation: Sophos Ragnar May 2020)
Enterprise T1218 .007 System Binary Proxy Execution: Msiexec

Ragnar Locker has been delivered as an unsigned MSI package that was executed with msiexec.exe.(Citation: Sophos Ragnar May 2020)
.010 System Binary Proxy Execution: Regsvr32

Ragnar Locker has used regsvr32.exe to execute components of VirtualBox.(Citation: Sophos Ragnar May 2020)

.011 System Binary Proxy Execution: Rundll32

Ragnar Locker has used rundll32.exe to execute components of VirtualBox.(Citation: Sophos Ragnar May 2020)

Enterprise T1569 .002 System Services: Service Execution

Ragnar Locker has used sc.exe to execute a service that it creates.(Citation: Sophos Ragnar May 2020)

References

  1. SophosLabs. (2020, May 21). Ragnar Locker ransomware deploys virtual machine to dodge security. Retrieved June 29, 2020.
  2. Gold, B. (2020, April 27). Cynet Detection Report: Ragnar Locker Ransomware. Retrieved June 29, 2020.
  3. FBI. (2020, November 19). Indicators of Compromise Associated with Ragnar Locker Ransomware. Retrieved April 1, 2021.
Навигация

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.