Worm.Win32.WANNACRY.RGN

Este malware no tiene ninguna rutina de puerta trasera.

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Este malware no tiene ninguna capacidad para robar información.

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ImagePath = "{initial malware file path} -m security"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
DisplayName = "Microsoft Security Center (2.0) Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ObjectName = "LocalSystem"

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0

Inicia los servicios siguientes:

• Service Name: mssecsvc2.0
  Display Name: Microsoft Security Center (2.0) Service
  Path to Executable: "{Initial Malware File Path} -m security"

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Rutina de infiltración

Infiltra los archivos siguientes:

• %Windows%\tasksche.exe ← detected as Ransom.Win32.WCRY.DAM

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Robo de información

Este malware no tiene ninguna capacidad para robar información.

Otros detalles

Hace lo siguiente:

• It connects to http://www.{BLOCKED}sodp9ifjaposdfjhgosurijfaewrwergwea.com. It is initially used as a kill switch for infection, however on this variant, it will still continue with its routine regardless of the connection.
• It scans the following to check for open port 445:
  • Local Area Network
  • Randomly-generated IP addresses over the Internet
• If it finds a host on the Local Area Network or the Internet with open port 445, it will attempt to exploit MS17-010 vulnerability to drop and execute a copy of itself to the remote host.
• It uses the following file path for its dropped copies on the remote hosts.
  • %Windows%\mssecsvc.exe
• It checks for the presence of the file %Windows%\tasksche.exe. If the file exists, it will rename the file using the following name %Windows%\qeriuwjhrf.
• It executes %Windows%\tasksche.exe with /i parameter.