TROJ_CRILOCK.ER

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Installation

Schleust die folgenden Dateien ein:

• {Path Name}\README TO UNLOCK.txt
• %User Temp%\Email.pdf - it will be also executed
• {Path Name}\READMETOUNLOCK.txt
• %User Temp%\MailMessage.exe - detected as TROJ_CRILOCK.ER
• %User Temp%\{variable name 1}.exe - detected as TROJ_CRILOCK.ER

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Hinterlässt Textdateien, um Lösegeld durch folgenden Inhalt zu erpressen:

• ** Your files have been locked and encrypted with a unique RSA-2048 key! **
  To unlock your files/data:
  1. Download and install the Tor browser from:
  https://www.torproject.org/projects/torbrowser.html.en
  2. Now go to:
  http://{BLOCKED}54x5f3.onion
  (From within the Tor browser)
  Follow the instructions. You will then receive the decryption key (password) and decryptor within 12 hours.
  BEWARE - this is NOT a virus.
  The ONLY way to get your files back is to pay for the decryptor + decryption key (password).
  Guaranteed recovery is provided within 10 days.
  ** Your ID# is {ID} **

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{variable name 2} = "%User Temp%\{variable name 1}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CLASSES_ROOT\.{variable name 3}

HKEY_CLASSES_ROOT\{variable name 4}

HKEY_CLASSES_ROOT\{variable name 4}\DefaultIcon

HKEY_CLASSES_ROOT\{variable name 4}\shell\
open\command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{variable name 3}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\DefaultIcon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\shell\open\
command

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CLASSES_ROOT\.{variable name 3}
(Default) = "{variable name 4}"

HKEY_CLASSES_ROOT\{variable name 4}
(Default) = "LOCKED"

HKEY_CLASSES_ROOT\{variable name 4}\DefaultIcon
(Default} = "%User Temp%\{variable name 1}.exe,0"

HKEY_CLASSES_ROOT\{variable name 4}\shell\
open\command
(Default) = "%User Temp%\{variable name 1}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{variable name 3}
(Default) = "{variable name 4}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}
(Default) = "LOCKED"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\DefaultIcon
(Default) = "%User Temp%\{variable name 1}.exe,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\shell\open\
command
(Default) = "%User Temp%\{variable name 1}.exe"

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• *.1cd
• *.3gp
• *.7z
• *.ac3
• *.accdb
• *.ai
• *.ape
• *.avi
• *.bmp
• *.cdr
• *.cdr
• *.cer
• *.csv
• *.dbf
• *.dcr
• *.divx
• *.djvu
• *.doc
• *.docx
• *.dwg
• *.dwg
• *.dxf
• *.dxg
• *.eps
• *.epub
• *.flac
• *.flv
• *.gif
• *.gzip
• *.htm
• *.html
• *.ifo
• *.indd
• *.iso
• *.jpeg
• *.jpg
• *.kdc
• *.kwm
• *.m2v
• *.max
• *.md
• *.mdb
• *.mdf
• *.mkv
• *.mov
• *.mp3
• *.mp4
• *.mpeg
• *.mpg
• *.odt
• *.p12
• *.p7b
• *.p7c
• *.pdf
• *.pfx
• *.png
• *.pps
• *.ppt
• *.pptm
• *.pptx
• *.psd
• *.pst
• *.pwm
• *.qbb
• *.qbw
• *.rar
• *.raw
• *.tar
• *.tif
• *.torrent
• *.txt
• *.vob
• *.wav
• *.wma
• *.wmv
• *.wpd
• *.xls
• *.xlsx
• *.zip

Benennt verschlüsselte Dateien in folgende Namen um:

• {filename and extension}.CRYPTOLOCKER