RANSOM_CRYPTRITU.A

Um einen Überblick über das Verhalten dieser Trojan zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Ändert Zoneneinstellungen von Internet Explorer.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\Chrome Browser\chrome - copy of the GPL licensing agreement
• %Application Data%\Chrome Browser\chrome.exe - NW.js package application contains the actual malicious routine.
• %Application Data%\Chrome Browser\icudtd.dat - NW.js framework component
• %Application Data%\Chrome Browser\ffmpegsumo.dll - NW.js framework component
• %Application Data%\Chrome Browser\nw.pak - NW.js framework component
• %Application Data%\Chrome Browser\g - config file (Bitcoin address, Error Message, Affiliate ransom amount)
• %Application Data%\Chrome Browser\rundll32.exe - Renamed TOR client used for C2 communication
• %Application Data%\Chrome Browser\msgbox.vbs - script used to display the Error Message
• %Application Data%\Chrome Browser\s.exe - used to drop the shortcut file in %User Startup% folder
• %Application Data%\Chrome Browser\u.vbs - Enumerates and deletes all files and folder in the specified directory.

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Erstellt die folgenden Ordner:

• %Application Data%\Chrome Browser

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• ChromeService.lnk - shortcut file that points to %Application Data%\Chrome Browser\chrome.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.40.189:443
• http://{BLOCKED}.{BLOCKED}.244.244:443
• http://{BLOCKED}.{BLOCKED}.105.57:9001
• http://{BLOCKED}.{BLOCKED}.92.11:9101
• http://{BLOCKED}.{BLOCKED}.93.36:9001
• http://{BLOCKED}.{BLOCKED}.92.11:9001
• http://{BLOCKED}.{BLOCKED}.18.110:80

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• *.jpg
• *.jpeg
• *.raw
• *.tif
• *.gif
• *.png
• *.bmp
• *.3dm
• *.max
• *.accdb
• *.db
• *.dbf
• *.mdb
• *.pdb
• *.sql
• *.*sav*
• *.*spv*
• *.*grle*
• *.*mlx*
• *.*sv5*
• *.*game*
• *.*slot*
• *.dwg
• *.dxf
• *.c
• *.cpp
• *.cs
• *.h
• *.php
• *.asp
• *.rb
• *.java
• *.jar
• *.class
• *.aaf
• *.aep
• *.aepx
• *.plb
• *.prel
• *.prproj
• *.aet
• *.ppj
• *.psd
• *.indd
• *.indl
• *.indt
• *.indb
• *.inx
• *.idml
• *.pmd
• *.xqx
• *.xqx
• *.ai
• *.eps
• *.ps
• *.svg
• *.swf
• *.fla
• *.as3
• *.as
• *.txt
• *.doc
• *.dot
• *.docx
• *.docm
• *.dotx
• *.dotm
• *.docb
• *.rtf
• *.wpd
• *.wps
• *.msg
• *.pdf
• *.xls
• *.xlt
• *.xlm
• *.xlsx
• *.xlsm
• *.xltx
• *.xltm
• *.xlsb
• *.xla
• *.xlam
• *.xll
• *.xlw
• *.ppt
• *.pot
• *.pps
• *.pptx
• *.pptm
• *.potx
• *.potm
• *.ppam
• *.ppsx
• *.ppsm
• *.sldx
• *.sldm
• *.wav
• *.mp3
• *.aif
• *.iff
• *.m3u
• *.m4u
• *.mid
• *.mpa
• *.wma
• *.ra
• *.avi
• *.mov
• *.mp4
• *.3gp
• *.mpeg
• *.3g2
• *.asf
• *.asx
• *.flv
• *.mpg
• *.wmv
• *.vob
• *.m3u8
• *.csv
• *.efx
• *.sdf
• *.vcf
• *.xml
• *.ses
• *.dat