RANSOM_SIGMA.B

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %Application Data%\Microsoft\{GUID 32 Hex Values}\taskwgr.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust folgende Dateien/Komponenten ein:

• %Application Data%\tor\lock
• %Application Data%\tor\state.tmp
• %Application Data%\tor\unverified-microdesc-consensus.tmp
• %Application Data%\tor\cached-certs.tmp
• %Application Data%\tor\cached-microdesc-consensus.tmp
• %Application Data%\tor\cached-microdescs.new
• %Application Data%\tor\state.tmp
• %Application Data%\Microsoft\{GUID 32 Hex Values}\System.zip
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Data\Tor\geoip
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Data\Tor\geoip6
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\libeay32.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\libevent-2-0-5.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\libevent_core-2-0-5.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\libevent_extra-2-0-5.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\libgcc_s_sjlj-1.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\libssp-0.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\ssleay32.dll
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\tor-gencert.exe
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\tor.exe
• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\zlib1.dll

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %Application Data%\Microsoft\{GUID 32 Hex Values}\Tor\svchost.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\Microsoft\{GUID 32 Hex Values}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
chrome = Rundll32.exe SHELL32.DLL,ShellExec_RunDLL %Application Data%\Microsoft\{GUID 32 Hex Values}\taskwgr.exe

Andere Systemänderungen

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Datendiebstahl

Stiehlt folgende Daten:

• Username
• OS
• Machine Name
• No. of Files Encrypted
• Country

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}qj7azyldq2.{BLOCKED}n/control.php

Beendet sich selbst, falls festgestellt wird, dass die Ausführung in einer virtuellen Umgebung erfolgt.