Ransom.Win32.WASTEDLOCKER.AC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\{Generated String}.exe
  • It generates the filename from a list created from registry keys stored in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control
• %Application Data%\{Generated String}:bin -> Alternate Data Stream containing a copy of itself

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Infiltra los archivos siguientes:

• %User Temp%\{Malware Filename}.dmp -> deleted afterwards
• %User Temp%\{Generated String}.dmp -> deleted afterwards
• %Application Data%\{Generated String} -> Random Dll or Exe file from %System%
• %User Temp%\lck.log -> Log file

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• %Application Data%\{Generated String}:bin -r
• %System%\vssadmin.exe Delete Shadows /All /Quiet
• %System%\takeown.exe /F %System%\{Generated String}.exe
• %System%\icacls.exe %System%\{Generated String}.exe /reset
• cmd /c choice /t 10 /d y & attrib -h "%Application Data%\{Generated String}" & del "%Application Data%\{Generated String}"
• cmd /c choice /t 10 /d y & attrib -h "{Malware Path}\{Malware Filename}.exe" & del "{Malware Path}\{Malware Filename}.exe"

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %System%\{Generated String}.exe
• {Malware Path}\{Malware Filename}.exe
• %Application Data%\{Generated String}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Otros detalles

Hace lo siguiente:

• It accepts the following arguments:
  • -r -> Delete shadow copies
  • Copies the ransomware binary file to %System% directory, take ownership of the file, and reset Access Control List permissions
  • Create and run a service. It deletes the service after execution
  • Service Name: {Generated String}
  • Image Path: %System%\{Generated String}.exe -s
  • -s -> Executed Created Service
• This Ransomware encrypts the following drives:
  • Removable Drives
  • Fixed Drives
  • Remote (Network) Drives

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).