RANSOM_HIDDENTEARANONCRACK.A

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Descarga un archivo desde un determinado localizador uniforme de recursos (URL) y le cambia el nombre posteriormente antes de almacenarlo en el sistema afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Agrega las carpetas siguientes:

• C:\{User Name}\
• C:\{User Name}\Rand123\

Crea las siguientes copias de sí mismo en el sistema afectado:

• C:\{User Name}\Rand123\local.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %Desktop%\READ_IT.txt.locked

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "C:\{User Name}\ransom.jpg"

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Rutina de descarga

Descarga archivos desde los siguientes localizadores uniformes de recursos (URL) y les cambia el nombre posteriormente antes de almacenarlos en el sistema afectado:

• https://{BLOCKED}me123.000webhostapp.com/Ransomware/Ransom.jpg

Guarda los archivos que descarga con los nombres siguientes:

• C:\{User Name}\ransom.jpg

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://pruebame123.{BLOCKED}hostapp.com/Ransomware/write.php?info={Computer Name}-{User Name} {Encryption Key}