Analysé par: Homer Pacag   

 

Trojan:Win32/Dynamer!ac (Microsoft);

 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Trojan

  • Destructif:
    Non

  • Chiffrement:
     

  • In the wild::
    Oui

  Overview


  Détails techniques

File size: 437,554 bytes
File type: EXE
Date de réception des premiers échantillons: 13 mai 2015

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

  • %Application Data%\{random file name}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

  • %Application Data%\key.dat
  • %Application Data%\log.html ->list of encrypted files
  • %User Profile%\My Documents\RECOVERY_FILE.TXT
  • {File path of encrypted files}\HELP_TO_SAVE_FILES.txt ->ransom note
  • %User Profile%\Desktop\HELP_TO_SAVE_FILES.bmp ->ransom wallpaper
  • %User Profile%\Desktop\Save_Files.lnk ->shortcut of itself

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AVrSvc = "%Application Data%\{random file name}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AVrSvc = "%Application Data%\{random file name}.exe"

Andere Systemänderungen

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Profile%\Desktop\HELP_TO_SAVE_FILES.bmp"

(Note: The default value data of the said registry entry is {User defined}.)

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

  • sql
  • mp4
  • 7z
  • rar
  • m4a
  • wma
  • avi
  • wmv
  • csv
  • d3dbsp
  • zip
  • sie
  • sum
  • ibank
  • t13
  • t12
  • qdf
  • gdb
  • tax
  • pkpass
  • bc6
  • bc7
  • bkp
  • qic
  • bkf
  • sidn
  • sidd
  • mddata
  • itl
  • itdb
  • icxs
  • hvpl
  • hplg
  • hkdb
  • mdbackup
  • syncdb
  • gho
  • cas
  • svg
  • map
  • wmo
  • itm
  • sb
  • fos
  • mov
  • vdf
  • ztmp
  • sis
  • sid
  • ncf
  • menu
  • layout
  • dmp
  • blob
  • esm
  • vcf
  • vtf
  • dazip
  • fpk
  • mlx
  • kf
  • iwd
  • vpk
  • tor
  • psk
  • rim
  • w3x
  • fsh
  • ntl
  • arch00
  • lvl
  • snx
  • cfr
  • ff
  • vpp_pc
  • lrf
  • m2
  • mcmeta
  • vfs0
  • mpqge
  • kdb
  • db0
  • dba
  • rofl
  • hkx
  • bar
  • upk
  • das
  • iwi
  • litemod
  • asset
  • forge
  • ltx
  • bsa
  • apk
  • re4
  • sav
  • lbf
  • slm
  • bik
  • epk
  • rgss3a
  • pak
  • big
  • wallet
  • wotreplay
  • xxx
  • desc
  • py
  • m3u
  • flv
  • js
  • css
  • rb
  • png
  • jpeg
  • txt
  • p7c
  • p7b
  • p12
  • pfx
  • pem
  • crt
  • cer
  • der
  • x3f
  • srw
  • pef
  • ptx
  • r3d
  • rw2
  • rwl
  • raw
  • raf
  • orf
  • nrw
  • mrwref
  • mef
  • erf
  • kdc
  • dcr
  • cr2
  • crw
  • bay
  • sr2
  • srf
  • arw
  • 3fr
  • dng
  • jpe
  • jpg
  • cdr
  • indd
  • ai
  • eps
  • pdf
  • pdd
  • psd
  • dbfmdf
  • wb2
  • rtf
  • wpd
  • dxg
  • xf
  • dwg
  • pst
  • accdb
  • mdb
  • pptm
  • pptx
  • ppt
  • xlk
  • xlsb
  • xlsm
  • xlsx
  • xls
  • wps
  • docm
  • docx
  • doc
  • odb
  • odc
  • odm
  • odp
  • ods
  • odt

Benennt verschlüsselte Dateien in folgende Namen um:

  • {Original Filename}.exx