Ransom.Win32.CRYPFINI.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Profile%\{Computer name}-{Random Characters}.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Infiltra los archivos siguientes:

• {Target Drive or Folders}:\ReadDecryptFilesHere.txt
• %User Profile%\z2.bmp

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).

Agrega los procesos siguientes:

• "%System%\cmd.exe" /k vssadmin.exe Delete Shadows /All /Quiet
• "%System%\cmd.exe" /k bcedit.exe /set {default} recoveryenabled No
• "%System%\cmd.exe" /k bcedit.exe /set {default} bootstatuspolicy ignoreallfailures

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft corporation = %User Profile%\{Computer name}-{Random Characters}.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
KEY = [Random characters]

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
KEYFREE = [Random characters]

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
1 = 000000

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
c = 23

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
m = 59

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
s = {59,43,41,39}

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
Finish = True

HKEY_CURRENT_USER\Software\CryptInfinite\
Info
FreeFile = {File name of the 10th encrypted file}

HKEY_CURRENT_USER\Software\CryptInfinite\
Files
{Number starting from 1 up to the total number of encrypted files} = {File name of the encrypted file}

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
wallpaper = %User Profile%\z2.bmp

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• msconfig.exe
• rstrui.exe
• tcpview.exe
• procexp.exe
• procmon.exe
• wireshark.exe
• lordPE.exe
• regedit.exe
• cmd.exe
• filemon.exe
• procexp64.exe

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\CryptInfinite

HKEY_CURRENT_USER\Software\CryptInfinite\
Info

HKEY_CURRENT_USER\Software\CryptInfinite\
Files

Hace lo siguiente:

• Encrypts files within the following drives only:
  • Fixed Drive
  • Removable Drive
  • Network Drive
• Change desktop wallpaper into:
  
• Drops this text file that serves as a ransom note:
  
• Connects to the following URL and waits for a response before the malware proceeds to display the ransomnote:
  • http://{BLOCKED}i2.onion.direct/lending/bot.php?name={Computer Name}&kod={Random Characters}&pid=2
• Display this following window if successfully established connection from the URL above:
  • 
  • These buttons does the following:
    • "Next->" -> Display another page:
      
    • "Where buy?" -> https://www.paypal-cash.com -> Legitimate Paypal website.
    • "Decrypt 1 file for free" -> Restore the 10th encrypted file.
    • "Manual Check" -> Display another message and button:
      
    • "Download DecryptMax.exe" -> http://www.sendspace.com/file/{BLOCKED}n