RANSOM_CRYPWALL.XXUAB

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam. Puede haberlo infiltrado otro malware.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Puede haberlo infiltrado otro malware.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random 8 characters}\{random 10 characters}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Infiltra los archivos siguientes:

Infiltra y ejecuta los archivos siguientes:

• %Desktop%\HELP_YOUR_FILES.HTML
• %Desktop%\HELP_YOUR_FILES.PNG
• %Desktop%\HELP_YOUR_FILES.TXT

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Agrega los procesos siguientes:

• explorer.exe
• svchost.exe

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• created explorer.exe
• created svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters} = "%Application Data%\{random 8 characters}\{random 10 characters}.exe"

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(Note: The default value data of the said registry entry is 0.)

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}dia.com/1LaXd8.php
• http://{BLOCKED}owacademy.com/5_YQDI.php
• http://{BLOCKED}juice.com/z9r0qh.php
• http://{BLOCKED}od.com/HS0ILJ.php
• http://{BLOCKED}australia.com/8gX7hN.php
• http://{BLOCKED}fter60.com/iCqjno.php
• http://{BLOCKED}acts.com/EiFSId.php
• http://{BLOCKED}tt.com/YuF59b.php
• http://{BLOCKED}ational.com/eRs70a.php
• http://{BLOCKED}ep.com/OIsSCj.php
• http://{BLOCKED}ter60.com/r_kfhH.php
• http://{BLOCKED}china.com/etdhIk.php
• http://{BLOCKED}07.com/VoZQ_j.php
• http://{BLOCKED}leinc.com/yL54uH.php
• http://{BLOCKED}udoula.com/GH09Dp.php
• http://{BLOCKED}ong.com/yzoLR7.php
• http://{BLOCKED}op.lk/6872VF.php
• http://{BLOCKED}aj.com/60wEBT.php
• http://{BLOCKED}er.com/uVRfPv.php
• http://{BLOCKED}les.in/ZUQce4.php
• http://{BLOCKED}igns.com/E8B2gt.php
• http://{BLOCKED}hare.org/WEAbCT.php
• http://{BLOCKED}hu.in/zJE0fD.php
• http://{BLOCKED}ting.net/XEGeuI.php
• http://{BLOCKED}r.com/dA91lI.php
• http://{BLOCKED}einfo.com/zDJRc8.php
• http://{BLOCKED}ional.com/AYNILr.php

Cifra los archivos con las extensiones siguientes:

• 3fr
• 3dm
• 3ds
• 3gp
• 3g2
• 3pr
• 7z
• +MuhD
• ab4
• accdb
• accde
• accdp
• accdr
• accdt
• accdu
• ach
• acr
• act
• adb
• ads
• agdl
• ait
• ai
• al
• apj
• arw
• asf
• asm
• asp
• asx
• avi
• awg
• back
• backup
• backupdb
• bak
• bank
• bay
• bdb
• bgt
• bik
• bkf
• bkp
• blend
• bpw
• cdb
• cdf
• cdr
• cdr6
• cdrw
• cdr5
• cdr3
• cdr4
• cdx
• ce1
• ce2
• cer
• cfp
• cgm
• c
• cib
• class
• cls
• cmt
• cnv
• cpi
• cpp
• cr2
• craw
• crt
• crw
• csh
• csl
• csv
• cs
• dac
• db-journal
• db3
• db
• dbf
• dbr
• dbs
• dc2
• dcr
• dcs
• dcx
• ddd
• ddoc
• ddrw
• dds
• der
• des
• design
• dgc
• djvu
• dng
• doc
• docm
• docx
• dot
• dotm
• dotx
• drf
• drw
• dtd
• dwg
• dxb
• dxf
• dxg
• ebd
• edb
• eml
• eps
• erbsql
• erf
• exf
• fdb
• ffd
• fff
• fhd
• fh
• fla
• flac
• flv
• fm
• fp7
• fpx
• fxg
• gdb
• gray
• grey
• grw
• gry
• hbk
• hpp
• h
• ibank
• ibd
• ib
• ibz
• idx
• iif
• iiq
• incpas
• indd
• itdb
• java
• jpe
• jpeg
• jpg
• kc2
• kdbx
• kdc
• key
• kpdx
• lua
• m4v
• maf
• mam
• maq
• mar
• maw
• max
• mdb
• mdc
• mde
• mdf
• mdt
• mef
• mfw
• mmw
• moneywell
• m
• mos
• mov
• mp3
• mp4
• mpg
• mpp
• mrw
• mso
• myd
• ndd
• nd
• nef
• nk2
• nop
• nrw
• ns2
• ns3
• ns4
• nsd
• nsf
• nsg
• nsh
• nwb
• nx1
• nx2
• nxl
• nyf
• obj
• odb
• odc
• odf
• odg
• odm
• odp
• ods
• odt
• oil
• one
• orf
• otg
• oth
• otp
• ots
• ott
• p12
• p7b
• p7c
• pages
• pas
• pat
• pbo
• pcd
• pct
• pdb
• pdd
• pdf
• pef
• pem
• pfx
• php
• pip
• plc
• pl
• pot
• potm
• potx
• ppam
• pps
• ppsx
• ppsm
• ppt
• pptm
• pptx
• prf
• ps
• psafe3
• psd
• pspimage
• ptx
• pub
• puz
• py
• qba
• qbb
• qbm
• qbr
• qbw
• qbx
• qby
• r3d
• raf
• rar
• rat
• raw
• rdb
• rm
• rpmsg
• rtf
• rw2
• rwl
• rwz
• s3db
• sas7bdat
• say
• sd0
• sda
• sdf
• sl2
• sldm
• sldx
• snp
• sqlite3
• sql
• sqlite
• sqlitedb
• sr2
• srf
• srt
• srw
• st4
• st5
• st6
• st7
• st8
• std
• sti
• stw
• stx
• svg
• swf
• sxc
• sxd
• sxg
• sxi
• sxm
• sxw
• tex
• tga
• thm
• tlg
• txt
• vob
• vsx
• vtx
• wallet
• wav
• wb2
• wll
• wmv
• wpd
• wps
• x11
• x3f
• xis
• xla
• xlam
• xlb
• xlc
• xlk
• xll
• xlm
• xlr
• xls
• xlsx
• xlsm
• xlsb
• xlt
• xltx
• xltm
• xlw
• xpp
• xsn
• ycbcra
• yuv
• zip