TROJ_CRYPTESLA.XXQO
Windows
Tipo de malware
Trojan
Destructivo?
No
Cifrado
Sí
In the Wild:
Sí
Resumen y descripción
Este malware modifica la configuración de zona de Internet Explorer.
Se conecta a determinados sitios Web para enviar y recibir información.
Detalles técnicos
Instalación
Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:
- %AppDataLocal%\{Random Filename}.exe
Infiltra los archivos siguientes:
- %AppDataLocal%\log.html - Contains the list of encrypted files.
- %Desktop%\HELP_RESTORE_FILES.bmp
- %Desktop%\HELP_RESTORE_FILES.txt
- %Desktop%\Save_Files.lnk - Shortcut file pointing to the dropped copy
- %AppDataLocal%\key.dat
(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).
)Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mscon = "%AppDataLocal%\{Random Filename}.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
mscon = "%AppDataLocal%\{Random Filename}.exe"
Otras modificaciones del sistema
Modifica las siguientes entradas de registro:
HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"
(Note: The default value data of the said registry entry is {User Preferences}.)
HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"
(Note: The default value data of the said registry entry is {User Preferences}.)
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Desktop%\HELP_RESTORE_FILES.bmp"
(Note: The default value data of the said registry entry is {User Preferences}.)
Finalización del proceso
Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:
- taskmgr
- procexp
- regedit
- msconfig
- cmd.exe
Modificación de la página de inicio y de la página de búsqueda del explorador Web
Este malware modifica la configuración de zona de Internet Explorer.
Otros detalles
Se conecta al sitio Web siguiente para enviar y recibir información:
- http://{BLOCKED}bzor5ybfto.{BLOCKED}mc5de44.com/ping.php
- http://{BLOCKED}bzor5ybfto.tor2web.{BLOCKED}ie.de:443
- http://{BLOCKED}bzor5ybfto.tor2web.org:443
- http://www.{BLOCKED}oess.com:443
Cifra los archivos con las extensiones siguientes:
- sql
- mp4
- 7z
- rar
- m4a
- wma
- avi
- wmv
- csv
- d3dbsp
- zip
- sie
- sum
- ibank
- t13
- t12
- qdf
- gdb
- tax
- pkpass
- bc6
- bc7
- bkp
- qic
- bkf
- sidn
- sidd
- mdd
- ata
- itl
- itdb
- icxs
- hvpl
- hplg
- hkdbmdbackup
- syncdb
- gho
- cas
- svg
- map
- wmo
- itm
- sb
- fos
- mov
- vdf
- ztmp
- sis
- sid
- ncf
- menu
- layout
- dmp
- blob
- esm
- vcf
- vtf
- dazip
- fpk
- mlx
- kf
- iwd
- vpk
- tor
- psk
- rim
- w3x
- fsh
- ntl
- arch00
- lvl
- snx
- cfr
- ff
- vpp_pc
- lrf
- m2
- mcmeta
- vfs0
- mpqge
- kdb
- db0
- db
- rofl
- hkx
- bar
- upk
- das
- iwi
- litemod
- asset
- forge
- ltx
- bsa
- apk
- re4
- sav
- lbf
- slm
- bik
- epk
- rgss3a
- pak
- big
- unity3d
- wotreplay
- xxx
- desc
- py
- m3u
- flv
- js
- css
- rb
- png
- jpeg
- txt
- p7c
- p7b
- p12
- pfx
- pem
- crt
- cer
- der
- x3f
- srw
- pef
- ptx
- r3d
- rw2
- rwl
- raw
- raf
- orf
- nrw
- mrwref
- mef
- erf
- kdc
- dcr
- cr2
- crw
- bay
- sr2
- srf
- arw
- 3fr
- dng
- jpe
- jpg
- cdr
- indd
- ai
- eps
- pdd
- psd
- dbf
- mdf
- wb2
- rtf
- wpd
- dxg
- xf
- dwg
- pst
- accdb
- mdb
- pptm
- pptx
- ppt
- xlk
- xlsb
- xlsm
- xlsx
- xls
- wps
- docm
- docx
- doc
- odb
- odc
- odm
- odp
- ods
- odt