TROJ_CRYPWALL.XXR

Se ejecuta y, a continuación, se elimina.

Instalación

Infiltra los archivos siguientes:

• %User Startup%\HELP_DECRYPT.HTML
• %User Startup%\HELP_DECRYPT.PNG
• %User Startup%\HELP_DECRYPT.TXT
• %User Startup%\HELP_DECRYPT.URL

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Infiltra y ejecuta los archivos siguientes:

• %Desktop%\HELP_DECRYPT.HTML
• %Desktop%\HELP_DECRYPT.PNG
• %Desktop%\HELP_DECRYPT.TXT
• %Desktop%\HELP_DECRYPT.URL

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Startup%\{Random 8 Characters}.exe
• %System Root%\{Random 8 Characters}\{Random 8 Characters}.exe
• %Application Data%\{Random 8 Characters}.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Crea las carpetas siguientes:

• %System Root%\{Random 8 Characters}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Se ejecuta y, a continuación, se elimina.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
{First 7 Characters of {Random 8 Characters}} = "%System Root%\{Random 8 Characters}\{Random 8 Characters}.exe"

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
{Random 8 Characters} = "%Application Data%\{Random 8 Characters}.exe"

HKCU\Software\Microsoft\
Windows\CurrentVersion\RunOnce - (Windows Vista or higher)
{Last 7 Characters of {Random 8 Characters}} = "%System Root%\{Random 8 Characters}\{Random 8 Characters}.exe"

HKCU\Software\Microsoft\
Windows\CurrentVersion\RunOnce - (Windows Vista or higher)
{Random 8 Characters} = "%Application Data%\{Random 8 Characters}.exe"

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\{Random 8 Characters}.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKCU\Software\{Random 32 Characters}

HKCU\Software\{Random 32 Characters}\
{Random 16 Characters}

Agrega las siguientes entradas de registro:

HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

HKCU\Software\{Random 32 Characters}\
{Random 16 Characters}
{Files that are encrypted} = "{Random Key}"

Modifica las siguientes entradas de registro:

HKLM\SYSTEM\CurrentControlSet\
services\Wersvc (for Windows Vista or higher)
Start = "4"

(Note: The default value data of the said registry entry is 3.)

HKLM\SYSTEM\CurrentControlSet\
services\ERrsvc (for Windows XP and lower)
Start = "4"

(Note: The default value data of the said registry entry is 3.)

HKLM\SYSTEM\CurrentControlSet\
services\BITS
Start = "4"

(Note: The default value data of the said registry entry is 3.)

HKLM\SYSTEM\CurrentControlSet\
services\wuauserv
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKLM\SYSTEM\CurrentControlSet\
services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKLM\SYSTEM\CurrentControlSet\
services\WinDefend
Start = "4"

(Note: The default value data of the said registry entry is 2.)