Ransom.Win32.MATRIX.J

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• {Malware Path}\ALL_dmpfl.fldp
• {Malware Path}\log.txt
• %Application Data%\{Random Characters}.bmp → used as wallpaper
• %Application Data%\{Random Characters}.bat → contains commands to remove volume shadow copies and disable system recovery
• %Application Data%\{Random Characters}.vbs → contains commands to create scheduled task
• {Malware Path}\{Random Characters}.exe → used for file handle manipulation
• {Malware Path}\{Random Characters}.bat → contains commands to take ownership of a file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Crea las siguientes copias de sí mismo en el sistema afectado:

• {Malware Path}\{Random Characters}.exe

Agrega los procesos siguientes:

• "%System%\cmd.exe" /C copy /V /Y "{Malware Path}\{Malware Filename}.exe" "{Malware Path}\{Random Characters}.exe"
• "{Malware Path}\{Random Characters}.exe" -n → if executed without argument
• "%System%\cmd.exe" /C reg add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "%Application Data%\{Random Characters}.bmp" /f & reg add "HKCU\Control Panel\Desktop" /v WallpaperStyle /t REG_SZ /d "0" /f & reg add "HKCU\Control Panel\Desktop" /v TileWallpaper /t REG_SZ /d "0" /f
• "%System%\cmd.exe" /C wscript //B //Nologo "%Application Data%\{Random Characters}.vbs"
• cmd /c ""{Malware Path}\{Random Characters}.bat" "%Program Files%\Adobe\Reader 9.0\Reader\IDTemplates\ENU\AdobeID.pdf""

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• JackJackOhhJackMute → if executed without argument
• JackJackOhhJackMuteDONW → if executed with argument

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %Application Data%\{Random Characters}.bat
• %Application Data%\{Random Characters}.vbs

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\{Random Characters}.bmp

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 0

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Robo de información

Recopila los siguientes datos:

• Computer name
• User name
• System Integrity Level

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}p.{BLOCKED}z.org/addrec.php?apikey=jdpr_apikey&compuser={Computer Name}|{User Name}&sid={Random Characters}&phase=START

Hace lo siguiente:

• It encrypts files located in the following locations:
  
  • Shared Drives
  • Removable Drives
  • Fixed Drives
  • RamDisk
• It deletes shadow copies by executing the following commands:
  
  • vssadmin Delete Shadows /All /Quiet
  • wmic SHADOWCOPY DELETE
• It disables system recovery by executing the following commands:
  
  • bcdedit /set {default} recoveryenabled No
  • bcdedit /set {default} bootstatuspolicy ignoreallfailures
• It deletes the scheduled task with the following task name:
  
  • DSHCA