RANSOM_CRYPBOSS.A

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\UpdSysDrv32Xz32\{8 random letters}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Infiltra los archivos siguientes:

• %Application Data%\UpdSysDrv32Xz32\UpdSyz32.bmp
• %System Root%\HELP_DECRYPT.jpg
• %System Root%\HELP_DECRYPT.txt
• %Desktop%\HELP_DECRYPT.jpg
• %Desktop%\HELP_DECRYPT.txt
• %User Profile%\My Documents\HELP_DECRYPT.jpg
• %User Profile%\My Documents\HELP_DECRYPT.txt
• {User Music}\HELP_DECRYPT.jpg
• {User Music}\HELP_DECRYPT.txt
• {User Pictures}\HELP_DECRYPT.jpg
• {User Pictures}\HELP_DECRYPT.txt
• {User Videos}\HELP_DECRYPT.jpg
• {User Videos}\HELP_DECRYPT.txt

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• svchost.exe

Crea las carpetas siguientes:

• %Application Data%\UpdSysDrv32Xz32

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• created svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
UpdSysDrvX32z32 = "%Application Data%\UpdSysDrv32Xz32\{8 random letters}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows
UpdSysDrvNamxz32 = "{dropped copy's file name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows
UpdSysDrvz23 = "{initial malware path}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows
TRUECRT32 = "TrueBOSS"

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(Note: The default value data of the said registry entry is {user preference}.)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\UpdSysDrv32Xz32\UpdSysDrz32.jpg

(Note: The default value data of the said registry entry is {user preference}.)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

(Note: The default value data of the said registry entry is {user preference}.)

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %Application Data%\UpdSysDrv32Xz32\UpdSysDrz32.jpg - ransom note

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}-starter.com/upd.php

Cifra los archivos con las extensiones siguientes:

• .sql
• .mp4
• .7z
• .rar
• .m4a
• .wma
• .avi
• .wmv
• .csv
• .d3dbsp
• .zip
• .sie
• .unrec
• .scan
• .sum
• .t13
• .t12
• .qdf
• .gdb
• .tax
• .pkpass
• .bc6
• .bc7
• .bkp
• .qic
• .bkf
• .sidn
• .sidd
• .mddata
• .itl
• .itdb
• .icxs
• .hvpl
• .hplg
• .hkdb
• .mdbackup
• .syncdb
• .gho
• .cas
• .svg
• .map
• .wmo
• .itm
• .sb
• .fos
• .mov
• .vdf
• .ztmp
• .sis
• .sid
• .ncf
• .menu
• .layout
• .dmp
• .blob
• .esm
• .vcf
• .vtf
• .dazip
• .fpk
• .mlx
• .kf
• .iwd
• .vpk
• .tor
• .psk
• .rim
• .w3x
• .fsh
• .ntl
• .arch00
• .lvl
• .snx
• .cfr
• .ff
• .vpp_pc
• .lrf
• .m2
• .mcmeta
• .vfs0
• .mpqge
• .kdb
• .db0
• .dba
• .rofl
• .hkx
• .bar
• .upk
• .das
• .iwi
• .litemod
• .asset
• .forge
• .ltx
• .bsa
• .apk
• .re4
• .sav
• .lbf
• .slm
• .bik
• .epk
• .rgss3a
• .pak
• .big
• .wallet
• .wotreplay
• .xxx
• .desc
• .m3u
• .flv
• .js
• .css
• .rb
• .png
• .txt
• .p7c
• .p7b
• .p12
• .pfx
• .pem
• .crt
• .cer
• .der
• .x3f
• .srw
• .pef
• .ptx
• .r3d
• .rw2
• .rwl
• .raw
• .raf
• .orf
• .nrw
• .mrwref
• .mef
• .erf
• .kdc
• .dcr
• .cr2
• .crw
• .bay
• .sr2
• .srf
• .arw
• .3fr
• .dng
• .jpe
• .jpg
• .cdr
• .indd
• .ai
• .eps
• .pdf
• .pdd
• .psd
• .dbf
• .mdf
• .wb2
• .rtf
• .wpd
• .dxg
• .xf
• .dwg
• .pst
• .accdb
• .mdb
• .ppt
• .xlk
• .xls
• .wps
• .doc
• .odb
• .odc
• .odm
• .odp
• .odt
• .dx
• .mrw
• .nef
• .tiff
• .bd
• .tar
• .gz
• .backup
• .mkv
• .bmp
• .dot
• .xml
• .pps
• .dat
• .ods
• .qba
• .qbw

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {original file name and extension}.crypt