TROJ_CRIBIT.B

Para obtener una visión integral del comportamiento de este Trojan, consulte el diagrama de amenazas que se muestra a continuación.

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Detalles de entrada

Puede haberlo descargado el siguiente malware/grayware/spyware desde sitios remotos:

• TSPY_FAREIT.BB

Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):

• http://{BLOCKED}directory.com/file/win.exe

Instalación

Este malware infiltra el/los siguiente(s) archivo(s):

• %Application Data%\BitCrypt.txt - contains ransom message
• %Application Data%\BitCrypt.bmp - used as wallpaper
• %Application Data%\bitcrypt.ccw - configuration file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random filename}.exe - deleted after encryption routine

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Bitcomint = "%Application Data%\{random filename}.exe" (This is deleted after the malware successfully encrypted user's files)

Otras modificaciones del sistema

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• taskmgr.exe
• regedit.exe

Otros detalles

Cifra los archivos con las extensiones siguientes:

• *.dbf
• *.mdb
• *.mde
• *.xls
• *.xlw
• *.docx
• *.doc
• *.cer
• *.key
• *.rtf
• *.xlsm
• *.xlsx
• *.txt
• *.xlc
• *.docm
• *.xlk
• *.text
• *.ppt
• *.djvu
• *.pdf
• *.lzo
• *.djv
• *.cdx
• *.cdt
• *.cdr
• *.bpg
• *.xfm
• *.dfm
• *.pas
• *.dpk
• *.dpr
• *.frm
• *.vbp
• *.php
• *.js
• *.wri
• *.css
• *.asm
• *.jpg
• *.jpeg
• *.dbx
• *.dbt
• *.odc
• *.sql
• *.abw
• *.pab
• *.vsd
• *.xsf
• *.xsn
• *.pps
• *.lzh
• *.pgp
• *.arj
• *.gz
• *.pst
• *.xl