RANSOM_CRYPWALL.YUYAHM

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Ändert Zoneneinstellungen von Internet Explorer.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{random characters}\{random characters}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.html
• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.png
• %User Startup%\INSTRUCTIONS_{RANDOM HEX}.txt
• {Drive Letter}:\INSTRUCTIONS_{RANDOM HEX}.png

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Schleust die folgenden Dateien ein und führt sie aus:

• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.html
• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.png
• %Desktop%\INSTRUCTIONS_{RANDOM HEX}.txt

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• svchost.exe

Wird in die folgenden Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:

• created svchost.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\{random characters}\{random characters}.exe"

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}relampago.com.br/4jiPBG.php
• {BLOCKED}ekinci.biz/Hg3V8b.php
• {BLOCKED}gou.com/Pfy2Qs.php
• {BLOCKED}info/zYNKoq.php
• {BLOCKED}.sk/g3lfoj.php
• {BLOCKED}.com.br/SGJ_Fr.php
• {BLOCKED}ka.com.ua/tjhW2B.php
• {BLOCKED}p.pl/Si0cCJ.php
• {BLOCKED}ness.be/fYvA5U.php
• {BLOCKED}trade.tk/12fDze.php
• {BLOCKED}bear.net/MRGKAC.php
• {BLOCKED}rtners.it/Dd6VPR.php
• {BLOCKED}kz/yMZFGp.php
• {BLOCKED}o.kz/LUoMqa.php
• {BLOCKED}ness.be/isB2Ac.php
• {BLOCKED}ster.kz/vUn1wz.php
• {BLOCKED}-anything.tk/PsdO76.php
• {BLOCKED}ka.com.ua/MVc9hg.php
• {BLOCKED}ightcr.com/tHja9Z.php
• {BLOCKED}y.kz/7_9SR6.php
• {BLOCKED}rticle.com/fZ1Y8M.php
• {BLOCKED}nat.ro/ZeNpML.php
• {BLOCKED}ldirim.net/zn9mur.php
• {BLOCKED}le.com.br/XAT7zH.php
• {BLOCKED}experto.pe/zOesbw.php
• {BLOCKED}orts4u.com/dfgOwA.php
• {BLOCKED}.pl/fFe_xr.php
• {BLOCKED}assescorts4u.com/Snuxg7.php
• {BLOCKED}entod.ua/I35pl6.php
• {BLOCKED}.kz/TSOXQL.php
• {BLOCKED}o.com.br/4A0Hw5.php
• {BLOCKED}dedon.com/CBRrYv.php
• {BLOCKED}gp.ir/U_ABoi.php
• {BLOCKED}obirlik.com/UxAK5e.php
• {BLOCKED}fishing.com/CXjq48.php
• {BLOCKED}music.nl/yBDEMc.php
• {BLOCKED}osautomotivos.com.br/KMYz1s.php
• {BLOCKED}ucatangob.mx/UIagAy.php
• {BLOCKED}sa.com/Zoe2aN.php
• {BLOCKED}rehberi.com/6JQEva.php
• {BLOCKED}hina.com/NSrcQE.php
• {BLOCKED}ouse.nl/iMVfC4.php
• {BLOCKED}radydrewniane.pl/Fcb7VZ.php
• {BLOCKED}anch.us/PtAg1I.php
• {BLOCKED}gloan.com/1vR9hu.php
• {BLOCKED}e-veza.sk/Owm50c.php
• {BLOCKED}om.tr/prkdzF.php
• {BLOCKED}rga.co/L8HU29.php
• {BLOCKED}lescorts4u.com/XqVFBm.php
• {BLOCKED}odalari.net/GnOLXh.php
• {BLOCKED}everka.sk/6RGZgC.php
• {BLOCKED}ociort.ro/6sZTLc.php

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• pdf
• pot
• xlt
• pps
• xlw
• dot
• rtf
• ppt
• xls
• doc
• xml
• htm
• html
• hta
• zip
• dvr-ms
• wvx
• wmx
• wmv
• wm
• mpv2
• mpg
• mpeg
• mpe
• mpa
• mp2v
• mp2
• m1v
• IVF
• asx
• asf
• wax
• snd
• rmi
• m3u
• au
• aiff
• aifc
• aif
• midi
• mid
• wma
• wav
• m p3
• wmf
• tiff
• tif
• rle
• png
• jpeg
• jpe
• jpg
• jfif
• ico
• gif
• emf
• dib
• bmp