RANSOM_DYNAMITE.A

Installation

Fügt die folgenden Ordner hinzu:

• %Application Data%\Audio Drivers
• %System Root%\XMR
• %System Root%\XMR\Coin
• %System Root%\XMR\Coin\api
• %AppDataLocal%\dyna
• %User Temp%\Microsoft

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %User Temp%\smss.exe
• %Start Menu%\Programs\Startup\smss.exe
• %Application Data%\Audio Drivers\Audio Drivers.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust folgende Dateien/Komponenten ein:

• %System Root%\XMR\Coin\start.exe <- detected as TSPY_FAREIT.SMBD1
• %User Temp%\{8 char string}.exe <- detected as TSPY_FAREIT.SMBD1
• %System Root%\XMR\Coin\Core2.exe <- coinminer
• %User Temp%\Microsoft\minerd.exe <- coinminer
• %User Temp%\{13 char string}.exe <- keylogger
• %AppDataLocal%\dyna\icon.ico <- icon for created ransonware
• %System Root%\XMR\Coin\api\index.php <- contains cpuminer APIs
• %System Root%\XMR\Coin\api\local-sample.php <- contains socket functions
• %System Root%\XMR\Coin\api\websocket.htm <- contains javascript for WebSocket call
• %User Temp%\Microsoft\libcurl-4.dll
• %User Temp%\Microsoft\libiconv-2.dll
• %User Temp%\Microsoft\libintl-8.dll
• %User Temp%\Microsoft\zlib1.dll
• %User Temp%\Microsoft\libidn-11.dll
• %User Temp%\Microsoft\libwinpthread-1.dll
• %User Temp%\tmp{4 random char}.tmp.bat <- executes %System Root%\XMR\Coin\run.vbs
• %Start Menu%\Programs\Startup\Audio Drivers.vbs <- executes "%Application Data%\Audio Drivers\Audio Drivers.exe"
• %System Root%\XMR\Coin\run.vbs <- executes %System Root%\XMR\Coin\Core2.exe with parameters
• %User Startup%\Audio Drivers.vbs <- executes %Application Data%\Audio Drivers\Audio Drivers.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WindowsUpdater = %System Root%\XMR\Coin\start.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %User Temp%\smss.exe

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\Audio Drivers.vbs
• %Start Menu%\Programs\Startup\smss.exe
• %Start Menu%\Programs\Startup\Audio Drivers.vbs

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.. %Start Menu% ist der Ordner 'Startmenü' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü unter Windows NT und C:\Windows\Startmenü oder C:\Dokumente und Einstellungen\{Benutzername}\Startmenü unter Windows 2000, XP und Server 2003.)