RANSOM_RAA.B

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %My Documents%\{random 5 alphanumeric characters}.js
  (Note: %My Documents% is usually C:\\Documents and Settings\\{user name}\\My Documents on Windows 2000, XP, and Server 2003, or C:\\Users\\{user name}\\Documents on Windows Vista and 7.)

Schleust die folgenden Dateien ein:

• %Desktop%\!!!README!!!{random 5 alphanumeric characters}.rtf-serves as ransom note
• %Desktop%\KEY-{GUID}-contains the key for decryption
• %My Documents%\doc_attached_{random 5 alphanumeric characters}-dummy file
• %My Documents%\{random 5 alphanumeric characters}.dll-non malicious component file(DynamicWrapperX)
• %My Documents%\ii.exe-detected by Trend Micro as TSPY_FAREIT.B
  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• %System%\regsvr32.exe /i /s "%My Documents%\{random 5 alphanumeric characters}.dll"
• wordpad.exe "%My Documents%\doc_attached_{random 5 alphanumeric characters}"
• wordpad.exe "%Desktop%\!!!README!!!{random 5 alphanumeric characters}.rtf"
• %My Documents%\ii.exe
  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
"" = "%My Documents%\{random 5 alphanumeric characters}.js argument"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\kkoq\Ghsgd

HKEY_CURRENT_USER\kkoq\kkoq-fnl

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\kkoq\Ghsgd
"" = {GUID}

HKEY_CURRENT_USER\kkoq\kkoq-fnl
"" = "beenFinished"

Löscht die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VSS

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .doc
• .xls
• .rtf
• .pdf
• .dbf
• .jpg
• .dwg
• .cdr
• .psd
• .cd
• .mdb
• .png
• .lcd
• .zip
• .rar

Benennt verschlüsselte Dateien in folgende Namen um:

• {filename of encrypted file}.{extension of encrypted file}.locked