RANSOM_ZCRYPT.B
Ransom:Win32/ZCryptor.A (Microsoft); Trojan.NSIS.Agent.pw (Kaspersky); W32.Cryptolocker.AQ (Symantec)
Windows
Tipo de grayware:
Worm
Destrutivo:
Não
Criptografado:
In the Wild:
Sim
Visão geral
Detalhes técnicos
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %Application Data%\zcrypt.exe
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Dateien ein:
- %Application Data%\cid.ztxt
- %Application Data%\public.key
- %Application Data%\AnimGif.dll
- %Application Data%\CloseKillock.mdR
- %Application Data%\Rifacimento.M
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- zcrypt1.0
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
zcrypt = {path of the executed malware}
Schleust die folgenden Dateien ein:
- {Removable Drive Letter}:\autorun.inf
Schleust die folgenden Dateien in den Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.
- %User Startup%\zcrypt.lnk
(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)
Verbreitung
Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:
- {Removable Drive Letter}:\System.exe
Andere Details
Verschlüsselt Dateien mit den folgenden Erweiterungen:
- .3fr
- .accdb
- .apk
- .arw
- .aspx
- .avi
- .bak
- .bay
- .bmp
- .cdr
- .cer
- .cgi
- .class
- .cpp
- .cr2
- .crt
- .crw
- .dbf
- .dcr
- .der
- .dng
- .doc
- .docx
- .dwg
- .dxg
- .emlx
- .eps
- .erf
- .gz
- .html
- .indd
- .jar
- .java
- .jpeg
- .jpg
- .jsp
- .kdc
- .log
- .mdb
- .mdf
- .mef
- .mp4
- .mpeg
- .msg
- .nrw
- .odb
- .odp
- .ods
- .odt
- .orf
- .p12
- .p7b
- .p7c
- .pdb
- .pdd
- .pef
- .pem
- .pfx
- .php
- .png
- .ppt
- .pptx
- .psd
- .pst
- .ptx
- .r3d
- .raf
- .raw
- .rtf
- .rw2
- .rwl
- .sav
- .sql
- .srf
- .srw
- .swf
- .tar
- .tar
- .txt
- .vcf
- .wb2
- .wmv
- .wpd
- .xls
- .xlsx
- .xml
- .zip
Benennt verschlüsselte Dateien in folgende Namen um:
- {original filename}.zcrypt