TROJ_CRYPWALL.XXRL
Ransom:Win32/Crowti.A(Microsoft), Trojan.Cryptodefense(Norton)
Windows
Tipo de grayware:
Trojan
Destrutivo:
Não
Criptografado:
In the Wild:
Sim
Visão geral
Löscht sich nach der Ausführung selbst.
Detalhes técnicos
Installation
Schleust die folgenden Dateien ein:
- {folders in drives}:\HELP_DECRYPT.HTML
- {folders in drives}:\HELP_DECRYPT.PNG
- {folders in drives}:\HELP_DECRYPT.TXT
- {folders in drives}:\HELP_DECRYPT.URL
Schleust die folgenden Eigenkopien in das betroffene System ein:
- %System Root%\5fa97489\5fa97489.exe
- %Application Data%\5fa97489.exe
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Erstellt die folgenden Ordner:
- %System Root%\5fa97489
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
5fa9748 = "%System Root%\5fa97489\5fa97489.exe"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
5fa97489 = "%Application Data%\5fa97489.exe"
Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.
- %User Startup%\5fa97489.exe - copy of itself
(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)
Andere Systemänderungen
Fügt die folgenden Registrierungsschlüssel hinzu:
HKEY_CURRENT_USER\Software\18A721155C52E2V5C89835C74E2BFA25
HKEY_CURRENT_USER\Software\18A721155C52E2V5C89835C74E2BFA25\
2234557889ABCCEF
HKEY_CURRENT_USER\Software\PJ Naughter
HKEY_CURRENT_USER\Software\PJ Naughter\
{malware file name}
HKEY_CURRENT_USER\Software\PJ Naughter\
{malware file name}\Recent File List
HKEY_CURRENT_USER\Software\PJ Naughter\
{malware file name}\Settings
Ändert die folgenden Registrierungseinträge:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"
(Note: The default value data of the said registry entry is 2.)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"
(Note: The default value data of the said registry entry is 2.)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ERSvc
Start = "4"
(Note: The default value data of the said registry entry is 2.)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS
Start = "3"
(Note: The default value data of the said registry entry is 2.)
Andere Details
Löscht sich nach der Ausführung selbst.