RANSOM_CRYPTEAR.Q

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein:

• %System Root%\Users\Public\Desktop\KEY - For Windows 7 and above
• %System Root%\Documents and Settings\All Users\Desktop\KEY - For Windows XP and below
• %User Temp%\tmp_{random alphanumeric characters}.bat - Used to delete initially executed copy of itself
• %User Temp%\bmp{random alphanumeric characters}.bmp - ransom note

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{random folder name}\{random file name}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• "%System%\wbem\WMIC.exe" shadowcopy delete /nointeractive - To delete shadow copies

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
{F7F46583-3332-97BB-A2B0-DDED4E9F8B15} = %Application Data%\{random folder name}\{random file name}.exe

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CLASSES_ROOT\.locked

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\DefaultIcon

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell\
Open

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell\
Open\Command

HKEY_CURRENT_USER\Software\Classes\
.locked

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\DefaultIcon

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell\Open

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell\Open\
Command

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CLASSES_ROOT\.locked
{Default} = "{random 8 alphanumeric characters}"

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\DefaultIcon
{Default} = "%SystemRoot%\SysWow64\shell32.dll,47"

HKEY_CLASSES_ROOT\{random 8 alphanumeric characters}\Shell\
Open\Command
{Default} = "mshta.exe vbscript:Execute("CreateObject(""WScript.Shell"").Run(""[HOW_TO_DECRYPT_FILES].html""):close")"

HKEY_CURRENT_USER\Software\Microsoft
{random 8 alphanumeric characters}US = {hex values}

HKEY_CURRENT_USER\Software\Classes\
.locked
{Default} = "{random 8 alphanumeric characters}"

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\DefaultIcon
{Default} = "%SystemRoot%\SysWow64\shell32.dll,47"

HKEY_CURRENT_USER\Software\Classes\
{random 8 alphanumeric characters}\Shell\Open\
Command
{Default} = "mshta.exe vbscript:Execute("CreateObject(""WScript.Shell"").Run(""[HOW_TO_DECRYPT_FILES].html""):close")"

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://vnfwwp{BLOCKED}s.onion.link/gate
• http://vnfwwp{BLOCKED}s.onion.to:443
• http://vnfwwp{BLOCKED}s.onion.sx
• http://vnfwwp{BLOCKED}s.onion.top
• http://vnfwwp{BLOCKED}s.onion.rip
• http://vnfwwp{BLOCKED}s.onion.pw