RANSOM_HIDDENTEARBUGWARE.A

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Temp%\{Malware Name}
• {Removable Drive}\fatura-vencida.pdf.scr

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %AppDataLocal%\Lista.log -> list of encrypted files

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• BuGWarE

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
BUGWARE = "%User Temp%\{Malware Name}"

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\SOFTWARE\BUGWARE
chavepriv8 = "{Encryption Key}"

HKEY_CURRENT_USER\SOFTWARE\BUGWARE
prazo = "{3 days after encryption}"

HKEY_CURRENT_USER\SOFTWARE\BUGWARE
ID = "{Volume Serial Number}"

HKEY_CURRENT_USER\SOFTWARE\BUGWARE
arquivos = "{Number of Encrypted Files}"

HKEY_CURRENT_USER\SOFTWARE\BUGWARE
enviado = "{(1/0) whether C&C connection was established}"

Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Desktop%\bugware.bmp"

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = 2

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = 0

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

Download-Routine

Lädt die Datei von folgendem URL herunter und benennt sie um, wenn sie auf dem betroffenen System gespeichert wird:

• https://i.{BLOCKED}r.com/NpKQ3KZ.jpg

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %Desktop%\bugware.bmp -> wallpaper

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}hordietryin.xyz/sender.php
• http://www.{BLOCKED}rdrandom.com/query?command=guid

Zeigt ein Popup-Fenster mit folgender Meldung an: