RANSOM_JUSINOMEL.A

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Dateien ein:

• {malware path}\PLJQKRKMWEZJEHEVT.txt - Serves as ransom note
• {folders containing encrypted files}\README NOW !!!.txt - Serves as ransom note

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• WrXehWMqEUv9ObHQ

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WrXehWMqEUv9ObHQ = "{malware path}\{malware filename}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQu = "Ee-{random characters)"

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQp = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQs = "1"

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppEnumGroups (Enter) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppEnumGroups (Leave) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppGetSnapshots (Enter) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SP
SppGetSnapshots (Leave) = {hex values}

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}veforyou.com/456/index.php

Benennt verschlüsselte Dateien in folgende Namen um:

• {filename of encrypted file}.{extension of encrypted file}.id-{unique ID per victim}_sos@juicylemon.biz

Löscht sich nach der Ausführung selbst.