RANSOM_LOCKY.DLDSAQF

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein:

• {folder of encrypted files}\_{number of folders encrypted}_WHAT_is.html -> Ransom Note

Schleust die folgenden Dateien ein und führt sie aus:

• %Desktop%\_WHAT_is.html -> Ransom Note
• %Desktop%\_WHAT_is.bmp -> Ransom Note, image used as wallpaper

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Andere Systemänderungen

Ändert die folgenden Dateien:

• It encrypts files in fixed, removable, RAM disk drives, and network shares.

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

(Note: The default value data of the said registry entry is {user preference}.)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(Note: The default value data of the said registry entry is {user preference}.)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Desktop%\_WHAT_is.bmp

(Note: The default value data of the said registry entry is {user preference}.)

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.189.35/linuxsucks.php
• http://{BLOCKED}.{BLOCKED}.11.193/linuxsucks.php
• http://{Domain Generated Algorithm}.{org, pl, work, biz, xyz, info, click, su}/linuxsucks.php

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .3gp
• .7z
• .aac
• .ans
• .ape
• .asc
• .asm
• .asp
• .aspx
• .avi
• .awk
• .bas
• .bat
• .bmp
• .bz2
• .c
• .cls
• .clw
• .cmd
• .cpp
• .cs
• .csproj
• .css
• .ctl
• .cxx
• .def
• .dep
• .dlg
• .dsp
• .dsw
• .eps
• .f
• .f77
• .f90
• .f95
• .fla
• .flac
• .frm
• .gif
• .gz
• .h
• .hpp
• .hta
• .htm
• .html
• .hxx
• .ico
• .idl
• .inc
• .ini
• .inl
• .java
• .jpeg
• .jpg
• .js
• .la
• .m4a
• .mak
• .manifest
• .mov
• .mp3
• .mp4
• .mpe
• .mpeg
• .mpg
• .ofr
• .ogg
• .pac
• .pas
• .pdf
• .php
• .php3
• .php4
• .php5
• .phptml
• .pl
• .pm
• .png
• .ps
• .py
• .pyo
• .ra
• .rb
• .rc
• .reg
• .rka
• .rm
• .rtf
• .sed
• .sh
• .shn
• .shtml
• .sln
• .sql
• .srt
• .swa
• .tcl
• .tex
• .tiff
• .tta
• .txt
• .vb
• .vbs
• .vcproj
• .wav
• .wma
• .wmv
• .wv
• .xml
• .xsd
• .xsl
• .xslt
• .zip

Benennt verschlüsselte Dateien in folgende Namen um:

• {unique ID per victim}-{identifier}.thor