RANSOM_SATANA.A

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %User Temp%\{Random Filename}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Desktop%\!satana!.txt -> Ransom Note
• {Path of Encrypted Files}\!satana!.txt - Ransom Note

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\!satana!.txt -> Ransom Note

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Andere Systemänderungen

Ändert die folgenden Dateien:

• It renames the encrypted file to {Email Address}___{Original Filename and Extension}
  ie. khoperia331@mail.com___{Original Filename and Extension}

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random String} = %User Temp%\!satana!.txt

HKEY_CURRENT_USER\{Random}
BTC = {Bitcoin Wallet}

HKEY_CURRENT_USER\{Random}
E-mail = {Email Address}

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.26.186/add.php

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .1cd
• .3ds
• .7z
• .acc
• .asm
• .bak
• .bmp
• .cpp
• .cry
• .csv
• .db
• .dbf
• .dgn
• .doc
• .dwg
• .dxf
• .gbr
• .gho
• .gif
• .jpe
• .jpg
• .ma
• .mdb
• .mdf
• .ods
• .odt
• .pas
• .pdf
• .png
• .ppt
• .rar
• .sdf
• .stl
• .tax
• .tex
• .tif
• .txt
• .v2i
• .vpd
• .vsd
• .xls
• .xml
• .zip

Löscht sich nach der Ausführung selbst.