RANSOM_XORBAT.A

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Installation

Schleust die folgenden Dateien ein:

• %Desktop%\DECRYPT.txt - ransom note
• %User Temp%\809133.txt - ransom note
• %User Temp%\809133.cmd - uses 809133.exe to encrypt files. This is deleted after file encryption

(Hinweis: %Desktop% ist der Ordner 'Desktop' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.crypted
(Default) = "Crypted"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Crypted\shell\open\
command
(Default) = "notepad.exe %User Temp%\809133.txt"

Andere Details

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• *.zip
• *.rar
• *.7z
• *.tar
• *.gz
• *.xls
• *.xlsx
• *.doc
• *.docx
• *.pdf
• *.rtf
• *.ppt
• *.pptx
• *.sxi
• *.odm
• *.odt
• *.mpp
• *.ssh
• *.pub
• *.gpg
• *.pgp
• *.kdb
• *.kdbx
• *.als
• *.aup
• *.cpr
• *.npr
• *.cpp
• *.bas
• *.asm
• *.cs
• *.php
• *.pas
• *.vb
• *.vcproj
• *.vbproj
• *.mdb
• *.accdb
• *.mdf
• *.odb
• *.wdb
• *.csv
• *.tsv
• *.psd
• *.eps
• *.cdr
• *.cpt
• *.indd
• *.dwg
• *.max
• *.skp
• *.scad
• *.cad
• *.3ds
• *.blend
• *.lwo
• *.lws
• *.mb
• *.slddrw
• *.sldasm
• *.sldprt
• *.u3d
• *.jpg
• *.tiff
• *.tif
• *.raw
• *.avi
• *.mpg
• *.mp4
• *.m4v
• *.mpeg
• *.mpe
• *.wmf
• *.wmv
• *.veg
• *.vdi
• *.vmdk
• *.vhd
• *.dsk