Ransom.MSIL.TPRC.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %ProgramData%\00aaaa.exe → created only if the environment variable "00MYEXE" is present

Infiltra los archivos siguientes:

• %User Temp%\wp.png → image used as system wallpaper after encryption
• %ProgramData%\00aaaa.ps1 → created only if the environment variable "00MYSCR" is present

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• {Microsoft .NET Runtime Directory}\RegAsm.exe
• %System%\Wbem\wmic.exe shadowcopy delete

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
00aaaa = %System%\WindowsPowerShell\v1.0\powershell.exe -ep bypass %ProgramData%\00aaaa.ps1 → created only if the environment variable "00MYSCR" is present

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
00aaaa = %ProgramData%\00aaaa.exe → created only if the environment variable "00MYEXE" is present

Otras modificaciones del sistema

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %User Temp%\wp.png

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://{BLOCKED}tdn.de/log?ip={Affected System's IP Address}&message=TC04/12 {Malware Status}