Ransom.Win32.LCRY.A
UDS:Trojan-Ransom.Win32.Encoder.uim (KASPERSKY)
Windows
Tipo de malware
Ransomware
Destructivo?
No
Cifrado
No
In the Wild:
Sí
Resumen y descripción
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Detalles técnicos
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Instalación
Infiltra los archivos siguientes:
- %Windows%\system32lrk.dat
- %Windows%\system32lri.dat
- {Malware File Path}\Code.key ← decoy decryption key
- %Desktop%\@Decryptor@.exe ← Copy of application that loaded the malware file
- %Windows%\system32lrw.bmp
- {Malware File Path}\PasswordEnter.txt
(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).
. %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).)Otras modificaciones del sistema
Este malware establece la imagen siguiente como fondo de escritorio del sistema:
- %Windows%\system32lrw.bmp
Otros detalles
Hace lo siguiente:
- It encrypts all available logical drives from A -Z.
- If the drive being encrypted is C drive it only encrypts the %Desktop% and %User Profile%\Documents folders.
- It checks if system32lrk.dat and system32lri.dat exists in the affected machine's %Windows% folder.
- If it exists, it opens {Malware File Path}\PasswordEnter.txt and asks the user to enter a key on the file for 60 seconds.
- If the correct key is entered within 60 seconds, it decrypts its encrypted files then restart the affected machine.
- If not, it shows the following message box then restart the affected machine.
- If it does not exist, it encrypts the files in the affected machine.
- It attempts to load the file 'vcruntime140Org.dll'
- If the file is not loaded, it displays the following message box:
- If the file is not loaded, it displays the following message box:
- It displays its ransom note after encryption through a message box:
Soluciones
Step 2
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 3
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 4
Buscar y eliminar estos archivos
- %Windows%\system32lrk.dat
- %Windows%\system32lri.dat
- {Malware File Path}\Code.key
- %Desktop%\@Decryptor@.exe
- %Windows%\system32lrw.bmp
- {Malware File Path}\PasswordEnter.txt
- %Windows%\system32lrk.dat
- %Windows%\system32lri.dat
- {Malware File Path}\Code.key
- %Desktop%\@Decryptor@.exe
- %Windows%\system32lrw.bmp
- {Malware File Path}\PasswordEnter.txt
Step 5
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como Ransom.Win32.LCRY.A En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Step 6
Restore encrypted files from backup.
Step 7
Restablecer las propiedades del escritorio
Rellene nuestra encuesta!