Ransom.Win32.NOESCAPE.B

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se ejecuta y, a continuación, se elimina.

Elimina los archivos de determinadas carpetas para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %ProgramData%\Microsoft\User Account Pictures\user-192.png
• %ProgramData%\Microsoft\User Account Pictures\user-32.png
• %ProgramData%\Microsoft\User Account Pictures\user-40.png
• %ProgramData%\Microsoft\User Account Pictures\user-48.png
• %ProgramData%\Microsoft\User Account Pictures\user.bmp
• %ProgramData%\Microsoft\User Account Pictures\user.png
• %AppDataLocal%\noescape.png

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\winnt32.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Mutex Name: processLimit

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %Windows%\winnt32.exe

HKEY_CLASSES_ROOT\exefile\SHELL\
runas\command
(Default) = %Windows%\winnt32.exe "%1" %*

HKEY_CLASSES_ROOT\exefile\SHELL\
OPEN\command
(Default) = %Windows%\winnt32.exe "%1" %*

Otras modificaciones del sistema

Elimina los archivos de las carpetas siguientes:

• %ProgramData%\Microsoft\User Account Pictures
• %Desktop%
• %Public%\Desktop

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Modifica las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
UseDefaultTile = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Windows\System
DisableLogonBackgroundImage = 1

HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DisableCAD = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0

HKEY_CURRENT_USER\Control Panel\Desktop
AutoColorization = 1

HKEY_CURRENT_USER\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Control\Keyboard Layout
Scancode Map = {disabled all keys except: e, t, y, o, a, s, d, h, space, enter}

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %AppDataLocal%\noescape.png

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %AppDataLocal%\noescape.png
  

Otros detalles

Hace lo siguiente:

• Add local accounts to the local group:
  • Administrator
  • Users
• Create accounts in local group Administrator with a random symbols as username.
• Change the name of the current username to:
  • NO ESCAPE
• Change the password of the current user to:
  • death
• It only executes or run in Windows NT 10.0 OS.
• Prompts an error message box if not executed in Windows NT 10.0
  
• Disable Ctrl+Alt+Del security sequence
• Disable shutdown button
• Disable Sign-in Screen Background Image
• Disable some keyboard keys
• Swap mouse button
• Disables User Account Control
• Disable Window registry editor
• Disable Command Prompt
• Change wallpaper
• Disable auto restart when interface or components failed
• Automatically pick a color from desktop background colors
• Enable automatic logon
• Restart the infected machine after execution