Ransom.Win32.RANINC.SMYXECXT

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna capacidad para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\background-image.jpg
• %System%\spool\PRINTERS\00002.SPL
• %System%\spool\PRINTERS\00002.SHD

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• bcdedit.exe /set {default} safeboot network → If --safe-mode parameter is used.
• shutdown.exe -r → If --safe-mode parameter is used.

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CLSID\{645FF040-5081-101B-9F08-00AA002F954E}\DefaultIcon
(Default) = %System%\imageres.dll,-55

(Note: The default value data of the said registry entry is %System%\imageres.dll,-54.)

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\background-image.jpg

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %User Temp%\background-image.jpg
  

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• sql
• veeam
• backup
• exchange

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• sql
• veeam
• backup
• exchange
• java

Robo de información

Este malware no tiene ninguna capacidad para robar información.

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\{Current Control Set}\
Control\SafeBoot\Network\
dmksvc → If --safe-mode parameter is used

HKEY_LOCAL_MACHINE\SYSTEM\{Current Control Set}\
Control\SafeBoot\Minimal\
dmksvc → If --safe-mode parameter is used

Hace lo siguiente:

• Empty Recycled Bin
• It enumerates printers in the network to print the ransom note.
• It encrypts fixed, removable, and network drives.
• It adds the following services: → If --safe-mode parameter is used
  • Name: dmksvc
  • Start Type: AutoStart
  • Binary Path: {Malware File Path}\{Malware Filename}