RANSOM_CRYPWALL.CBQ157S

Canal de infección Descargado de Internet

Modifica las entradas de registro para desactivar varios servicios del sistema. Esta acción impide el uso de casi todas las funciones del sistema.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Se conecta a determinados sitios Web para enviar y recibir información.

Tamaño del archivo 246,332 bytes

Tipo de archivo EXE

Residente en memoria Sí

Fecha de recepción de las muestras iniciales 11 agosto 2015

Carga útil Connects to URLs/IPs, Encrypts files

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

%System Root%\{random 8 characters}\{random 8 characters}.exe
%Application Data%\{random 8 characters}.exe
%User Startup%\{random 8 characters}.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Infiltra los archivos siguientes:

%User Startup%\HELP_DECRYPT.HTML
%User Startup%\HELP_DECRYPT.PNG
%User Startup%\HELP_DECRYPT.TXT
%User Startup%\HELP_DECRYPT.URL

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Infiltra y ejecuta los archivos siguientes:

%Desktop%\HELP_DECRYPT.HTML
%Desktop%\HELP_DECRYPT.PNG
%Desktop%\HELP_DECRYPT.TXT
%Desktop%\HELP_DECRYPT.URL

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

)

Agrega los procesos siguientes:

explorer.exe
svchost.exe

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

created explorer.exe
created svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 7 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters} = "%Application Data%\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{random 6 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe" (for Windows Vista and above only)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{random 7 characters} = "%Application Data%\{random 8 characters}.exe" (for Windows Vista and above only)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}\
{random key}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.URL}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.TXT}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.HTML}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{RSA PUBLIC KEY}"

HKEY_CURRENT_USER\Software\{UID}\
{random key}
{Path and file of encrypted file} = "{hex values}"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(Note: The default value data of the said registry entry is 0.)

Modifica las entradas de registro para desactivar los siguientes servicios del sistema:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ERSvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Robo de información

Recopila los siguientes datos:

Unique Identifier (UID)
Machine Screenshot

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

http://{BLOCKED}a.kz/wp-content/plugins/wp-db-backup-made/a.php?{random letter}={random values}
http://{BLOCKED}ander.com/wp-content/plugins/wp-db-backup-made/b.php?{random letter}={random values}
http://{BLOCKED}igital.com/wp-content/themes/twentytwelve/c.php?{random letter}={random values}
http://{BLOCKED}100unity.com/wp-includes/js/tinymce/skins/wordpress/images/e.php?{random letter}={random values}
http://{BLOCKED}v.com/plugins/system/plg_system_rewrite/a.php?{random letter}={random values}
http://{BLOCKED}eloper.com/tmp/b.php?{random letter}={random values}
http://{BLOCKED}ebangalore.org/wp-content/themes/twentyeleven/d.php?{random letter}={random values}
http://{BLOCKED}scod.com/tmp/e.php?{random letter}={random values}
http://{BLOCKED}advances.com/wp-content/plugins/updraftplus/oc/guzzle/Guzzle/Service/Command/LocationVisitor/Request/a.php?{random letter}={random values}
http://{BLOCKED}rgical.com/plugins/system/plg_system_rewrite/b.php?{random letter}={random values}
http://{BLOCKED}rymexico.com/foro/vendor/symfony/http-foundation/Symfony/Component/HttpFoundation/Session/Storage/Handler/c.php?{random letter}={random values}
http://{BLOCKED}ebetterwe.com/wp-content/plugins/wp-antibot-standart/d.php?{random letter}={random values}
http://{BLOCKED}celets.ro/wp-content/themes/twentytwelve/e.php?{random letter}={random values}
http://{BLOCKED}aonline.com/plugins/system/plg_system_rewrite/a.php?{random letter}={random values}
http://{BLOCKED}vn/wp-content/themes/twentytwelve/b.php?{random letter}={random values}
http://{BLOCKED}roseville.org/wp-content/plugins/wp-antibot-standart/c.php?{random letter}={random values}
http://{BLOCKED}ie.de/wp-content/plugins/revslider/css/jui/new/images/d.php?{random letter}={random values}
http://{BLOCKED}c.com.pk/wp-content/plugins/wp-antibot-standart/e.php?{random letter}={random values}
http://{BLOCKED}o.de/plugins/system/plg_system_rewrite/a.php?{random letter}={random values}
http://{BLOCKED}ement.com/blog/wp-content/plugins/wp-antibot-standart3/b.php?{random letter}={random values}
http://{BLOCKED}ftball.com/wp-content/themes/sports-team-theme/includes/advanced-custom-fields/assets/inc/datepicker/images/c.php?{random letter}={random values}
http://{BLOCKED}rvisi.info.tr/wp-content/themes/twentytwelve/d.php?{random letter}={random values}
http://{BLOCKED}k.info/wp-content/uploads/e.php?{random letter}={random values}
http://{BLOCKED}ce.ru/wp-content/themes/dreamynight-10/a.php?{random letter}={random values}
http://{BLOCKED}bahadi.com/wp-content/uploads/b.php?{random letter}={random values}
http://{BLOCKED}lemaneslabardena.com/plugins/system/plg_system_rewrite/c.php?{random letter}={random values}
http://{BLOCKED}zworld.com/wp-content/plugins/wp-antibot-standart/d.php?{random letter}={random values}
http://{BLOCKED}op4men.com.br/wp-content/plugins/wp-antibot-standart/a.php?{random letter}={random values}
http://{BLOCKED}homesearch.com/wp-content/plugins/wp-antibot-standart/b.php?{random letter}={random values}
http://{BLOCKED}c.ro/wp-content/themes/twentytwelve/c.php?{random letter}={random values}
http://{BLOCKED}serwa.com/wp-content/plugins/wp-db-backup-made/a.php?{random letter}={random values}
http://{BLOCKED}b.es/wordpress/wp-content/plugins/wp-db-backup-made1/d.php?{random letter}={random values}
http://{BLOCKED}elry.com/il/wp-content/plugins/ninja-forms/includes/admin/pages/ninja-forms-settings/tabs/c.php?{random letter}={random values}
http://{BLOCKED}a.com/blog/wp-content/plugins/scribe/lib/history/views/meta-box/c.php?{random letter}={random values}
http://{BLOCKED}n.ru/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_gallery_display/templates/list/a.php?{random letter}={random values}
http://{BLOCKED}n.com/wp-content/themes/twentythirteen/e.php?{random letter}={random values}
http://{BLOCKED}es.com/wp-content/themes/twentyeleven/a.php?{random letter}={random values}
http://{BLOCKED}partman.hu/de/wp-content/plugins/wp-db-backup-made/e.php?{random letter}={random values}
http://{BLOCKED}eoyunlari.org/wp-content/themes/twentytwelve/b.php?{random letter}={random values}
http://{BLOCKED}magenes.com/wp-content/plugins/wp-mobile-edition/admin/includes/mobile_themes/mTheme-Unus/images/blue/a.php?{random letter}={random values}
http://{BLOCKED}on.com/wp-content/plugins/contact-form-7/includes/js/jquery-ui/themes/smoothness/images/a.php?{random letter}={random values}

Cifra los archivos con las extensiones siguientes:

3dm
3ds
3fr
3g2
3gp
3pr
7z
ab4
accdb
accde
accdr
accdt
ach
acr
act
adb
ads
agdl
ai
ait
al
apj
arw
asf
asm
asp
asx
avi
awg
back
backup
backupdb
bak
bank
bay
bdb
bgt
bik
bkp
blend
bpw
c
cdf
cdr
cdr3
cdr4
cdr5
cdr6
cdrw
cdx
ce1
ce2
cer
cfp
cgm
cib
class
cls
cmt
cpi
cpp
cr2
craw
crt
crw
cs
csh
csl
csv
dac
db
db3
dbf
db-journal
dc2
dcr
dcs
ddd
ddoc
ddrw
dds
der
des
design
dgc
djvu
dng
doc
docm
docx
dot
dotm
dotx
drf
drw
dtd
dwg
dxb
dxf
dxg
eml
eps
erbsql
erf
exf
fdb
ffd
fff
fh
fhd
fla
flac
flv
fpx
fxg
gray
grey
gry
h
hbk
hpp
ibank
ibd
ibz
idx
iif
iiq
incpas
indd
java
jpe
jpeg
jpg
kc2
kdbx
kdc
key
kpdx
lua
m
m4v
max
mdb
mdc
mdf
mef
mfw
mmw
moneywell
mos
mov
mp3
mp4
mpg
mrw
msg
myd
nd
ndd
nef
nk2
nop
nrw
ns2
ns3
ns4
nsd
nsf
nsg
nsh
nwb
nx2
nxl
nyf
oab
obj
odb
odc
odf
odg
odm
odp
ods
odt
oil
orf
ost
otg
oth
otp
ots
ott
p12
p7b
p7c
pab
pages
pas
pat
pcd
pct
pdb
pdd
pdf
pef
pem
pfx
php
pl
plc
pot
potm
potx
ppam
pps
ppsm
ppsx
ppt
pptm
pptx
prf
ps
psafe3
psd
pspimage
pst
ptx
py
qba
qbb
qbm
qbr
qbw
qbx
qby
r3d
raf
rar
rat
raw
rdb
rm
rtf
rw2
rwl
rwz
s3db
sas7bdat
say
sd0
sda
sdf
sldm
sldx
sql
sqlite
sqlite3
sqlitedb
sr2
srf
srt
srw
st4
st5
st6
st7
st8
std
sti
stw
stx
svg
swf
sxc
sxd
sxg
sxi
sxi
sxm
sxw
tex
tga
thm
tlg
txt
vob
wallet
wav
wb2
wmv
wpd
wps
x11
x3f
xis
xla
xlam
xlk
xlm
xlr
xls
xlsb
xlsm
xlsx
xlt
xltm
xltx
xlw
ycbcra
yuv
zip

Motor de exploración mínimo 9.750

Primer archivo de patrones de VSAPI 11.864.05

Primera fecha de publicación de patrones de VSAPI 19 de agosto de 2015

Versión de patrones OPR de VSAPI 11.865.00

Fecha de publicación de patrones OPR de VSAPI 20 de agosto de 2015

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Reiniciar en modo seguro

[ aprenda más ]

Step 4

Eliminar este valor del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random 7 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe"
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random 8 characters} = "%Application Data%\{random 8 characters}.exe"
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- *{random 6 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe" (for Windows Vista and above only)
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- *{random 7 characters} = "%Application Data%\{random 8 characters}.exe" (for Windows Vista and above only)

Step 5

Eliminar esta clave del Registro

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_CURRENT_USER\Software
- {UID}

Step 6

Restaurar este valor del Registro modificado

[ aprenda más ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore
- From: DisableSR = "1"
  To: DisableSR = 0
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc
- From: Start = "4"
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
- From: Start = "4"
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BITS
- From: Start = "4"
  To: Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
- From: Start = "4"
  To: Start = 2

Step 7

Buscar y eliminar este archivo

[ aprenda más ]

Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.

HELP_DECRYPT.HTML
HELP_DECRYPT.PNG
HELP_DECRYPT.TXT
HELP_DECRYPT.URL

Step 8

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como RANSOM_CRYPWALL.CBQ157S En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Step 9

Restablecer las propiedades del escritorio

[ aprenda más ]

Step 10

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como RANSOM_CRYPWALL.CBQ157S En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!

Resumen y descripción

Detalles técnicos

Soluciones

Recursos

Soporte

Acerca de Trend

Sede en el país