Análisis realizado por : Kiyoshi Obuchi   
 Alias

Trojan:Win32/Gandcrab.AF (Microsoft); W32/Kryptik.GJYS!tr (Fortinet)

 Plataforma:

Windows

 Riesgo general:
 Potencial de destrucción:
 Potencial de distribución:
 Infección divulgada:
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Ransomware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción


  Detalles técnicos

Tamaño del archivo 999,424 bytes
Tipo de archivo EXE
Fecha de recepción de las muestras iniciales 21 agosto 2018

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

  • %ProgramData%\WrdJdgYRmg\winsrvc32.exe

Infiltra los archivos siguientes:

  • %ProgramData%\WrdJdgYRmg\cfgi
  • %ProgramData%\WrdJdgYRmg\cfg

Agrega los procesos siguientes:

  • %System%wuapp.exe -c "%Program Data%\WrdJdgYRmg\cfg"

Crea las carpetas siguientes:

  • %ProgramData%\WrdJdgYRmg

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

  • %User Startup%\BfWTjSzBAA.url

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)