RANSOM_JUSINOMEL.A

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Instalación

Infiltra los archivos siguientes:

• {malware path}\PLJQKRKMWEZJEHEVT.txt - Serves as ransom note
• {folders containing encrypted files}\README NOW !!!.txt - Serves as ransom note

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• WrXehWMqEUv9ObHQ

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WrXehWMqEUv9ObHQ = "{malware path}\{malware filename}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQu = "Ee-{random characters)"

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQp = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\WrXehWMqEUv9ObHQ
WrXehWMqEUv9ObHQs = "1"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppEnumGroups (Enter) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppEnumGroups (Leave) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SPP
SppGetSnapshots (Enter) = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\VSS\Diag\
SP
SppGetSnapshots (Leave) = {hex values}

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}veforyou.com/456/index.php

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {filename of encrypted file}.{extension of encrypted file}.id-{unique ID per victim}_sos@juicylemon.biz

Este malware se elimina tras la ejecución.