RANSOM_SATANA.A

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %User Temp%\{Random Filename}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra los archivos siguientes:

• %Desktop%\!satana!.txt -> Ransom Note
• {Path of Encrypted Files}\!satana!.txt - Ransom Note

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\!satana!.txt -> Ransom Note

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Otras modificaciones del sistema

Modifica los archivos siguientes:

• It renames the encrypted file to {Email Address}___{Original Filename and Extension}
  ie. khoperia331@mail.com___{Original Filename and Extension}

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random String} = %User Temp%\!satana!.txt

HKEY_CURRENT_USER\{Random}
BTC = {Bitcoin Wallet}

HKEY_CURRENT_USER\{Random}
E-mail = {Email Address}

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.26.186/add.php

Cifra los archivos con las extensiones siguientes:

• .1cd
• .3ds
• .7z
• .acc
• .asm
• .bak
• .bmp
• .cpp
• .cry
• .csv
• .db
• .dbf
• .dgn
• .doc
• .dwg
• .dxf
• .gbr
• .gho
• .gif
• .jpe
• .jpg
• .ma
• .mdb
• .mdf
• .ods
• .odt
• .pas
• .pdf
• .png
• .ppt
• .rar
• .sdf
• .stl
• .tax
• .tex
• .tif
• .txt
• .v2i
• .vpd
• .vsd
• .xls
• .xml
• .zip

Este malware se elimina tras la ejecución.