RANSOM_XORIST.F

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %User Temp%\{random value}.exe
• %User Profile%\Desktop\READ TO DECRYPTIONS_.txt
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\READ TO DECRYPTIONS_.txt
• {folders containing encrypted files}\READ TO DECRYPTIONS_.txt

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

• All your data files are crypted.
  To decrypt files and gain access to them,
  please send 0.5 Bitcoin to address
  1G3uZtTUN8J3Wd9iQxft6Xej8BWh5EBHhz
  
  and email to xg9739517395nb@163.com proof
  (screen or TransID) of your payment.
  
  After receiving the money, I will send you
  your password and decrypt instruction via email.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.rtyrtyrty
(Default) = "VKKYOEBUQZTVGTN"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN
(Default) = "CRYPTED!"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN\DefaultIcon
(Default) = "%User Temp%\{random value}.exe,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN\shell\open\
command
(Default) = "%User Temp%\{random value}.exe"

Otros detalles

Cifra los archivos con las extensiones siguientes:

• *.zip
• *.rar
• *.tar
• *.gzip
• *.jpg
• *.jpeg
• *.psd
• *.cdr
• *.dwg
• *.max
• *.bmp
• *.gif
• *.png
• *.doc
• *.docx
• *.xls
• *.xlsx
• *.ppt
• *.pptx
• *.txt
• *.pdf
• *.djvu
• *.htm
• *.html
• *.mdb
• *.cer
• *.p12
• *.pfx
• *.kwm
• *.pwm
• *.1cd
• *.mdf
• *.dbf
• *.odt
• *.vob
• *.ifo
• *.lnk
• *.torrent
• *.mov
• *.m2v
• *.3gp
• *.mpeg
• *.mpg
• *.flv
• *.avi
• *.mp4
• *.wmv
• *.divx
• *.mkv
• *.mp3
• *.wav
• *.flac
• *.ape
• *.wma
• *.edb
• *.ndf
• *.ldf
• *.vhdx
• *.vhd
• *.vmdk
• *.tis
• *.accdb
• *.iso
• *.wim
• *.WIM
• *.msg
• *.vcf
• *.mbdb
• *.plist
• *.ZIP
• *.RAR
• *.bak
• *.BAK
• *.backup
• *.ldb
• *.QBB
• *.qbb
• *.probkp
• *.mde
• *.sql
• *.SQL
• *.001
• *.002
• *.003
• *.004
• *.005
• *.006
• *.007
• *.008
• *.009
• *.adm
• *.ADM
• *.hsh
• *.sn1
• *.sn2
• *.sn3
• *.sna
• *.spf
• *.report
• *.v2i
• *.bkf
• *.pst
• *.nsf
• *.aspx
• *.flf
• *.900
• *.trp
• *.xtbl
• *.cerber
• *.crypt
• *.bac
• *.CrySiS
• *.ac3

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {original filename and extension}.rtyrtyrty
• {original filename and extension}.scydbDmbug0182K