TROJ_CRYPCTB.TMC

Instalación

Infiltra los archivos siguientes:

• %User Profile%\My Documents\Decrypt All Files {random characters}.bmp - image used as wallpaper
• %User Profile%\My Documents\Decrypt All Files {random characters}.txt - ransom note in text file
• %User Profile%\My Documents\{random characters}.html - contains ransom note and list of encrypted files

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Técnica de inicio automático

Infiltra los archivos siguientes:

• C:\Windows\Tasks\{random filename}.job

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Profile%\My Documents\Decrypt All Files {random characters}.bmp"

(Note: The default value data of the said registry entry is {user-defined}.)

Otros detalles

Cifra los archivos con las extensiones siguientes:

• 7z
• arj
• bz2
• cab
• chm
• cpio
• dmg
• flv
• gz
• lha
• lzh
• lzma
• rar
• swm
• tar
• tbz2
• tgz
• wim
• xar
• xz
• z
• zip
• 3gp
• aac
• ans
• ape
• asc
• asm
• asp
• aspx
• avi
• awk
• bas
• bat
• bmp
• c
• cs
• cls
• clw
• cmd
• cpp
• csproj
• css
• ctl
• cxx
• def
• dep
• dlg
• dsp
• dsw
• eps
• f
• f77
• f90
• f95
• fla
• flac
• frm
• gif
• h
• hpp
• hta
• htm
• html
• hxx
• ico
• idl
• inc
• ini
• inl
• java
• jpeg
• jpg
• js
• la
• mak
• manifest
• wmv
• mov
• mp3
• mp4
• mpe
• mpeg
• mpg
• m4a
• ofr
• ogg
• pac
• pas
• pdf
• php
• php3
• php4
• php5
• phptml
• pl
• pm
• png
• ps
• py
• pyo
• ra
• rb
• rc
• reg
• rka
• rm
• rtf
• sed
• sh
• shn
• shtml
• sln
• sql
• srt
• swa
• tcl
• tex
• tiff
• tta
• txt
• vb
• vcproj
• vbs
• wav
• wma
• wv
• xml
• xsd
• xsl
• xslt