TROJ_CRYPTWALL.A

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Recopila determinada información del equipo afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Infiltra los archivos siguientes:

• %Desktop%\DECRYPT_INSTRUCTION.TXT
• %Desktop%\DECRYPT_INSTRUCTION.HTML
• %Desktop%\DECRYPT_INSTRUCTION.URL
• %User Startup%\DECRYPT_INSTRUCTION.TXT
• %User Startup%\DECRYPT_INSTRUCTION.HTML
• %User Startup%\DECRYPT_INSTRUCTION.URL

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%{7 characters from UID}\{7 characters from UID}.exe
• %Application Data%\{7 characters from UID}.exe
• %User Startup%\{7 characters from UID}.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las carpetas siguientes:

• %System Root%\{7 characters from UID}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{6 characters from UID} = "%System Root%{7 characters from UID}\{7 characters from UID}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{7characters from UID} = "%Application Data%\{7 characters from UID}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}\
CRYPTLIST

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{UID}\
CRYPTLIST\{Path of encrypted file}
{Filename of encrypted file} = ""

Robo de información

Recopila la siguiente información del equipo afectado:

• Unique Identifier (UID)
• Machine Screenshot

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {pseudorandom}.com/{random alphanumeric characters}
• http://{BLOCKED}asa.com/{random alphanumeric characters}
• http://{BLOCKED}ustler.com/{random alphanumeric characters}
• http://{BLOCKED}rdrotit.com/{random alphanumeric characters}
• http://{BLOCKED}terbaby.com/{random alphanumeric characters}
• http://{BLOCKED}ersuck.com/{random alphanumeric characters}
• http://{BLOCKED}ediana.com/{random alphanumeric characters}
• http://{BLOCKED}wea.com/{random alphanumeric characters}
• http://{BLOCKED}rtmart.com/{random alphanumeric characters}
• http://{BLOCKED}mosra.com/{random alphanumeric characters}