RANSOM_CRYPSHED.F

Lädt eine Datei von einer bestimmten Adresse (URL) herunter und benennt sie vor dem Speichern im betroffenen System um. Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• For Windows XP and below:
  • %All Users Profile%\Application Data\Windows\csrss.exe
• For Windows Vista and above:
  • %All Users Profile%\Windows\csrss.exe
  • %System Root%\Users\All Users\Windows\csrss.exe

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Schleust die folgenden Dateien ein:

• %Application Data%\{8 Random Alphanumeric Characters}{Same Characters as first 8}.bmp
• %User Temp%\cached-certs
• %User Temp%\cached-microdesc-consensus
• %User Temp%\cached-microdescs.new
• %User Temp%\lock
• %User Temp%\state

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Hinterlässt Textdateien, um Lösegeld durch folgenden Inhalt zu erpressen:

• 

• {Root Drives}\README{number 1 to 10}.txt
• %System Root%\Users\Public\Desktop\README{number 1 to 10}.txt (Windows Vista and Above)
• %All Users Profile%\Desktop\README{number 1 to 10}.txt (For Windows XP and Below)
• %Desktop%\README{number 1 to 10).txt

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = "%All Users Profile%\Windows\csrss.exe" (For Windows Vista and above)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = %All Users Profile%\Application Data\Windows\csrss.exe (For Windows XP and below)

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\system.pif
  (Note: %User Startup% is usually C:\Users\{User Name}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup for Windows 7)

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration

Ändert die folgenden Registrierungsschlüssel:

HKEY_USERS\{SID}\Control Panel\
Desktop
Wallpaper = "%Application Data%\{8 Random clphanumeric characters}{Same characters as first 8}.bmp"

(Note: The default value data of the said registry entry is "{user-defined wallpaper}".)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Application Data%\{8 Random alphanumeric characters}{Same characters as first 8}.bmp"

(Note: The default value data of the said registry entry is "{user-defined wallpaper".)

Stellt auf dem System das folgende Bild als Desktop-Hintergrundbild ein:

• %Application Data%\{8 random alphanumeric characters}{Same characters as first 8}.bmp

• 

Download-Routine

Lädt Dateien von einer bestimmten Adresse (URL) herunter und benennt sie vor dem Speichern im betroffenen System um.

• URLs varies based from the list received from the servers

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\{8 Random Alphanumeric Strings}.exe
• As of this writing, the downloaded file can be any of the following:
  • TSPY_FAREIT.BTSHD
  • TROJ_MIUREF.BTSHD
  • WORM_KELIHOS.BTSHD
  • TROJ_BRUTESHED.A

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Information
• Network Information
• IP Address
• List of Logical Drives
• User Name
• OS Version

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.21.38
• {BLOCKED}.{BLOCKED}.238.52
• {BLOCKED}.{BLOCKED}.193.9
• {BLOCKED}.{BLOCKED}.244.244
• {BLOCKED}.{BLOCKED}.0.34
• {BLOCKED}.{BLOCKED}.206.212
• {BLOCKED}.{BLOCKED}.40.189
• {BLOCKED}.{BLOCKED}.175.225
• http://{BLOCKED}5s4fss2q.onion/reg.php
• http://{BLOCKED}55s4fss2q.onion/err.php
• http://{BLOCKED}55s4fss2q.onion/prog.php
• http://{BLOCKED}55s4fss2q.onion/cmd.php
• http://{BLOCKED}55s4fss2q.onion/sys.php

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• wb2
• cdr
• srw
• p7b
• odm
• mdf
• p7c
• 3fr
• der
• odb
• arw
• rwl
• cer
• xlk
• pdd
• rw2
• crt
• dx
• r3d
• pem
• bay
• ptx
• pfx
• indd
• nrw
• p12
• bd
• backup
• torrent
• kwm
• pwm
• safe
• xl
• xls
• xlsx
• xlsm
• xlsb
• xltm
• xlt
• xlam
• xla
• mdb
• rtf
• txt
• xml
• csv
• pdf
• prn
• dif
• slk
• ods
• xltx
• xlm
• odc
• xlw
• uxdc
• pm
• udl
• dsn
• iqy
• dqy
• rqy
• oqy
• cub
• bak
• xsn
• xsf
• xtp
• xtp2
• accdb
• adb
• adp
• mda
• accda
• mde
• accde
• accdw
• accdt
• accdc
• mdw
• dbf
• tab
• asc
• frm
• opt
• myd
• myi
• db
• onetoc2
• one
• onepkg
• vcs
• ics
• pst
• oft
• msg
• pptx
• ppt
• pptm
• pps
• ppsm
• pot
• potx
• potm
• odp
• thmx
• wpd
• wps
• ppa
• ppam
• wmf
• emf
• pub
• ps
• xps
• vsd
• vdx
• vss
• vsx
• vst
• vtx
• vsw
• vdw
• emz
• dwg
• dxf
• docx
• doc
• docm
• dotx
• dot
• dotm
• djvu
• chm
• htm
• html
• mht
• mhtml
• shtml
• shtm
• asp
• aspx
• dwt
• stm
• cs
• css
• psd
• pdd
• 3ds
• max
• crw
• nef
• raf
• orf
• mrw
• dcr
• mos
• pef
• srf
• dng
• x3f
• cr2
• erf
• sr2
• kdc
• mfw
• mef
• cin
• sdpx
• dpx
• fido
• dae
• dcm
• dc3
• dic
• eps
• kmz
• iff
• tdi
• exr
• pcx
• pdp
• pxr
• sct
• u3d
• obj
• ai3
• ai4
• ai5
• ai6
• ai7
• ai8
• ai
• epsp
• epsf
• hdr
• rgbe
• xyze
• flm
• pbm
• pgm
• ppm
• pnm
• pfm
• pam
• pct
• pict
• psb
• fxg
• swf
• hta
• htc
• ssi
• as
• asr
• xsl
• xsd
• dtd
• xslt
• rss
• rdf
• lbi
• asa
• ascx
• asmx
• config
• cfm
• cfml
• cfc
• tld
• phtml
• jsp
• wml
• tpl
• lasso
• jsf
• vb
• vbs
• vtm
• vtml
• edml
• raw
• jpg
• jpeg
• jpe
• bmp
• png
• tif
• tiff
• dib
• gif
• svg
• svgz
• rle
• tga
• vda
• icb
• wbm
• wbmp
• jpf
• jpx
• jp2
• j2k
• j2c
• jpc
• avi
• mkv
• mov
• mp4
• wmv
• 3gp
• mpg
• mpeg
• m4v
• divx
• mpv
• m1v
• dat
• anim
• m4a
• qt
• 3g2
• f4v
• mkidx
• mka
• avs
• vdr
• flv
• bin
• mp3
• wav
• asx
• pls
• zip
• 7z
• rar
• tar
• gz
• bz2
• wim
• xz
• c
• h
• hpp
• cpp
• php
• php3
• php4
• php5
• py
• pl
• sln
• js
• json
• inc
• sql
• java
• class
• ini
• asm
• clx
• tbb
• tbi
• tbk
• pst
• dbx
• 1cd
• dt
• cf
• cfu
• mxl
• epf
• vrp
• grs
• geo
• elf
• lgf
• lgp
• log
• st
• pff
• mft
• efd
• md
• xsn

Benennt verschlüsselte Dateien in folgende Namen um:

• "{Encrypted String}.xtbl"
• "{Original File Name}.ytbl" - if file name encryption fails