RANSOM_CRYPTESLA.YUYAJC

Ändert Zoneneinstellungen von Internet Explorer.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Windows%\{random filename}.exe (with Administrator Privileges)
• %My Documents%\{random filename}.exe (with non-Administrator Privileges)

  (Note: %My Documents% is C:\Users\{user name}\Documents on Windows Vista and above.)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Dateien ein:

• %My Documents%\recover_file_{random characters}.txt
• Ransom Notes:
  • %Desktop%\_ReCoVeRy_.HTM
  • %Desktop%\_ReCoVeRy_.png
  • %Desktop%\_ReCoVeRy_.TXT
  • %User Profile%\_ReCoVeRy_+{random characters}.html
  • %User Profile%\_ReCoVeRy_+{random characters}.png
  • %User Profile%\_ReCoVeRy_+{random characters}.txt
  • {Folders containing encrypted files}\_ReCoVeRy_+{random characters}.html
  • {Folders containing encrypted files}\_ReCoVeRy_+{random characters}.png
  • {Folders containing encrypted files}\_ReCoVeRy_+{random characters}.txt

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{4 random characters}-{8 random characters} = "%Windows%\{random filename}.exe" (with Administrator Privileges)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{4 random characters}-{8 random characters} = "%My Documents%\{random filename}.exe" (with non-Administrator Privileges)

Andere Systemänderungen

Ändert die folgenden Dateien:

• It encrypts files and appends the extension .mp3 to them

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\zzzsys

HKEY_CURRENT_USER\Software\{Installation ID}

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\zzzsys
ID = {Installation ID}

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}edicalcentre.com/wp-content/uploads/wstr.php
• http://{BLOCKED}lizedaccess.co.uk/wp-content/uploads/2015/09/wstr.php
• http://{BLOCKED}stitut.org/wp-content/themes/bstr.php
• http://www.{BLOCKED}aticauno.net/gamma/tmp/bstr.php
• http://www.{BLOCKED}aticauno.net/gamma/tmp/wstr.php
• http://{BLOCKED}our.info/users/28c4fe1/wstr.php

Verschlüsselt Dateien mit den folgenden Erweiterungen:

• .lvl
• .arch00
• .ntl
• .fsh
• .itdb
• .itl
• .mddata
• .sidd
• .sidn
• .bkf
• .qic
• .bkp
• .bc7
• .bc6
• .pkpass
• .tax
• .gdb
• .qdf
• .t12
• .t13
• .ibank
• .sum
• .sie
• .zip
• .w3x
• .rim
• .psk
• .tor
• .vpk
• .iwd
• .mlx
• .fpk
• .dazip
• .vtf
• .vcf
• .esm
• .blob
• .dmp
• .layout
• .menu
• .kf
• .ncf
• .sid
• .sis
• .ztmp
• .vdf
• .mov
• .fos
• .itm
• .wmo
• .itm
• .map
• .wmo
• .svg
• .cas
• .gho
• .syncdb
• .hkdb
• .hplg
• .hvpl
• .icxs
• .docm
• .wps
• .xls
• .xlsx
• .xlsm
• .xlsb
• .xlk
• .ppt
• .pptx
• .pptm
• .mdb
• .accdb
• .pst
• .dwg
• .dxg
• .wpd
• .rtf
• .wb2
• .pfx
• .p12
• .p7b
• .sb
• .mdbackup
• .xf
• .p7c
• .txt
• .jpeg
• .png
• .css
• .flv
• .m3u
• .desc
• .xxx
• wallet
• .big
• .pak
• .rgss3a
• .epk
• .bik
• .slm
• .lbf
• .sav
• .re4
• .apk
• .bsa
• .ltx
• .forge
• .asset
• .iwi
• .das
• .upk
• .d3dbsp
• .csv
• .wmv
• .avi
• .wma
• .m4a
• .rar
• .mp4
• .sql
• .bak
• .tiff
• .com
• .py
• .js
• .rb
• .litesql
• .litemod
• .7z
• .x3f
• .der
• .cer
• .crt
• .pem
• .odt
• .ods
• .odp
• .odm
• .odc
• .odb
• .doc
• .docx