TROJ_CRYPTESLA.CG
Trojan:Win32/Dynamer!ac (Microsoft);
Windows
Type de grayware:
Trojan
Destructif:
Non
Chiffrement:
In the wild::
Oui
Overview
Détails techniques
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:
- %Application Data%\{random file name}.exe
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)
Schleust die folgenden Dateien ein:
- %Application Data%\key.dat
- %Application Data%\log.html ->list of encrypted files
- %User Profile%\My Documents\RECOVERY_FILE.TXT
- {File path of encrypted files}\HELP_TO_SAVE_FILES.txt ->ransom note
- %User Profile%\Desktop\HELP_TO_SAVE_FILES.bmp ->ransom wallpaper
- %User Profile%\Desktop\Save_Files.lnk ->shortcut of itself
(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AVrSvc = "%Application Data%\{random file name}.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AVrSvc = "%Application Data%\{random file name}.exe"
Andere Systemänderungen
Ändert das Hintergrundbild des Desktops durch Abänderung der folgenden Registrierungseinträge:
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Profile%\Desktop\HELP_TO_SAVE_FILES.bmp"
(Note: The default value data of the said registry entry is {User defined}.)
Andere Details
Verschlüsselt Dateien mit den folgenden Erweiterungen:
- sql
- mp4
- 7z
- rar
- m4a
- wma
- avi
- wmv
- csv
- d3dbsp
- zip
- sie
- sum
- ibank
- t13
- t12
- qdf
- gdb
- tax
- pkpass
- bc6
- bc7
- bkp
- qic
- bkf
- sidn
- sidd
- mddata
- itl
- itdb
- icxs
- hvpl
- hplg
- hkdb
- mdbackup
- syncdb
- gho
- cas
- svg
- map
- wmo
- itm
- sb
- fos
- mov
- vdf
- ztmp
- sis
- sid
- ncf
- menu
- layout
- dmp
- blob
- esm
- vcf
- vtf
- dazip
- fpk
- mlx
- kf
- iwd
- vpk
- tor
- psk
- rim
- w3x
- fsh
- ntl
- arch00
- lvl
- snx
- cfr
- ff
- vpp_pc
- lrf
- m2
- mcmeta
- vfs0
- mpqge
- kdb
- db0
- dba
- rofl
- hkx
- bar
- upk
- das
- iwi
- litemod
- asset
- forge
- ltx
- bsa
- apk
- re4
- sav
- lbf
- slm
- bik
- epk
- rgss3a
- pak
- big
- wallet
- wotreplay
- xxx
- desc
- py
- m3u
- flv
- js
- css
- rb
- png
- jpeg
- txt
- p7c
- p7b
- p12
- pfx
- pem
- crt
- cer
- der
- x3f
- srw
- pef
- ptx
- r3d
- rw2
- rwl
- raw
- raf
- orf
- nrw
- mrwref
- mef
- erf
- kdc
- dcr
- cr2
- crw
- bay
- sr2
- srf
- arw
- 3fr
- dng
- jpe
- jpg
- cdr
- indd
- ai
- eps
- pdd
- psd
- dbfmdf
- wb2
- rtf
- wpd
- dxg
- xf
- dwg
- pst
- accdb
- mdb
- pptm
- pptx
- ppt
- xlk
- xlsb
- xlsm
- xlsx
- xls
- wps
- docm
- docx
- doc
- odb
- odc
- odm
- odp
- ods
- odt
Benennt verschlüsselte Dateien in folgende Namen um:
- {Original Filename}.exx