Ransom.Win32.CAI.A

Instalación

Infiltra los archivos siguientes:

• %User Temp%\E_N60005\krnln.fnr = module to be loaded
• %User Temp%\abc.txt = not used
• %Application Data%\CXK-NMSL\CXK-NMSL.bat = encrypt files
• %Application Data%\CXK-NMSL\fuze.bat = starts CXK-NMSL.bat
• %Application Data%\Wallpaper.jpg = wallpaper to change
• %User Temp%\drawerror.exe = error icon mouse trail
• %Application Data%\message.vbs = start up msg box and opens browser and redirects to https://www.bilibili.com/video/av61335515/
• %User Temp%\╝ª─π╠½├└.mp3 = music to play

Agrega los procesos siguientes:

• %Application Data%\CXK-NMSL\fuze.bat
• %Application Data%\CXK-NMSL\CXK-NMSL.bat

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Crea las carpetas siguientes:

• %User Temp%\E_N60005
• %Application Data%\CXK-NMSL

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
CXK = %Application Data%\message.vbs

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = https://www.{BLOCKED}li.com/video/av61335515/ >

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Default_Page_URL = https://www.{BLOCKED}li.com/video/av61335515/

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\control panel\desktop
Wallpaper = %Application Data%\Wallpaper.jpg

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• 

Otros detalles

Muestra los cuadros de mensaje siguientes:

Hace lo siguiente:

• Plays the mp3 file ╝ª─π╠½├└.mp3
• Opens internet explorer and redirects to https://www.{BLOCKED}li.com/video/av61335515/
• Displays an error trail that follow the user's cursor for 10 ms
• Deletes CXK-NMSL.bat after execution
• The ransomware appends .cxkdata to all the files in the following directories:
  • %System Root%
  • %User Profile%
  • %User Profile%\Desktop\
  • %User Profile%\Downloads\
  • %User Profile%\Favorites\
  • %User Profile%\Searches\
  • %User Profile%\Saved Games\
  • %User Profile%\Contacts\
  • %User Profile%\Links\
  • %User Profile%\Videos\
  • %User Profile%\Pictures\
  • %User Profile%\Documents\
  • %User Profile%\Music\
• Then encodes them in Base64
  • Successful : changes .cxkdata to cxk_msl
  • Not successful : deletes the file