Ransom.Win32.XORIST.THLODBC

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\6TV8KH596tB4r6Q.exe → RegAsm.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• %Windows%\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• %Windows%\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.xro

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBEproce

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE\DefaultIcon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE\shell

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE\shell\open

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE\shell\open\
command

Modifica las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Alcmeter = %User Temp%\6TV8KH596tB4r6Q.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.xro
(Default) = YWOOOABBZNYCLBE

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE
(Default) = CRYPTED!

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE\DefaultIcon
(Default) = %User Temp%\6TV8KH596tB4r6Q.exe,0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
YWOOOABBZNYCLBE\shell\open\
command
(Default) = %User Temp%\6TV8KH596tB4r6Q.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
upd = %User Temp%\{Malware Name}

Otros detalles

Muestra los cuadros de mensaje siguientes:

• Asks for password for decryption (if %User Temp%\6TV8KH596tB4r6Q.exe already exists upon execution)

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).