RANSOM_CRYPTESLA.GL

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware modifica la configuración de zona de Internet Explorer.

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\wsmprovhost.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
FIX2-{random string} = "%System%\cmd.exe /c start "" "%Application Data%\wsmprovhost.exe""

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Axronics

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnabledLinkConnections = "1"

HKEY_CURRENT_USER\Software\Axronics
new_dataq = "{encrypted data}"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Profile%\Documents\storage_data
• %User Profile%\Documents\+recover+file.txt
• %Desktop%\{RecOveR}-{5 random characters}.Htm
• %Desktop%\{RecOveR}-{5 random characters}.Txt
• %Desktop%\{RecOveR}-{5 random characters}.Png

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}d.com/binfile.php
• http://{BLOCKED}inogames.org/binfile.php
• http://{BLOCKED}rg-share.com/wp-content/plugins/contact-form-7/includes/js/jquery-ui/themes/smoothness/images/binfile.php
• http://{BLOCKED}flooring.com/wp-content/themese/sketch/binfile.php
• http://{BLOCKED}sundaytv.com/wp-content/themese/sketch/binfile.php
• http://{BLOCKED}esact.com/wp-content/themese/sketch/binfile.php

Cifra los archivos con las extensiones siguientes:

• .pif
• .com
• .bat
• .cmd
• .lnkimage
• .vfolder
• .zip
• .dvr-ms
• .wvx
• .wmx
• .wmv
• .wm
• .mpv2
• .mpg
• .mpeg
• .mpe
• .mpa
• .mp2v
• .mp2
• .m1v
• .IVF
• .asx
• .asf
• .avi
• .wax
• .snd
• .rmi
• .m3u
• .au
• .aiff
• .aifc
• .aif
• .midi
• .mid
• .wma
• .wav
• .mp3
• .wmf
• .tiff
• .tif
• .rle
• .png
• .jpeg
• .jpe
• .jpg
• .jfif
• .gif
• .emf
• .dib
• .wsh
• .wsf
• .wsc
• .ws
• .vsw
• .vst
• .vss
• .vsmacros
• .vbs
• .vbe
• .vb
• .shs
• .shb
• .sct
• .scr
• .scf
• .reg
• .pst
• .prg
• .prf
• .pl
• .pif
• .pcd
• .ops
• .mst
• .msp
• .mshxml
• .msh
• .msc
• .mdz
• .mdw
• .mdt
• .mde
• .mdb
• .mda
• .mcf
• .maw
• .mav
• .mau
• .mat
• .mas
• .mar
• .maq
• .mam
• .mag
• .maf
• .mad
• .lnk
• .ksh
• .jse
• .js
• .its
• .isp
• .ins
• .inf
• .hlp
• .grp
• .gadget
• .fxp
• .exe
• .csh
• .crt
• .cpl
• .cmd
• .chm
• .cer
• .bat
• .bas
• .app
• .adp
• .ade
• .xbap
• .xps
• .pdf
• .pot
• .hta
• .xlt
• .pps
• .xlw
• .dot
• .rtf
• .ppt
• .xls
• .doc
• .xml
• .hta
• .docx
• .mrwref
• .indd
• .rofl
• .mpqge
• .vfs0
• .mcmeta
• .vpp_pc
• .arch00
• .itdb
• .mddata
• .sidd
• .sidn
• .pkpass
• .ibank
• .dazip
• .blob
• .layout
• .menu
• .ztmp
• .syncdb
• .mdbackup
• .hkdb
• .hplg
• .hvpl
• .icxs
• .docm
• .xlsx
• .xlsm
• .xlsb
• .pptx
• .pptm
• .accdb
• .jpeg
• .desc
• .litesql
• wallet
• .rgss3a
• .forge
• .asset
• .litemod
• .d3dbsp
• .tiff
• .txt
• .bak

Este malware define los atributos del/de los siguiente(s) archivo(s) como Oculto y Sistema:

• {dropped copy of itself}

Este malware se elimina tras la ejecución.