RANSOM_CRYPWALL.CBQ157S

Modifica las entradas de registro para desactivar varios servicios del sistema. Esta acción impide el uso de casi todas las funciones del sistema.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%\{random 8 characters}\{random 8 characters}.exe
• %Application Data%\{random 8 characters}.exe
• %User Startup%\{random 8 characters}.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Infiltra los archivos siguientes:

• %User Startup%\HELP_DECRYPT.HTML
• %User Startup%\HELP_DECRYPT.PNG
• %User Startup%\HELP_DECRYPT.TXT
• %User Startup%\HELP_DECRYPT.URL

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Infiltra y ejecuta los archivos siguientes:

• %Desktop%\HELP_DECRYPT.HTML
• %Desktop%\HELP_DECRYPT.PNG
• %Desktop%\HELP_DECRYPT.TXT
• %Desktop%\HELP_DECRYPT.URL

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Agrega los procesos siguientes:

• explorer.exe
• svchost.exe

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• created explorer.exe
• created svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 7 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters} = "%Application Data%\{random 8 characters}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{random 6 characters} = "%System Root%\{random 8 characters}\{random 8 characters}.exe" (for Windows Vista and above only)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*{random 7 characters} = "%Application Data%\{random 8 characters}.exe" (for Windows Vista and above only)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}\
{random key}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.URL}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.TXT}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{contents of HELP_DECRYPT.HTML}"

HKEY_CURRENT_USER\Software\{UID}
{random 2 characters} = "{RSA PUBLIC KEY}"

HKEY_CURRENT_USER\Software\{UID}\
{random key}
{Path and file of encrypted file} = "{hex values}"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(Note: The default value data of the said registry entry is 0.)

Modifica las entradas de registro para desactivar los siguientes servicios del sistema:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ERSvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Robo de información

Recopila los siguientes datos:

• Unique Identifier (UID)
• Machine Screenshot

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}a.kz/wp-content/plugins/wp-db-backup-made/a.php?{random letter}={random values}
• http://{BLOCKED}ander.com/wp-content/plugins/wp-db-backup-made/b.php?{random letter}={random values}
• http://{BLOCKED}igital.com/wp-content/themes/twentytwelve/c.php?{random letter}={random values}
• http://{BLOCKED}100unity.com/wp-includes/js/tinymce/skins/wordpress/images/e.php?{random letter}={random values}
• http://{BLOCKED}v.com/plugins/system/plg_system_rewrite/a.php?{random letter}={random values}
• http://{BLOCKED}eloper.com/tmp/b.php?{random letter}={random values}
• http://{BLOCKED}ebangalore.org/wp-content/themes/twentyeleven/d.php?{random letter}={random values}
• http://{BLOCKED}scod.com/tmp/e.php?{random letter}={random values}
• http://{BLOCKED}advances.com/wp-content/plugins/updraftplus/oc/guzzle/Guzzle/Service/Command/LocationVisitor/Request/a.php?{random letter}={random values}
• http://{BLOCKED}rgical.com/plugins/system/plg_system_rewrite/b.php?{random letter}={random values}
• http://{BLOCKED}rymexico.com/foro/vendor/symfony/http-foundation/Symfony/Component/HttpFoundation/Session/Storage/Handler/c.php?{random letter}={random values}
• http://{BLOCKED}ebetterwe.com/wp-content/plugins/wp-antibot-standart/d.php?{random letter}={random values}
• http://{BLOCKED}celets.ro/wp-content/themes/twentytwelve/e.php?{random letter}={random values}
• http://{BLOCKED}aonline.com/plugins/system/plg_system_rewrite/a.php?{random letter}={random values}
• http://{BLOCKED}vn/wp-content/themes/twentytwelve/b.php?{random letter}={random values}
• http://{BLOCKED}roseville.org/wp-content/plugins/wp-antibot-standart/c.php?{random letter}={random values}
• http://{BLOCKED}ie.de/wp-content/plugins/revslider/css/jui/new/images/d.php?{random letter}={random values}
• http://{BLOCKED}c.com.pk/wp-content/plugins/wp-antibot-standart/e.php?{random letter}={random values}
• http://{BLOCKED}o.de/plugins/system/plg_system_rewrite/a.php?{random letter}={random values}
• http://{BLOCKED}ement.com/blog/wp-content/plugins/wp-antibot-standart3/b.php?{random letter}={random values}
• http://{BLOCKED}ftball.com/wp-content/themes/sports-team-theme/includes/advanced-custom-fields/assets/inc/datepicker/images/c.php?{random letter}={random values}
• http://{BLOCKED}rvisi.info.tr/wp-content/themes/twentytwelve/d.php?{random letter}={random values}
• http://{BLOCKED}k.info/wp-content/uploads/e.php?{random letter}={random values}
• http://{BLOCKED}ce.ru/wp-content/themes/dreamynight-10/a.php?{random letter}={random values}
• http://{BLOCKED}bahadi.com/wp-content/uploads/b.php?{random letter}={random values}
• http://{BLOCKED}lemaneslabardena.com/plugins/system/plg_system_rewrite/c.php?{random letter}={random values}
• http://{BLOCKED}zworld.com/wp-content/plugins/wp-antibot-standart/d.php?{random letter}={random values}
• http://{BLOCKED}op4men.com.br/wp-content/plugins/wp-antibot-standart/a.php?{random letter}={random values}
• http://{BLOCKED}homesearch.com/wp-content/plugins/wp-antibot-standart/b.php?{random letter}={random values}
• http://{BLOCKED}c.ro/wp-content/themes/twentytwelve/c.php?{random letter}={random values}
• http://{BLOCKED}serwa.com/wp-content/plugins/wp-db-backup-made/a.php?{random letter}={random values}
• http://{BLOCKED}b.es/wordpress/wp-content/plugins/wp-db-backup-made1/d.php?{random letter}={random values}
• http://{BLOCKED}elry.com/il/wp-content/plugins/ninja-forms/includes/admin/pages/ninja-forms-settings/tabs/c.php?{random letter}={random values}
• http://{BLOCKED}a.com/blog/wp-content/plugins/scribe/lib/history/views/meta-box/c.php?{random letter}={random values}
• http://{BLOCKED}n.ru/wp-content/plugins/nextgen-gallery/products/photocrati_nextgen/modules/nextgen_gallery_display/templates/list/a.php?{random letter}={random values}
• http://{BLOCKED}n.com/wp-content/themes/twentythirteen/e.php?{random letter}={random values}
• http://{BLOCKED}es.com/wp-content/themes/twentyeleven/a.php?{random letter}={random values}
• http://{BLOCKED}partman.hu/de/wp-content/plugins/wp-db-backup-made/e.php?{random letter}={random values}
• http://{BLOCKED}eoyunlari.org/wp-content/themes/twentytwelve/b.php?{random letter}={random values}
• http://{BLOCKED}magenes.com/wp-content/plugins/wp-mobile-edition/admin/includes/mobile_themes/mTheme-Unus/images/blue/a.php?{random letter}={random values}
• http://{BLOCKED}on.com/wp-content/plugins/contact-form-7/includes/js/jquery-ui/themes/smoothness/images/a.php?{random letter}={random values}

Cifra los archivos con las extensiones siguientes:

• 3dm
• 3ds
• 3fr
• 3g2
• 3gp
• 3pr
• 7z
• ab4
• accdb
• accde
• accdr
• accdt
• ach
• acr
• act
• adb
• ads
• agdl
• ai
• ait
• al
• apj
• arw
• asf
• asm
• asp
• asx
• avi
• awg
• back
• backup
• backupdb
• bak
• bank
• bay
• bdb
• bgt
• bik
• bkp
• blend
• bpw
• c
• cdf
• cdr
• cdr3
• cdr4
• cdr5
• cdr6
• cdrw
• cdx
• ce1
• ce2
• cer
• cfp
• cgm
• cib
• class
• cls
• cmt
• cpi
• cpp
• cr2
• craw
• crt
• crw
• cs
• csh
• csl
• csv
• dac
• db
• db3
• dbf
• db-journal
• dc2
• dcr
• dcs
• ddd
• ddoc
• ddrw
• dds
• der
• des
• design
• dgc
• djvu
• dng
• doc
• docm
• docx
• dot
• dotm
• dotx
• drf
• drw
• dtd
• dwg
• dxb
• dxf
• dxg
• eml
• eps
• erbsql
• erf
• exf
• fdb
• ffd
• fff
• fh
• fhd
• fla
• flac
• flv
• fpx
• fxg
• gray
• grey
• gry
• h
• hbk
• hpp
• ibank
• ibd
• ibz
• idx
• iif
• iiq
• incpas
• indd
• java
• jpe
• jpeg
• jpg
• kc2
• kdbx
• kdc
• key
• kpdx
• lua
• m
• m4v
• max
• mdb
• mdc
• mdf
• mef
• mfw
• mmw
• moneywell
• mos
• mov
• mp3
• mp4
• mpg
• mrw
• msg
• myd
• nd
• ndd
• nef
• nk2
• nop
• nrw
• ns2
• ns3
• ns4
• nsd
• nsf
• nsg
• nsh
• nwb
• nx2
• nxl
• nyf
• oab
• obj
• odb
• odc
• odf
• odg
• odm
• odp
• ods
• odt
• oil
• orf
• ost
• otg
• oth
• otp
• ots
• ott
• p12
• p7b
• p7c
• pab
• pages
• pas
• pat
• pcd
• pct
• pdb
• pdd
• pdf
• pef
• pem
• pfx
• php
• pl
• plc
• pot
• potm
• potx
• ppam
• pps
• ppsm
• ppsx
• ppt
• pptm
• pptx
• prf
• ps
• psafe3
• psd
• pspimage
• pst
• ptx
• py
• qba
• qbb
• qbm
• qbr
• qbw
• qbx
• qby
• r3d
• raf
• rar
• rat
• raw
• rdb
• rm
• rtf
• rw2
• rwl
• rwz
• s3db
• sas7bdat
• say
• sd0
• sda
• sdf
• sldm
• sldx
• sql
• sqlite
• sqlite3
• sqlitedb
• sr2
• srf
• srt
• srw
• st4
• st5
• st6
• st7
• st8
• std
• sti
• stw
• stx
• svg
• swf
• sxc
• sxd
• sxg
• sxi
• sxi
• sxm
• sxw
• tex
• tga
• thm
• tlg
• txt
• vob
• wallet
• wav
• wb2
• wmv
• wpd
• wps
• x11
• x3f
• xis
• xla
• xlam
• xlk
• xlm
• xlr
• xls
• xlsb
• xlsm
• xlsx
• xlt
• xltm
• xltx
• xlw
• ycbcra
• yuv
• zip