RANSOM_TROLDESH.R01FC0DKL18

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %All Users Profile%\Application Data\Windows\csrss.exe (Windows XP and below)
• %All Users Profile%\Windows\csrss.exe (Windows Vista and above)

Infiltra los archivos siguientes:

• %User Temp%\{random}\lock
• %User Temp%\{random}\state
• %User Temp%\{random}\unverified-microdesc-consensus
• %User Temp%\{random}\cached-certs
• %User Temp%\{random}\cached-microdesc-consensus
• %User Temp%\{random}\cached-microdescs.new
• %Application Data%\{Random characters}.bmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega los procesos siguientes:

• C:\Windows\system32\vssadmin.exe List Shadows
• C:\Windows\system32\vssadmin.exe Delete Shadows /All /Quiet

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = "%All Users Profile%\Application Data\Windows\csrss.exe (Windows XP and below)"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Client Server Runtime Subsystem = "%All Users Profile%\Windows\csrss.exe (Windows Vista and above)"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xVersion = "4.0.0.1"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xpk = "{PUBLIC KEY}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xmode = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xi = "{Random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xstate = {number}

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
xcnt = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
shsnt = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
shst = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
sh1 = "{number}"

HKEY_LOCAL_MACHINE\SOFTWARE\System32\
Configuration
sh2 = "{number}"

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %Application Data%\{Random characters}.bmp

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}p2xzclh6fd.onion/{path}
  where {path} can be any of the following:
  • reg.php
  • prog.php
  • err.php
  • cmd.php
  • sys.php
  • shd.php
  • mail.php