Ransom.MSIL.CHAOS.I

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\{9 Random Characters}.jpg → plain white image used to set the Desktop's wallpaper.

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra y ejecuta los archivos siguientes:

• %Application Data%\svchost.exe → drops and executes only if {Malware Path}\{Malware Filename} is not equal to it.

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• "%System%\cmd.exe" /C vssadmin delete shadows /all /quiet & wmic shadowcopy delete → deletes all volume shadow copies in the system.
• "%System%\cmd.exe" /C bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no → disables Windows RE error recovery, and automatic restart.
• "%System%\cmd.exe" /C wbadmin delete catalog -quiet → deletes the backup catalog on the system.
• "%System%\NOTEPAD.EXE" %Application Data%\read_it.txt → opens the dropped ransom note.

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• Filename: %User Startup%\svchost.url
  URL: file:///%Application Data%\svchost.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Otras modificaciones del sistema

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = %User Temp%\{9 Random Characters}.jpg

(Note: The default value data of the said registry entry is {Default Image Filename}.)

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Propagación

Este malware infiltra las siguientes copias de sí mismo en todas las unidades físicas y extraíbles:

• {Drive Letter}\surprise.exe → dropped in every active drive except C:.

Otros detalles

Hace lo siguiente:

• During encryption:
  • If the file's size is less than 2,117,152 bytes, it rewrites the file's data using the following format:
    • {Encrypted Key}{Encrypted Data}
  • Otherwise, it rewrites the file's data using the following format:
  • {Encrypted Key}{Encrypted Data}
• It utilizes Bitcoin address clipboard hijacking by checking the clipboard if it contains a Bech32 BTC address and replaces it with the following BTC address:
  • {BLOCKED}ll8p9m8uezhqhyd7z459ajrk722yn8c5j4fg