Ransom.MSIL.LUCKNITE.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Utiliza nombres de archivos similares a los de las aplicaciones legítimas para hacer creer al usuario que son aplicaciones legítimas.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra y ejecuta los archivos siguientes:

• {All affected directories}\README.txt
• %Application Data%\svchost.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• bc1qw0ll8p9m8uezhqhyd7z459ajrk722yn8c5j4fg
• 17CqMQFeuB3NTzJ2X28tfRmWaPyPQgvoHV

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Store = {ransomware location}

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• svchost.url ← links to ransomware location

Propagación

Este malware infiltra las siguientes copias de sí mismo en todas las unidades físicas y extraíbles:

• surprise.exe (except C: drive)

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .1cd
• .3ds
• .3fr
• .3g2
• .3gp
• .7z
• .7zip
• .accda
• .accdb
• .accdc
• .accde
• .accdr
• .accdt
• .accdw
• .ace
• .adp
• .ai
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .amv
• .apk
• .arj
• .arw
• .ascx
• .asm
• .asmx
• .asp
• .aspx
• .avi
• .avs
• .backup
• .bak
• .bay
• .bin
• .bk
• .blob
• .bmp
• .bz2
• .cab
• .cer
• .cfm
• .config
• .contact
• .core
• .cpp
• .crt
• .cs
• .css
• .csv
• .cub
• .cvs
• .dae
• .dat
• .db
• .dbf
• .dbx
• .dc3
• .dcm
• .dcr
• .dib
• .dic
• .dif
• .divx
• .djvu
• .dmg
• .doc
• .docm
• .docx
• .dot
• .dotx
• .dwg
• .dwt
• .epsp
• .exif
• .exr
• .f4v
• .flv
• .geo
• .gif
• .gz
• .gzip
• .htm
• .html
• .ibank
• .ico
• .iff
• .inc
• .indd
• .ini
• .iso
• .jar
• .java
• .jpe
• .jpeg
• .jpg
• .js
• .json
• .jsp
• .key
• .kmz
• .kwm
• .lnk
• .log
• .lzh
• .m1v
• .m4a
• .m4p
• .m4v
• .max
• .mda
• .mdb
• .mde
• .mdf
• .mdw
• .mht
• .mhtml
• .mka
• .mkv
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .mpv
• .msg
• .myi
• .nef
• .obj
• .odc
• .odm
• .odp
• .ods
• .odt
• .oft
• .onepkg
• .onetoc2
• .opt
• .oqy
• .orf
• .p7b
• .p7c
• .p12
• .pam
• .pas
• .pdb
• .pdf
• .pfx
• .php
• .pict
• .pl
• .pls
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppt
• .pptm
• .pptx
• .ps
• .psb
• .psd
• .pst
• .py
• .r3d
• .rar
• .raw
• .rb
• .rgbe
• .rss
• .rtf
• .safe
• .settings
• .sie
• .slk
• .sln
• .sql
• .stm
• .sum
• .svg
• .svgz
• .swf
• .swift
• .tab
• .tar
• .tar.gz
• .tbi
• .tif
• .torrent
• .txt
• .vb
• .vbs
• .vdi
• .vmdk
• .vob
• .vss
• .wallet
• .wav
• .webm
• .wma
• .wmv
• .wpd
• .wps
• .xla
• .xlam
• .xlk
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xps
• .xsd
• .xsf
• .xsl
• .xz
• .zip

Utiliza nombres de archivos similares a los de las aplicaciones legítimas para hacer creer al usuario que son aplicaciones legítimas.

Hace lo siguiente:

• This ransomware uses different encryption methods to target files depending on its file size:
  • If file size is less than 2,117,152 bytes:
  • It uses AES encryption to encrypt the file
  • If file size is more than 200,000,000 bytes:
  • It uses a randomly generated Base64 string, then it appends the generated 4-character string to the file name.
  • If file size is more than 2,117,152 bytes and less than 200,000,000 bytes:
  • It generates a Base64 string from a random UTF-8 encoded bytes of length equal to a quarter of the file size and writes the string to the file. It appends the generated 4-character string to the file name.