Ransom.Win32.TRIGONA.YMDBJ

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega los procesos siguientes:

• "%System%\mshta.exe" "%User Temp%\how_to_decrypt.hta"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 4E8F43A8-15C1-803C2BEC → derived from computer name

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID 1} = {malware file path}\{malware name}.exe

Robo de información

Recopila los siguientes datos:

• OS Version
• Available disk drives
• Free disk space on all available drives
• Keyboard Layout
• System Locale
• Username
• Computer Name
• Network Configuration Information

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Generated ID 2} = %User Temp%\how_to_decrypt.hta

Hace lo siguiente:

• By default, It encrypts local drives and network drives.
• It displays its ransom note after encryption.