RANSOM_DYNAMITE.A

Instalación

Agrega las carpetas siguientes:

• %Application Data%\Audio Drivers
• %System Root%\XMR
• %System Root%\XMR\Coin
• %System Root%\XMR\Coin\api
• %AppDataLocal%\dyna
• %User Temp%\Microsoft

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

)

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %User Temp%\smss.exe
• %Start Menu%\Programs\Startup\smss.exe
• %Application Data%\Audio Drivers\Audio Drivers.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %System Root%\XMR\Coin\start.exe <- detected as TSPY_FAREIT.SMBD1
• %User Temp%\{8 char string}.exe <- detected as TSPY_FAREIT.SMBD1
• %System Root%\XMR\Coin\Core2.exe <- coinminer
• %User Temp%\Microsoft\minerd.exe <- coinminer
• %User Temp%\{13 char string}.exe <- keylogger
• %AppDataLocal%\dyna\icon.ico <- icon for created ransonware
• %System Root%\XMR\Coin\api\index.php <- contains cpuminer APIs
• %System Root%\XMR\Coin\api\local-sample.php <- contains socket functions
• %System Root%\XMR\Coin\api\websocket.htm <- contains javascript for WebSocket call
• %User Temp%\Microsoft\libcurl-4.dll
• %User Temp%\Microsoft\libiconv-2.dll
• %User Temp%\Microsoft\libintl-8.dll
• %User Temp%\Microsoft\zlib1.dll
• %User Temp%\Microsoft\libidn-11.dll
• %User Temp%\Microsoft\libwinpthread-1.dll
• %User Temp%\tmp{4 random char}.tmp.bat <- executes %System Root%\XMR\Coin\run.vbs
• %Start Menu%\Programs\Startup\Audio Drivers.vbs <- executes "%Application Data%\Audio Drivers\Audio Drivers.exe"
• %System Root%\XMR\Coin\run.vbs <- executes %System Root%\XMR\Coin\Core2.exe with parameters
• %User Startup%\Audio Drivers.vbs <- executes %Application Data%\Audio Drivers\Audio Drivers.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WindowsUpdater = %System Root%\XMR\Coin\start.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %User Temp%\smss.exe

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\Audio Drivers.vbs
• %Start Menu%\Programs\Startup\smss.exe
• %Start Menu%\Programs\Startup\Audio Drivers.vbs

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

. %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

)