RANSOM_HIDDENTEARDECRYPTOR.A

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Crypt = %User Startup%\HTCryptor.exe

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio común de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\HTCryptor.exe - Copy of itself

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Startup%\HTDecryptor.exe - Decryptor Module
• %Desktop%\HTDecryptor.exe - Decryptor Module
• %Start Menu%\HTDecryptor.exe - Decryptor Module
• %Program Files%\HTDecryptor.exe - Decryptor Module
• %User Profile%\Videos\Decryptor.exe - Decryptor Module
• %User Profile%\Pictures\HTDecryptor.exe - Decryptor Module
• %User Profile%\Music\HTDecryptor.exe - Decryptor Module
• %User Startup%\message.exe - lock screen message

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

. %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

. %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .txt
• .doc
• .docx
• .log
• .msg
• .odt
• .pages
• .rtf
• .tex
• .wpd
• .wps
• .csv
• .dat
• .ged
• .key
• .keychain
• .pps
• .ppt
• .pptx
• .sdf
• .tar
• .tax2014
• .tax2015
• .vcf
• .xml
• .aif
• .iff
• .m3u
• .m4a
• .mid
• .mp3
• .mpa
• .wav
• .wma
• .3g2
• .3gp
• .asf
• .avi
• .flv
• .m4v
• .mov
• .mp4
• .mpg
• .rm
• .srt
• .swf
• .vob
• .wmv
• .3dm
• .3ds
• .max
• .obj
• .bmp
• .dds
• .gif
• .jpg
• .png
• .psd
• .tga
• .thm
• .tif
• .tiff
• .yuv
• .ai
• .eps
• .ps
• .svg
• .indd
• .pct
• .pdf
• .xlr
• .xls
• .xlsx
• .accdb
• .db
• .dbf
• .mdb
• .pdb
• .sql
• .dwg
• .dxf
• .asp
• .aspx
• .cer
• .cfm
• .csr
• .css
• .htm
• .html
• .js
• .jsp
• .php
• .rss
• .xhtml
• .7z
• .cbr
• .deb
• .gz
• .pkg
• .rar
• .rpm
• .sitx
• .tar.gz
• .zip
• .zipx
• .bin
• .cue
• .dmg
• .iso
• .mdf
• .toast
• .vcd
• .class
• .cpp
• .cs
• .dtd
• .fla
• .java
• .lua
• .pl
• .py
• .sh
• .sln
• .swift
• .vb
• .vcxproj
• .xcodeproj
• .bak
• .tmp
• .crdownload
• .ics
• .msi
• .part
• .torrent

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {Original filename and extension}.locked