RANSOM_POGOTEAR.B

Puede haberlo infiltrado otro malware.

Este malware se elimina tras la ejecución.

Detalles de entrada

Puede haberlo infiltrado otro malware.

Instalación

Agrega los procesos siguientes:

• cmd.exe", "/C ping 1.1.1.1 -n 1 -w 1000 > Nul & Del " + {malware path}
• C:\Users\{username}\Downloads\Pokemon\Pokemon.exe

Otras modificaciones del sistema

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %User Profile%\Downloads\Pokemon\bg.jpg-serves as ransom note

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Profile%\Downloads\Pokemon\key.pkm-contains the generated public key
• %User Profile%\Downloads\Pokemon\Pokemon\total.pkm-contains total number of encrypted files

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .bak
• .mdf
• .sql
• .cs
• .php
• .xls
• .doc
• .xlsx
• .docx
• .zip
• .rar
• .7z
• .tar.bz2
• .tar
• .cab
• .iso
• .dat
• .mdb
• .db
• .sqlite
• .csv
• .s3db
• .sqlitedb
• .dbf
• .myd
• .ibd
• .ibz
• .xlt
• .ppt
• .pptx
• .backup
• .3ds
• .pdf
• .eps
• .psd
• .psb
• .acbl
• .cdr
• .txt
• .xml
• .pst
• .jpg
• .jpeg
• .bmp
• .JPG
• .JPEG
• .BMP
• .cpr
• .all
• .rns
• .pptx
• .xltx
• .png
• .PNG
• .GIF
• .gif
• .dwg
• .der
• .crt
• .cer

Este malware se elimina tras la ejecución.