Trojan.Win32.BABUK.A
VHO:Trojan-Ransom.Win32.Crypmodng.gen (KASPERSKY)
Windows
Tipo de malware
Trojan
Destructivo?
No
Cifrado
No
In the Wild:
Sí
Resumen y descripción
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Detalles técnicos
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Instalación
Agrega las carpetas siguientes:
- %User Temp%\is-{random}.tmp
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).
)Infiltra los archivos siguientes:
- %User Temp%\is-{random}.tmp\{Malware Name}.tmp
- {Specified Installation Path}\Temp\logon.bat → detected as Trojan.BAT.BABUK.YACGY
- {Specified Installation Path}\Temp\svchost.exe → detected as Ransom.Win32.BABUK.YACGY
- {Specified Installation Path}\Temp\HelpPane.exe → detected as Trojan.Win32.KILLAV.WLEBB
- {Specified Installation Path}\Temp\mhyprot2.sys → deleted afterwards
Agrega los procesos siguientes:
- "%User Temp%\is-{random}.tmp\{Malware Name}.tmp" /SL5="{random},{random},{random},{Malware Path and Name}"
- %System%\cmd.exe /C "{Specified Installation Path}\Temp\logon.bat"
(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).
. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).)Robo de información
Acepta los siguientes parámetros:
- /HELP or /? - displays a window that shows a complete list of the possible arguments that can be used
- /SP - Disables the "This will install... Do you wish to continue?" prompt at the beginning of Setup
- /SILENT, /VERYSILENT - causes installation to be silent or very silent
- /SUPPRESSMSGBOXES - suppresses message boxes upon installation
- /LOG - create a log file in the user's TEMP directory
- /LOG={filename} - creates a log file using a specified file path/filename
- /NOCANCEL - prevents the user from cancelling during the installation process
- /NORESTART - prevents setup from restarting the system following a successful installation, or after a Preparing to Install failure that requests a restart
- /RESTARTEXITCODE={exit code} - specifies a custom exit code that setup is to return when the system needs to be restarted
- /CLOSEAPPLICATIONS - closes applications using files that need to be updated upon installation
- /NOCLOSEAPPLICATIONS - prevents from closing applications using files that need to be updated upon installation
- /FORCECLOSEAPPLICATIONS - force closes applications that needs to be terminated upon installation
- /FORCENOCLOSEAPPLICATIONS - prevents from force closing applications
- /LOGCLOSEAPPLICATIONS - creates extra logging when closing applications for debugging purposes
- /RESTARTAPPLICATIONS - restart applications if possible or needed
- /NORESTARTAPPLICATIONS - prevents from restarting applications
- /LOADINF={filename} - loads the settings from the specified file after having checked the command line
- /SAVEINF={filename} - save installation settings to the specified file
- /LANG={language} - specifies the internal name of the language to use
- DIR={x:\dirname} - overrides the default directory name
- /GROUP={folder name} - overrides the default folder name
- /NOICONS - initially checks the "Don't create a Start Menu folder" check box
- /TYPE={type name} - overrides the default setup type
- /COMPONENTS={comma separated list of component names} - overrides the default component settings
- /TASKS={comma separated list of task names} - specifies a list of tasks that should be initially selected
- /MERGETASKS={comma separated list of task names} - like the /TASKS parameter, except the specified tasks will be merged with the set of tasks that would have otherwise been selected by default.
- /PASSWORD={password} - apecifies the password to use.
Otros detalles
Hace lo siguiente:
- It will display a fake AVG Installer Security System Setup which lets the user choose the installation path
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 3
Buscar y eliminar este archivo
- %User Temp%\is-{random}.tmp\{Malware Name}.tmp
- {Specified Installation Path}\Temp\logon.bat
- {Specified Installation Path}\Temp\svchost.exe
- {Specified Installation Path}\Temp\HelpPane.exe
- {Specified Installation Path}\Temp\mhyprot2.sys
Step 4
Buscar y eliminar esta carpeta
- %User Temp%\is-{random}.tmp
Step 5
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como Trojan.Win32.BABUK.A En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Rellene nuestra encuesta!