Ransom.Win32.NOESCAPE.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina los archivos de determinadas carpetas para impedir la ejecución correcta de programas y aplicaciones.

Agrega cuentas para tener derechos de administrador. Esto permite al malware o a un usuario malicioso realizar tareas que pueden poner en gran peligro el sistema afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• Used to change default account picture:
  • %ProgramData%\Microsoft\User Account Pictures\user.bmp
  • %ProgramData%\Microsoft\User Account Pictures\user.png
  • %ProgramData%\Microsoft\User Account Pictures\user-32.png
  • %ProgramData%\Microsoft\User Account Pictures\user-40.png
  • %ProgramData%\Microsoft\User Account Pictures\user-48.png
  • %ProgramData%\Microsoft\User Account Pictures\user-192.png
• Used to change desktop wallpaper
  • %AppDataLocal%\noescape.png

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\winnt32.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega los procesos siguientes:

• %System%\notepad.exe
• %System%\cmd.exe
• %System%\mspaint.exe
• %System%\taskmgr.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• processLimit
• processLimitPayLoad

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,%Windows%\winnt32.exe → to execute malware copy during Windows logon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\runas\
command
(Default) = %Windows%\winnt32.exe "%1" %* → if malware copy is existing

Otras modificaciones del sistema

Elimina los archivos de las carpetas siguientes:

• %ProgramData%\Microsoft\User Account Pictures
• %Desktop%
• %Public%\Desktop

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoAdminLogon = 1 → enable automatic logon

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
DisableCAD = 1 → disable Secure Attention Sequence

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
shutdownwithoutlogon = 0 → disable the shutdown button in the log on to Windows dialog box

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
UseDefaultTile = 1 → apply the default account picture to all users

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableLogonBackgroundImage = 1 → disable sign-in background image

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Keyboard Layout
Scancode Map = → disable selected keyboard keys

HKEY_CURRENT_USER\Control Panel\Mouse
SwapMouseButtons = 1 → swap mouse buttons

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0 → disables User Account Control (UAC)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1 → disables Windows registry editors

HKEY_CURRENT_USER\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2 → disable command line

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AutoRestartShell = 0 → disables rebooting of explorer.exe

HKEY_CURRENT_USER\Control Panel\Desktop
AutoColorization = 1 → automatically pick an accent color from desktop background

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Shell\Bags\1\
Desktop
FFLags = → to randomly rearrange desktop icons

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
NoEscape
ShowWindow =

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %AppDataLocal%\noescape.png
  

Otros detalles

Agrega las cuentas siguientes al grupo de administrador:

• NO ESCAPE

Hace lo siguiente:

• It only proceeds to its encryption routine if it is executed in a Windows NT 10.0 OS.
  • It prompts the following message box if not executed in a Windows NT 10.0 OS.
  
  
• It prompts the following message box before encryption:
  
• It adds user accounts with random usernames.
• It adds user accounts to the following local groups:
  • Administrators
  • Users
• It changes the user name to the following:
  • NO ESCAPE
• It changes the user password to the following:
  • death
• If the malware copy is existing:
  • It displays the following window:
    
  • It terminates itself if window is closed.
  • It stretches the bitmap of the desktop and running windows.
• It prompts the following message box when executable files are opened:
  
• It terminates explorer.exe to hide taskbar.
• It randomly rearranges desktop icons.
• It blocks user input.
• It controls the system's keyboard activity to type the following on notepad.exe:
  
  • It waits for the user to enter 'yes' on notepad and then proceeds on opening the following processes:
  • %System%\cmd.exe
  • %System%\mspaint.exe
  • %System%\taskmgr.exe
• It enables automatic logon.
• It disables Ctrl+Alt+Delete keystroke combination.
• It disables the shutdown button in the log on to Windows dialog box.
• It changes the default account picture to the following images:
  
• It disables sign-in background image.
• It enables selected keyboard keys.
• It swaps mouse buttons.
• It disables User Account Control (UAC).
• It disables Windows registry editors.
• It disables command line.
• It disables rebooting of explorer.exe.
• It automatically picks an accent color from desktop background
• It executes malware copy during Windows logon.
• It deletes itself after execution.
• It restarts the machine after execution.
• It prompts the following message box when executable files are opened: