Ransom.Win32.SCARAB.PYOBI

Se ejecuta y, a continuación, se elimina.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\osk.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• "%System%\cmd.exe" /c copy /y "{Malware Path}\{Malware FileName}.exe" "%Application Data%\osk.exe"; -> Copies file into %Application Data% as file name osk.exe
• "{Malware path}\{Malware Filename}.exe" runas -> rerun malware having arguments that will also drops a copy of self to %Application Data% then execute dropped copy
• mshta.exe "javascript:o=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{o.DeleteFile('{Malware File Name].exe');close()}catch(e){}},10);" -> deletes the malware
• mshta.exe "javascript:o=new ActiveXObject('WScript.Shell');x=new ActiveXObject('Scripting.FileSystemObject');setInterval(function(){try{i=x.GetFile('osk.exe').Path;o.RegWrite('HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\TvkxRopEselPI',i);}catch(e){}},10);" -> Creates Registry entry that will run the copy of the malware file.
• mshta.exe "javascript:eval(new ActiveXObject('WScript.Shell').RegRead('HKCU\Software\RA[OB\AGQW['));close();" -> Reads registry entry
• "%System%\cmd.exe" /c wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0 -> deletes all the system state backups
• "%System%\cmd.exe" /c wmic SHADOWCOPY DELETE -> Deletes shadow copies
• "%System%\cmd.exe" /c vssadmin Delete Shadows /All /Quiet ->delete Shadow Copies
• bcdedit /set {default} bootstatuspolicy ignoreallfailures -> disable system's trigger to call the Error Recovery screen on startup
• bcdedit /set {default} recoveryenabled No -> disable Windows Recovery option

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Se ejecuta y, a continuación, se elimina.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• TvkxRopEselPI

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
TvkxRopEselPI = notepad.exe "%User Profile%\HOW TO RECOVER ENCRYPTED FILES.TXT"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
TvkxRopEselPI = %Application Data%\osk.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\TvkxRopEselPI

HKEY_CURRENT_USER\Software\{5 random alphanumeric characters}

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• agntsvc.exe
• agntsvc.exeagntsvc.exe
• agntsvc.exeencsvc.exe
• agntsvc.exeisqlplussvc.exe
• anvir.exe
• anvir64.exe
• ccleaner.exe
• ccleaner64.exe
• cscript.exe
• dbeng50.exe
• dbsnmp.exe
• excel.exe
• far.exe
• firefoxconfig.exe
• infopath.exe
• isqlplussvc.exe
• msaccess.exe
• msftesql.exe
• mspub.exe
• mydesktopqos.exe
• mydesktopservice.exe
• mysqld.exe
• mysqld-nt.exe
• mysqld-opt.exe
• ncsvc.exe
• ocautoupds.exe
• ocomm.exe
• ocssd.exe
• onenote.exe
• oracle.exe
• outlook.exe
• powerpnt.exe
• powershell.exe
• procexp.ex
• regedit.exe
• sqbcoreservice.exe
• sqlagent.exe
• sqlbrowser.exe
• sqlserver.exe
• sqlservr.exe
• sqlwriter.exe
• steam.exe
• synctime.exe
• tasklist.exe
• taskmgr.exe
• tbirdconfig.exe
• thebat.exe
• thebat64.exe
• thunderbird.exe
• visio.exe
• winword.exe
• wordpad.exe
• wscript.exe
• xfssvccon.exe