Ransom.Win32.STOP.THDOEBD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %AppDataLocal%\{UUID 1}
• %AppDataLocal%\{UUID 2}
• %System Root%\SystemID

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %AppDataLocal%\{UUID 1}\{Malware Name}

Infiltra los archivos siguientes:

• %User Temp%\delself.bat ← deletes the malware if it is found to be executing on a system that is located in particular countries
• %System%\Tasks\Time Trigger Task ← creates scheduled task for the malware
• %AppDataLocal%\bowsakkdestx.txt ← contains the public key and system encryption identifier, deleted afterwards
• %System Root%\SystemID\PersonalID.txt ← unique identifier for the affected system

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• {Malware File Path}\{Malware Name} "{Malware File Path}\{Malware Name}"
• icacls "%AppDataLocal%\{UUID 1}" /deny *S-1-1-0:(OI)(CI)(DE,DC) ← protect this path/folder
• {Malware File Path}\{Malware Name} --Admin IsNotAutoStart IsNotTask

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {1D6FC66E-D1F3-422C-8A53-C0BBCF3D900D}
• {FBB4BCC6-05C7-4ADD-B67B-A98A697323C1}
• IESQMMUTEX_0_208

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SysHelper = %AppDataLocal%\{UUID 1}\{Malware File Name} --AutoStart

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SysHelper = 1

Rutina de descarga

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Recopila los siguientes datos:

• IP Address
• MAC Address
• Computer Name
• User Name

Otros detalles

Hace lo siguiente:

• It checks if it is running on Windows XP or lower Windows versions. If this condition is met, it will check for a service named "MYSQL" and terminate it.
• It tries to open the following file(s):
  • I:\5d2860c89d774.jpg