RANSOM_CRYPAURA.F

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\recovery.bmp - ransom message
• %Start Menu%\Programs\Startup\recovery.bmp - ransom message (for Windows Vista and higher)
• %User Startup%\recovery.bmp - ransom message (for Windows XP and lower)

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Infiltra y ejecuta los archivos siguientes:

• {malware path}\cleen.bat - this will be deleted together with the inittally executed copy of the malware

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %Start Menu%\Programs\Startup\{malware file name}.exe - for Windows Vista and higher
• %User Startup%\{malware file name}.exe - for Windows XP and lower

(Nota: %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

Otras modificaciones del sistema

Cambia el fondo de escritorio mediante la modificación de las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(Note: The default value data of the said registry entry is {user preference}.)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Application Data%\recovery.bmp"

(Note: The default value data of the said registry entry is {user preference}.)

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

Robo de información

Recopila los siguientes datos:

• Computer name
• Machine GUID

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}ma.lt/script.php

Cifra los archivos con las extensiones siguientes:

• .jpg
• .jpeg
• .doc
• .rtf
• .xls
• .zip
• .db3
• .rar
• .7z
• .3gp
• .cdr
• .raw
• .cpt
• .m2v
• .gzip
• .docx
• .pdf
• .odt
• .avi
• .mkv
• .ods
• .arj
• .cer
• .mdb
• .csv
• .mpeg
• .mov
• .ppt
• .orf
• .nrw
• .nx1
• .nbd
• .old
• .odb
• .odc
• .sldprt
• .wps
• .sldasm
• .sbs
• .p12
• .rx2
• .rwl
• .r3d
• .qic
• .odp
• .pz3
• .ptx
• .pst
• .txt
• .pptm
• .pef
• .x3f
• .tbl
• .tis
• .srw
• .srf
• .sr2
• .spf
• .sna
• .sn1
• .gho
• .gbk
• .iv2i
• .keystore
• .ldf
• .m3d
• .max
• .fbf
• .fdb
• .fbk
• .fbw
• .fbx
• .bak
• .bkf
• .bck
• .cf
• .erf
• .as4
• .asm
• .asvx
• .ate
• .bac
• .73b
• .a3d
• .abf
• .abk
• .accdb
• .113
• .xlsm
• .xlsk
• .xlsb
• .dwg
• .tib
• .pwm
• .wab
• .key
• .dt
• .ppsx
• .pptx
• .xlsx
• .1cd
• .dbf
• .mp3
• .prproj
• .ai
• .iso
• .ots
• .emlx
• .svg
• .aep
• .pps
• .flv
• .ofx
• .wmv
• .vob
• .swf
• .accdt
• .xml
• .qif
• .mp4
• .qt
• .xlr
• .db
• .pdb
• .sql
• .dxf
• .ost
• .pab
• .msg
• .QBW
• .QBB
• .QBM
• .OFX
• .QBO
• .QFX
• .QIF
• .epub
• .azw4
• .mobi
• .odf
• .djvu
• .fb2

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {original file name and extension}.id-{victim ID}_email1_sos@{BLOCKED}files.com_email2_zuza@{BLOCKED}mail.com_BitMessage_BM-NBemdRuEEVcaEgSenoQGVZpC9dm8Ycxn

Este malware se elimina tras la ejecución.