RANSOM_CRYSIS.F116KT

Instalación

Infiltra los archivos siguientes:

• Ransom Notes:
• %Desktop%\Hallo our dear friend.txt
• %User Startup%\Hallo our dear friend.txt
• %User Startup%\Hallo our dear friend.jpg
• %User Profile%\Hallo our dear friend.jpg

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

. %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\{malware filename}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{malware filename} = "%System%\{malware filename}"

Permite su ejecución automática cada vez que se inicia el sistema al crear las siguientes copias de sí mismo dentro de la carpeta de inicio común de Windows:

• %User Startup%\{malware filename}

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Otras modificaciones del sistema

Este malware establece la imagen siguiente como fondo de escritorio del sistema:

• %User Profile%\Hallo our dear friend.jpg

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .3GP
• .7Z
• .APK
• .ASM
• .AVI
• .BMP
• .C
• .CAL
• .CASB
• .CCP
• .CDR
• .CER
• .CHM
• .CKP
• .CMX
• .CONF
• .CPP
• .CR2
• .CS
• .CSS
• .CSV
• .DACPAC
• .DAT
• .DB
• .DB3
• .DBF
• .DBX
• .DCX
• .DJVU
• .DOC
• .DOCM
• .DOCX
• .DRW
• .DWG
• .DXF
• .EPUB
• .FB2
• .FLV
• .GIF
• .GZ
• .IBOOKS
• .ISO
• .JAVA
• .JPEG
• .JPG
• .JS
• .KEY
• .MD2
• .MDB
• .MDF
• .MHT
• .MHTM
• .MKV
• .MOBI
• .MOV
• .MP3
• .MP4
• .MPEG
• .MPG
• .MRG
• .PDB
• .PDF
• .PHP
• .PICT
• .PKG
• .PNG
• .PPS
• .PPSX
• .PPT
• .PPTX
• .PSD
• .PSD
• .PSP
• .PY
• .RAR
• .RB
• .RBW
• .RTF
• .SAV
• .SCR
• .SQL
• .SQLITE
• .SQLITE3
• .SQLITEDB
• .SWF
• .TBL
• .TIF
• .TIFF
• .TORRENT
• .TXT
• .VSD
• .WMV
• .XLS
• .XLSX
• .XML
• .XPS
• .ZIP

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {host filename}.[la{blocked}@dr.com].wallet