RANSOM_RAA.B

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %My Documents%\{random 5 alphanumeric characters}.js
  (Note: %My Documents% is usually C:\\Documents and Settings\\{user name}\\My Documents on Windows 2000, XP, and Server 2003, or C:\\Users\\{user name}\\Documents on Windows Vista and 7.)

Infiltra los archivos siguientes:

• %Desktop%\!!!README!!!{random 5 alphanumeric characters}.rtf-serves as ransom note
• %Desktop%\KEY-{GUID}-contains the key for decryption
• %My Documents%\doc_attached_{random 5 alphanumeric characters}-dummy file
• %My Documents%\{random 5 alphanumeric characters}.dll-non malicious component file(DynamicWrapperX)
• %My Documents%\ii.exe-detected by Trend Micro as TSPY_FAREIT.B
  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Agrega los procesos siguientes:

• %System%\regsvr32.exe /i /s "%My Documents%\{random 5 alphanumeric characters}.dll"
• wordpad.exe "%My Documents%\doc_attached_{random 5 alphanumeric characters}"
• wordpad.exe "%Desktop%\!!!README!!!{random 5 alphanumeric characters}.rtf"
• %My Documents%\ii.exe
  (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
"" = "%My Documents%\{random 5 alphanumeric characters}.js argument"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\kkoq\Ghsgd

HKEY_CURRENT_USER\kkoq\kkoq-fnl

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\kkoq\Ghsgd
"" = {GUID}

HKEY_CURRENT_USER\kkoq\kkoq-fnl
"" = "beenFinished"

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VSS

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .doc
• .xls
• .rtf
• .pdf
• .dbf
• .jpg
• .dwg
• .cdr
• .psd
• .cd
• .mdb
• .png
• .lcd
• .zip
• .rar

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {filename of encrypted file}.{extension of encrypted file}.locked