Author: Francis Xavier Antazo   
 

Ransom:Win32/Critroni.A (MICROSOFT), a variant of Win32/Injector.BRJT trojan (NOD32)

 PLATFORM:

Windows

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Trojan

  • Destructiveness:
    No

  • Encrypted:
    Yes

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Eliminado por otro tipo de malware


  TECHNICAL DETAILS

File size: 827,392 bytes
File type: EXE
Memory resident: Yes
PAYLOAD: Encrypts files

Instalación

Infiltra los archivos siguientes:

  • %User Profile%\My Documents\Decrypt All Files {random characters}.bmp - image used as wallpaper
  • %User Profile%\My Documents\Decrypt All Files {random characters}.txt - ransom note in text file
  • %User Profile%\My Documents\{random characters}.html - contains ransom note and list of encrypted files

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Técnica de inicio automático

Infiltra los archivos siguientes:

  • C:\Windows\Tasks\{random filename}.job

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Profile%\My Documents\Decrypt All Files {random characters}.bmp"

(Note: The default value data of the said registry entry is {user-defined}.)

Otros detalles

Cifra los archivos con las extensiones siguientes:

  • 7z
  • arj
  • bz2
  • cab
  • chm
  • cpio
  • dmg
  • flv
  • gz
  • lha
  • lzh
  • lzma
  • rar
  • swm
  • tar
  • tbz2
  • tgz
  • wim
  • xar
  • xz
  • z
  • zip
  • 3gp
  • aac
  • ans
  • ape
  • asc
  • asm
  • asp
  • aspx
  • avi
  • awk
  • bas
  • bat
  • bmp
  • c
  • cs
  • cls
  • clw
  • cmd
  • cpp
  • csproj
  • css
  • ctl
  • cxx
  • def
  • dep
  • dlg
  • dsp
  • dsw
  • eps
  • f
  • f77
  • f90
  • f95
  • fla
  • flac
  • frm
  • gif
  • h
  • hpp
  • hta
  • htm
  • html
  • hxx
  • ico
  • idl
  • inc
  • ini
  • inl
  • java
  • jpeg
  • jpg
  • js
  • la
  • mak
  • manifest
  • wmv
  • mov
  • mp3
  • mp4
  • mpe
  • mpeg
  • mpg
  • m4a
  • ofr
  • ogg
  • pac
  • pas
  • pdf
  • php
  • php3
  • php4
  • php5
  • phptml
  • pl
  • pm
  • png
  • ps
  • py
  • pyo
  • ra
  • rb
  • rc
  • reg
  • rka
  • rm
  • rtf
  • sed
  • sh
  • shn
  • shtml
  • sln
  • sql
  • srt
  • swa
  • tcl
  • tex
  • tiff
  • tta
  • txt
  • vb
  • vcproj
  • vbs
  • wav
  • wma
  • wv
  • xml
  • xsd
  • xsl
  • xslt