TROJ_CRYPWALL.VW

Este malware modifica la configuración de zona de Internet Explorer.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Infiltra los archivos siguientes:

• %Desktop%\DECRYPT_INSTRUCTION.TXT
• %Desktop%\DECRYPT_INSTRUCTION.HTML
• %Desktop%\DECRYPT_INSTRUCTION.URL
• %User Startup%\DECRYPT_INSTRUCTION.TXT
• %User Startup%\DECRYPT_INSTRUCTION.HTML
• %User Startup%\DECRYPT_INSTRUCTION.URL

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%{7 characters from UID}\{7 characters from UID}.exe
• %Application Data%\{7 characters from UID}.exe
• %User Startup%\{7 characters from UID}.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las carpetas siguientes:

• %System Root%\{7 characters from UID}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{6 characters from UID} = "%System Root%{7 characters from UID}\{7 characters from UID}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{7characters from UID} = "%Application Data%\{7 characters from UID}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{UID}

HKEY_CURRENT_USER\Software\{UID}\
CRYPTLIST

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{UID}\
CRYPTLIST\{Path of encrypted file}
{Filename of encrypted file} = ""

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http:\{BLOCKED}sehri.com\{random alphanumeric characters}
• http:\{BLOCKED}001.com\{random alphanumeric characters}
• http:\{BLOCKED}il.org\{random alphanumeric characters}
• http:\{BLOCKED}119.com\{random alphanumeric characters}
• http:\{BLOCKED}nlunming.com\{random alphanumeric characters}
• http:\{BLOCKED}-house.com\{random alphanumeric characters}
• http:\{BLOCKED}ct.lviv.ua\{random alphanumeric characters}
• http:\{BLOCKED}rgos.com\{random alphanumeric characters}
• http:\{BLOCKED}u.mamgou.net\{random alphanumeric characters}
• http:\{BLOCKED}n-northwan.com\{random alphanumeric characters}
• http:\{BLOCKED}ir.com\{random alphanumeric characters}
• http:\{BLOCKED}lromania.ro\{random alphanumeric characters}
• http:\{BLOCKED}akim.org\{random alphanumeric characters}
• http:\{BLOCKED}awydaniu.com.pl\{random alphanumeric characters}
• http:\{BLOCKED}hanelouis.com\{random alphanumeric characters}
• http:\{BLOCKED}offman.com\{random alphanumeric characters}
• http:\{BLOCKED}ansportation.com\{random alphanumeric characters}
• http:\{BLOCKED}ces-au-chateau.fr\{random alphanumeric characters}
• http:\{BLOCKED}ar24.cz\{random alphanumeric characters}
• http:\{BLOCKED}yip.com\{random alphanumeric characters}