Author: Adrian Cofreros   
 

Trojan.Win32.Buzus.lawo(Kaspersky),Win32/Filecoder.NAH trojan(NOD32),Trojan horse Ransomer.TD(AVG)

 PLATFORM:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
Low
Medium
High
Critical

  • Threat Type:
    Trojan

  • Destructiveness:
    No

  • Encrypted:
     

  • In the wild::
    Yes

  OVERVIEW

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

  TECHNICAL DETAILS

File size: 518,375 bytes
File type: EXE
Memory resident: Yes
INITIAL SAMPLES RECEIVED DATE: 03 lipca 2013

Instalación

Infiltra los archivos siguientes:

  • %System Root%\ProgramData\local\aescrypter.exe
  • %System Root%\ProgramData\local\svchost.exe
  • %System Root%\ProgramData\local\undxkpwvlk.dll
  • %System Root%\ProgramData\local\vpkswnhisp.dll
  • %System%\csrsstub.exe
  • %System%\dcomcnfgui.exe
  • %System%\tcpsvcss.exe
  • %System%\tracerpts.exe
  • %System%\ucsvcsh.exe
  • %System%\wcmtstcsys.sss
  • %System Root%\how to decrypt aes files.lnk
  • All Users’ %Desktop%\how to decrypt aes files.lnk
  • %System Root%\decrypt\decrypt.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

)

Crea las carpetas siguientes:

  • %System Root%\decrypt
  • %System Root%\ProgramData\local
  • %Application Data%\WinRAR

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Otras modificaciones del sistema

Elimina los archivos siguientes:

  • Files with any of the following extension:
    • .fh
    • .bkf
    • .qbb
    • .tib
    • .001
    • .113
    • .abf
    • .abk
    • .as4
    • .ate
    • .ati
    • .bac
    • .bak
    • .bck
    • .bcm
    • .bk1
    • .bkc
    • .bkp
    • .bks
    • .bpa
    • .bpb
    • .bps
    • .bup
    • .dna
    • .fbf
    • .fbw
    • .ful
    • .gho
    • .ipd
    • .jbk
    • .kb2
    • .mig
    • .nba
    • .nbf
    • .nbu
    • .nb7
    • .nbk
    • .nbs
    • .npf
    • .nps
    • .nrs
    • .oeb
    • .old
    • .qbk
    • .qic
    • .rbc
    • .rbf
    • .rdb
    • .rrr
    • .sbb
    • .sn1
    • .sn2
    • .spf
    • .spi
    • .stg
    • .tbk
    • .uci
    • .v2i
    • .wbb

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost\Security

HKEY_CURRENT_USER\Software\WinRAR SFX

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\WinRAR SFX
{%System Root%}%%WINDOWS%system32% = "%System%"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svchost = "%System Root%\ProgramData\local\svchost.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
ImagePath = "%System%\ucsvcsh.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
DisplayName = "Network List System Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms
Description = "Identifies the networks to which the computer has connected, collects, stores properties for these networks, and notifies applications when these properties change."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms\Security
Security = "{hex values 1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms\Enum
0 = "Root\LEGACY_NETPROFMS\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netprofms\Enum
NextInstance = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
ImagePath = "%System%\dcomcnfgui.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
DisplayName = "Diagnostic Service System Host"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost
Description = "The Diagnostic Service System Host is used by the Diagnostic Policy Service to host diagnostics that need to run in a Local Service context. If this service is stopped, any diagnostics that depend on it will no longer function."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost\Security
Security = "{hex values 2}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost\Enum
0 = "Root\LEGACY_WDISERVICESYSHOST\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WdiServiceSysHost\Enum
NextInstance = "1"

Modifica las siguientes entradas de registro:

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
AppData = "%System Root%\Documents and Settings\LocalService\Application Data"

(Note: The default value data of the said registry entry is %System Root%\Documents and Settings\NetworkService\Application Data.)

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

Otros detalles

Cifra los archivos con las extensiones siguientes:

  • .jpeg
  • .docx
  • .xlsx
  • .db
  • .pdf
  • .olk
  • .dat
  • .zip
  • .rar
  • .qbw
  • .jpg
  • .doc
  • .psd
  • .bmp
  • .png
  • .xls
  • .txt
  • .rtf
  • .tif
  • .xml
  • .php
  • .sxg
  • .ods
  • .sql
  • .jpe
  • .$er
  • .4dd
  • .aft
  • .ahd
  • .ask
  • .azz
  • .bib
  • .bok
  • .btr
  • .cdb
  • .cdb
  • .crd
  • .daf
  • .db2
  • .db3
  • .dbc
  • .dbs
  • .dbf
  • .dbv
  • .df1
  • .dp1
  • .dsk
  • .dta
  • .dxl
  • .eco
  • .edb
  • .eql
  • .fcd
  • .fdb
  • .fic
  • .fid
  • .fol
  • .gdb
  • .hdb
  • .his
  • .ihx
  • .jtx
  • .lgc
  • .mdb
  • .mdf
  • .mud
  • .myd
  • .ns2
  • .ns3
  • .ns4
  • .nsf
  • .nyf
  • .odb
  • .ora
  • .owg
  • .pan
  • .pdb
  • .pdb
  • .pdm
  • .phm
  • .pwa
  • .qvd
  • .rsd
  • .sbf
  • .sdb
  • .sdf
  • .tcx
  • .tdt
  • .udb
  • .v12
  • .wdb
  • .xld
  • .zdb
  • .fp7

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

  • {original file name}.aes

  SOLUTION

Minimum scan engine: 9.300
First VSAPI Pattern File: 10.130.09
First VSAPI Pattern Release Date: 03 de lipca de 2013
VSAPI OPR PATTERN-VERSION: 10.131.00
VSAPI OPR PATTERN DATE: 04 de lipca de 2013

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Reiniciar en modo seguro

[ learnMore ]

Step 3

Explorar el equipo con su producto de Trend Micro y anotar los archivos detectados como TROJ_RANSOM.EHA

Step 4

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • svchost = "%System Root%\ProgramData\local\svchost.exe"

Step 5

Eliminar esta clave del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_CURRENT_USER\Software
    • WinRAR SFX
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • netprofms
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • WdiServiceSysHost

Step 6

Restaurar este valor del Registro modificado

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
    • From: AppData = "%System Root%\Documents and Settings\LocalService\Application Data"
      To: AppData = %System Root%\Documents and Settings\NetworkService\Application Data

Step 7

Buscar y eliminar estos archivos

[ learnMore ]
Puede que algunos de los archivos del componente estén ocultos. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción "Más opciones avanzadas" para que el resultado de la búsqueda incluya todos los archivos y carpetas ocultos.
  • %System%\csrsstub.exe
  • %System%\tcpsvcss.exe
  • %System%\tracerpts.exe
  • %System Root%\how to decrypt aes files.lnk
  • All Users' %Desktop%\how to decrypt aes files.lnk
DATA_GENERIC_FILENAME_1
  • En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
  • Una vez haya encontrado el archivo, selecciónelo y, a continuación, pulse MAYÚS+SUPR para eliminarlo definitivamente.
  • Repita los pasos 2 a 4 con el resto de archivos:
      • %System%\csrsstub.exe
      • %System%\tcpsvcss.exe
      • %System%\tracerpts.exe
      • %System Root%\how to decrypt aes files.lnk
      • All Users' %Desktop%\how to decrypt aes files.lnk

    • Step 8

    Buscar y eliminar esta carpeta

    [ learnMore ]
    Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
    • %System Root%\decrypt
    • %System Root%\ProgramData\local
    • %Application Data%\WinRAR

    Step 9

    Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TROJ_RANSOM.EHA En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

    Step 11

    Restaurar archivos a partir de una copia de seguridad Solo se pueden restaurar los archivos relacionados con Microsoft. En caso de que este malware/grayware/spyware también haya eliminado archivos relativos a programas que no sean de Microsoft, vuelva a instalar los programas en cuestión en el equipo.


    Did this description help? Tell us how we did.