RANSOM_CRYSIS.N

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{Malware Filename}.exe
• %System%\{Malware Filename}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Infiltra los archivos siguientes:

• %Desktop%\Hello my vichtim.txt -> Ransom Note
• %Application Data%\Info.hta -> Ransom Note
• %User Startup%\Info.hta -> Ransom Note

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware Filename} = "%System%\{Malware Filename}.exe"

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\{Malware Filename}.exe ← copy of the itself
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\{Malware Filename}.exe ← copy of the itself

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

)

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .3ds
• .3fr
• .3g2
• .3gp
• .accda
• .accdb
• .accdc
• .accde
• .accdt
• .accdw
• .adb
• .adp
• .ai3
• .ai4
• .ai5
• .ai6
• .ai7
• .ai8
• .anime
• .arw
• .asa
• .asc
• .ascx
• .asm
• .asmx
• .asp
• .aspx
• .asr
• .asx
• .avi
• .avs
• .backup
• .bak
• .bay
• .bin
• .bmp
• .bz2
• .cdr
• .cer
• .cfc
• .cfm
• .cfml
• .cfu
• .chm
• .cin
• .class
• .clx
• .config
• .cpp
• .cr2
• .crt
• .crw
• .css
• .csv
• .cub
• .dae
• .dat
• .dbf
• .dbx
• .dc3
• .dcm
• .dcr
• .der
• .dib
• .dic
• .dif
• .div
• .djvu
• .exe
• .ini
• .iqy
• .j2c
• .j2k
• .java
• .jp2
• .jpc
• .jpe
• .jpeg
• .jpf
• .jpg
• .jpx
• .jsf
• .json
• .jsp
• .kdc
• .kmz
• .kwm
• .lasso
• .lbi
• .lgf
• .lgp
• .log
• .m1v
• .m4a
• .m4v
• .max
• .mda
• .mdb
• .mde
• .mdf
• .mdw
• .mef
• .mft
• .mfw
• .mht
• .mhtml
• .mka
• .mkidx
• .mkv
• .mos
• .mov
• .mp3
• .mp4
• .mpeg
• .mpg
• .mpv
• .mrw
• .msg
• .mxl
• .myd
• .myi
• .nef
• .nrw
• .ob
• .obj
• .odb
• .odc
• .odm
• .odp
• .ods
• .oft
• .one
• .onepkg
• .opt
• .oqy
• .orf
• .p1
• .p12
• .p7b
• .p7c
• .pam
• .pbm
• .pct
• .pcx
• .pdd
• .pdf
• .pdp
• .pef
• .pem
• .pf
• .pff
• .pfm
• .pfx
• .pgm
• .php
• .php3
• .php4
• .php5
• .phtml
• .pict
• .pl
• .pls
• .png
• .pnm
• .po
• .pot
• .potm
• .potx
• .pp
• .ppa
• .ppam
• .ppm
• .pps
• .ppsm
• .ppt
• .pptm
• .pptx
• .prn
• .psb
• .psd
• .pst
• .ptx
• .pub
• .pwm
• .pxr
• .r3d
• .raf
• .rar
• .raw
• .rdf
• .rgbe
• .rle
• .rqy
• .rss
• .rtf
• .rw2
• .rwl
• .safe
• .sct
• .sd
• .sdpx
• .sh
• .shtm
• .shtml
• .sl
• .slk
• .sln
• .sql
• .sr2
• .srf
• .srw
• .ssi
• .stm
• .svg
• .svgz
• .swf
• .tab
• .tar
• .tbb
• .tbi
• .tbk
• .tdi
• .tga
• .thmx
• .tif
• .tiff
• .tim
• .tld
• .tpl
• .tw
• .txt
• .u3d
• .udl
• .url
• .uxdc
• .vbs
• .vcs
• .vda
• .vdr
• .vdw
• .vdx
• .vrp
• .vsd
• .vss
• .vst
• .vsw
• .vsx
• .vt
• .vtml
• .vtm
• .vtx
• .wallet
• .wav
• .wb2
• .wbm
• .wbmp
• .wim
• .wmf
• .wml
• .wmv
• .wpd
• .wps
• .x3f
• .xla
• .xlam
• .xlk
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .xps
• .xsd
• .xsf
• .xsl
• .xslt
• .xsn
• .xtp
• .xtp2
• .xyze
• .zip

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {Original Filename and Extension}.id-{HEX ID}.[mk.goro@aol.com].wallet