RANSOM_ELFACRYPT.A

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Agrega determinadas entradas de registro para desactivar el Administrador de tareas. Esta acción impide que el usuario lleve a cabo la cancelación del proceso de malware, la cual suele realizarse a través del Administrador de tareas.

Este malware se elimina tras la ejecución.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Infiltra los archivos siguientes:

• {folders containing encrypted files}\Read Me (How Decrypt) !!!!.txt

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\Windows\svchost.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

• Greetings, We'd like to apologize for the inconveniences, however, your computer has been locked. In order to unlock it, you have to complete the following steps: 1. Buy iTunes Gift Cards for a total amount of $400.00 2. Send the gift codes to the indicated e-mail address 3. Receive a code and a file that will unlock your computer. Please note:, - The nominal amount of the particular gift card doesn't matter, yet the total amount have to be as listed above. - You can buy the iTunes Gift Cards online or in any shop. The codes must be correct, otherwise, you won't receive anything. - After receiving the code and the security file, your computer will be unlocked and will never be locked again. Sorry for the inconveniences caused.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft = %Application Data%\Windows\svchost.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro para desactivar el Administrador de tareas:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

Otros detalles

Cifra los archivos con las extensiones siguientes:

• .3ds
• .3fr
• .3pr
• .ab4
• .ac2
• .accdb
• .accde
• .accdr
• .accdt
• .acr
• .adb
• .agd1
• .ai
• .ait
• .al
• .apj
• .arw
• .asm
• .asp
• .aspx
• .awg
• .backup
• .backupdb
• .bak
• .bat
• .bdb
• .bgt
• .bik
• .bkp
• .blend
• .bmp
• .bpw
• .c
• .c
• .cdf
• .cdr
• .cdr3
• .cdr4
• .cdr5
• .cdr6
• .cdrw
• .cdx
• .ce1
• .ce2
• .cer
• .cfp
• .cgm
• .cib
• .class
• .cls
• .cmd
• .cmt
• .cpi
• .cpp
• .cr2
• .craw
• .crt
• .crw
• .cs
• .csh
• .csl
• .css
• .csv
• .dac
• .db
• .db3
• .dbf
• .db-journal
• .dc2
• .dcr
• .dcs
• .ddd
• .ddoc
• .ddrw
• .der
• .design
• .dgc
• .djvu
• .dng
• .doc
• .docm
• .docx
• .dot
• .dotm
• .dotx
• .drf
• .drw
• .dwg
• .dxb
• .erbsql
• .erf
• .exf
• .fdb
• .ffd
• .fff
• .fh
• .fhd
• .fpx
• .fxg
• .gif
• .gray
• .grey
• .gry
• .h
• .h
• .hbk
• .hpp
• .html
• .ibank
• .ibd
• .ibz
• .idx
• .iiq
• .incpas
• .jar
• .java
• .jpeg
• .jpg
• .js
• .kc2
• .kdbx
• .kdc
• .kpdx
• .lua
• .mdb
• .mdc
• .mef
• .mfw
• .mmw
• .moneywell
• .mos
• .mpg
• .mrw
• .myd
• .ndd
• .nef
• .nop
• .nrw
• .ns2
• .ns3
• .ns4
• .nsd
• .nsf
• .nsg
• .nsh
• .nwb
• .nx1
• .nx2
• .nyf
• .odb
• .odf
• .odg
• .odm
• .odp
• .ods
• .odt
• .orf
• .otg
• .oth
• .otp
• .ots
• .ott
• .p12
• .p7b
• .p7c
• .pat
• .pcd
• .pdf
• .pef
• .pem
• .pfx
• .php
• .pl
• .png
• .pot
• .potm
• .potx
• .ppam
• .pps
• .ppsm
• .ppsx
• .ppt
• .pptm
• .pptx
• .ps
• .psafe3
• .psd
• .ptx
• .py
• .ra2
• .raf
• .raw
• .rdb
• .rtf
• .rw2
• .rwl
• .rwz
• .s3db
• .sas7bdat
• .sav
• .sd0
• .sd1
• .sda
• .sdf
• .sldm
• .sldx
• .sln
• .sql
• .sqlite
• .sqlite3
• .sqlitedb
• .sr2
• .srf
• .srw
• .st4
• .st5
• .st6
• .st7
• .st8
• .stc
• .std
• .sti
• .stw
• .stx
• .svg
• .sxc
• .sxd
• .sxg
• .sxi
• .sxm
• .sxw
• .txt
• .vb .vbs
• .wb2
• .x3f
• .xla
• .xlam
• .xll
• .xlm
• .xls
• .xlsb
• .xlsm
• .xlsx
• .xlt
• .xltm
• .xltx
• .xlw
• .xml
• .ycbcra

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {original file name and extension}.encrypt

Este malware se elimina tras la ejecución.