TROJ_CRILOCK.ER

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Infiltra los archivos siguientes:

• {Path Name}\README TO UNLOCK.txt
• %User Temp%\Email.pdf - it will be also executed
• {Path Name}\READMETOUNLOCK.txt
• %User Temp%\MailMessage.exe - detected as TROJ_CRILOCK.ER
• %User Temp%\{variable name 1}.exe - detected as TROJ_CRILOCK.ER

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

• ** Your files have been locked and encrypted with a unique RSA-2048 key! **
  To unlock your files/data:
  1. Download and install the Tor browser from:
  https://www.torproject.org/projects/torbrowser.html.en
  2. Now go to:
  http://{BLOCKED}54x5f3.onion
  (From within the Tor browser)
  Follow the instructions. You will then receive the decryption key (password) and decryptor within 12 hours.
  BEWARE - this is NOT a virus.
  The ONLY way to get your files back is to pay for the decryptor + decryption key (password).
  Guaranteed recovery is provided within 10 days.
  ** Your ID# is {ID} **

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{variable name 2} = "%User Temp%\{variable name 1}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\.{variable name 3}

HKEY_CLASSES_ROOT\{variable name 4}

HKEY_CLASSES_ROOT\{variable name 4}\DefaultIcon

HKEY_CLASSES_ROOT\{variable name 4}\shell\
open\command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{variable name 3}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\DefaultIcon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\shell\open\
command

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\.{variable name 3}
(Default) = "{variable name 4}"

HKEY_CLASSES_ROOT\{variable name 4}
(Default) = "LOCKED"

HKEY_CLASSES_ROOT\{variable name 4}\DefaultIcon
(Default} = "%User Temp%\{variable name 1}.exe,0"

HKEY_CLASSES_ROOT\{variable name 4}\shell\
open\command
(Default) = "%User Temp%\{variable name 1}.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.{variable name 3}
(Default) = "{variable name 4}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}
(Default) = "LOCKED"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\DefaultIcon
(Default) = "%User Temp%\{variable name 1}.exe,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
{variable name 4}\shell\open\
command
(Default) = "%User Temp%\{variable name 1}.exe"

Otros detalles

Cifra los archivos con las extensiones siguientes:

• *.1cd
• *.3gp
• *.7z
• *.ac3
• *.accdb
• *.ai
• *.ape
• *.avi
• *.bmp
• *.cdr
• *.cdr
• *.cer
• *.csv
• *.dbf
• *.dcr
• *.divx
• *.djvu
• *.doc
• *.docx
• *.dwg
• *.dwg
• *.dxf
• *.dxg
• *.eps
• *.epub
• *.flac
• *.flv
• *.gif
• *.gzip
• *.htm
• *.html
• *.ifo
• *.indd
• *.iso
• *.jpeg
• *.jpg
• *.kdc
• *.kwm
• *.m2v
• *.max
• *.md
• *.mdb
• *.mdf
• *.mkv
• *.mov
• *.mp3
• *.mp4
• *.mpeg
• *.mpg
• *.odt
• *.p12
• *.p7b
• *.p7c
• *.pdf
• *.pfx
• *.png
• *.pps
• *.ppt
• *.pptm
• *.pptx
• *.psd
• *.pst
• *.pwm
• *.qbb
• *.qbw
• *.rar
• *.raw
• *.tar
• *.tif
• *.torrent
• *.txt
• *.vob
• *.wav
• *.wma
• *.wmv
• *.wpd
• *.xls
• *.xlsx
• *.zip

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {filename and extension}.CRYPTOLOCKER