RANSOM_CRYPTESLA.YUYAKA
Windows
Tipo de grayware:
Trojan
Destrutivo:
N?o
Criptografado:
In the Wild:
Sim
Vis?o geral
Detalhes t¨¦cnicos
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein und f¨¹hrt sie aus:
- %My Documents%\{random filename}.exe
(Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)
Schleust folgende Dateien/Komponenten ein:
- {folders containing encrypted files}\+-xxx-HELP-xxx-+{random characters}-+.png
- {folders containing encrypted files}\+-xxx-HELP-xxx-+{random characters}-+.txt
- {folders containing encrypted files}\+-xxx-HELP-xxx-+{random characters}-+.html
- %Desktop%\+-xxx-HELP-xxx-+{random characters}-+.png
- %Desktop%\+-xxx-HELP-xxx-+{random characters}-+.txt
- %Desktop%\+-xxx-HELP-xxx-+{random characters}-+.html
- %My Documents%\-HELP-file.txt
(Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)
(Hinweis: %Desktop% ist der Ordner 'Desktop' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.)
Autostart-Technik
F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svc-{random characters} = "%System%\cmd /C start "" "%My Documents%\{random filename}.exe""
Andere System?nderungen
F¨¹gt die folgenden Registrierungseintr?ge hinzu:
HKEY_CURRENT_USER\Software\trueimg
ID = "{ID}"
HKEY_CURRENT_USER\Software\{ID}
data = "{random values}"
F¨¹gt die folgenden Registrierungsschl¨¹ssel als Teil der Installationsroutine hinzu:
HKEY_CURRENT_USER\Software\trueimg
HKEY_CURRENT_USER\Software\{ID}