An¨¢lisis realizado por : Janus Agcaoili   
 Alias

Ransom.CTBLocker (Malwarebytes), Ransom:Win32/Critroni!rfn (Microsoft), Win32/Filecoder.CTBLocker.A (ESET-NOD32)

 Plataforma:

Windows

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
 Revelaci¨®n de la informaci¨®n:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Trojan

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

  Detalles t¨¦cnicos

Tama?o del archivo 832,514 bytes
Tipo de archivo EXE
Fecha de recepci¨®n de las muestras iniciales 12 de marzo de 2016

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Crea las siguientes copias de s¨ª mismo en el sistema afectado y las ejecuta:

  • %User Temp%\{random filename}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

)

Infiltra los archivos siguientes:

  • %My Documents%\!Decrypt-All-Files-{7 random characters}.txt
  • %My Documents%\!Decrypt-All-Files-{7 random characters}.bmp

    (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

  • %All Users Profile%\{random characters}.html

    (Note: %All Users Profile% is usually C:\Documents and Settings\All Users on Windows 2000, XP, and Server 2003, or C:\Users\All Users on Windows Vista and 7.)

  • %System Root%\{randomly selected path}\!Decrypt-All-Files-{7 random characters}.txt
  • %System Root%\{randomly selected path}\!Decrypt-All-Files-{7 random characters}.bmp
  • %Tasks%\{random filename}

    (Note: %Tasks% is usually C:\Windows\Tasks on Windows XP and below, or C:\Windows\system32\Tasks on Windows Vista and above)

(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).

)

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

T¨¦cnica de inicio autom¨¢tico

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

  • %User Startup%\system.pif - malware copy

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Men¨² Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Men¨² Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Men¨² Inicio\Programas\Inicio).

)

Otras modificaciones del sistema

Modifica los archivos siguientes:

  • It encrypts files and appends the extension .{7 random characters} to the encrypted files.
    Example sample.txt.qwkooom

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%My Documents%\!Decrypt-All-Files-{7 random characters}.bmp"

(Note: The default value data of the said registry entry is {user-defined}.)

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(Note: The default value data of the said registry entry is {user-defined}.)

HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"

(Note: The default value data of the said registry entry is {user-defined}.)