An¨¢lisis realizado por : Rhena Inocencio   
 Alias

Ransomware-FHE!E7E2891F1584 (McAfee), Mal/Ransom-EM (Sophos)

 Plataforma:

Windows

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
 Revelaci¨®n de la informaci¨®n:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Trojan

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Canal de infecci¨®n Descargado de Internet

Se conecta a determinados sitios Web para enviar y recibir informaci¨®n.

  Detalles t¨¦cnicos

Tama?o del archivo 192,512 bytes
Tipo de archivo EXE
Residente en memoria No
Fecha de recepci¨®n de las muestras iniciales 02 de abril de 2016
Carga ¨²til Connects to URLs/IPs, Encrypts files, Displays graphics/image

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Crea las siguientes copias de s¨ª mismo en el sistema afectado y las ejecuta:

  • %My Documents%\{random filename}.exe

    (Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)

Infiltra los archivos siguientes:

  • {folders containing encrypted files}\+-HELP-RECOVER-+{random 5 characters}-+.html
  • {folders containing encrypted files}\+-HELP-RECOVER-+{random 5 characters}-+.png
  • {folders containing encrypted files}\+-HELP-RECOVER-+{random 5 characters}-+.txt
  • %Desktop%\+-HELP-RECOVER-+{random 5 characters}-+.html
  • %Desktop%\+-HELP-RECOVER-+{random 5 characters}-+.png
  • %Desktop%\+-HELP-RECOVER-+{random 5 characters}-+.txt
  • %My Documents%\+recover+file.txt

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

)

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
+++{random characters} = "%System%\cmd.exe /c start %My Documents%\{random filename}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLinkedConnections = "1"

HKEY_CURRENT_USER\Software\trueimg
ID = "{ID}"

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalaci¨®n:

HKEY_CURRENT_USER\Software\trueimg

HKEY_CURRENT_USER\Software\{ID}

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir informaci¨®n:

  • http://{BLOCKED}ia.com/sysstr.php
  • http://{BLOCKED}2k15.in/sysstr.php
  • http://{BLOCKED}y.org/sysstr.php
  • http://{BLOCKED}l.com/sysstr.php
  • http://{BLOCKED}sports.info/sysstr.php
  • http://{BLOCKED}legue.com/sysstr.php

Cifra los archivos con las extensiones siguientes:

  • .lvl
  • .arch00
  • .ntl
  • .fsh
  • .itdb
  • .itl
  • .mddata
  • .sidd
  • .sidn
  • .bkf
  • .qic
  • .bkp
  • .bc7
  • .bc6
  • .pkpass
  • .tax
  • .gdb
  • .qdf
  • .t12
  • .t13
  • .ibank
  • .sum
  • .sie
  • .zip
  • .w3x
  • .rim
  • .psk
  • .tor
  • .vpk
  • .iwd
  • .mlx
  • .fpk
  • .dazip
  • .vtf
  • .vcf
  • .esm
  • .blob
  • .dmp
  • .layout
  • .menu
  • .kf
  • .ncf
  • .sid
  • .sis
  • .ztmp
  • .vdf
  • .mov
  • .fos
  • .itm
  • .wmo
  • .itm
  • .map
  • .wmo
  • .svg
  • .cas
  • .gho
  • .syncdb
  • .hkdb
  • .hplg
  • .hvpl
  • .icxs
  • .docm
  • .wps
  • .xls
  • .xlsx
  • .xlsm
  • .xlsb
  • .xlk
  • .ppt
  • .pptx
  • .pptm
  • .mdb
  • .accdb
  • .pst
  • .dwg
  • .dxg
  • .wpd
  • .rtf
  • .wb2
  • .pfx
  • .p12
  • .p7b
  • .sb
  • .mdbackup
  • .xf
  • .p7c
  • .txt
  • .jpeg
  • .png
  • .css
  • .flv
  • .m3u
  • .desc
  • .xxx
  • wallet
  • .big
  • .pak
  • .rgss3a
  • .epk
  • .bik
  • .slm
  • .lbf
  • .sav
  • .re4
  • .apk
  • .bsa
  • .ltx
  • .forge
  • .asset
  • .iwi
  • .das
  • .upk
  • .d3dbsp
  • .csv
  • .wmv
  • .avi
  • .wma
  • .m4a
  • .rar
  • .mp4
  • .sql
  • .bak
  • .tiff
  • .com
  • .py
  • .js
  • .rb
  • .litesql
  • .litemod
  • .7z
  • .x3f
  • .der
  • .cer
  • .crt
  • .pem
  • .odt
  • .ods
  • .odp
  • .odm
  • .odc
  • .odb
  • .doc
  • .docx

  Soluciones

Motor de exploraci¨®n m¨ªnimo 9.800
Primer archivo de patrones de VSAPI 12.418.07
Primera fecha de publicaci¨®n de patrones de VSAPI 22 de marzo de 2016
Versi¨®n de patrones OPR de VSAPI 12.419.00
Fecha de publicaci¨®n de patrones OPR de VSAPI 23 de marzo de 2016

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.

Step 3

Explorar el equipo con su producto de live casino online y anotar los archivos detectados como RANSOM_CRYPTESLA.YUYAJY

Step 4

Reiniciar en modo seguro

[ aprenda m¨¢s ]

Step 5

Eliminar este valor del Registro

[ aprenda m¨¢s ]

Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.

?
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • +++{random characters} = "%System%\cmd.exe /c start %My Documents%\{random filename}.exe"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
    • EnableLinkedConnections = "1"

Step 6

Eliminar esta clave del Registro

[ aprenda m¨¢s ]

Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.

  • In HKEY_CURRENT_USER\Software
    • {ID}
  • In HKEY_CURRENT_USER\Software
    • trueimg

Step 7

Buscar y eliminar este archivo

[ aprenda m¨¢s ]
Puede que algunos de los archivos del componente est¨¦n ocultos. Aseg¨²rese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opci¨®n M¨¢s opciones avanzadas para que el resultado de la b¨²squeda incluya todos los archivos y carpetas ocultos.
  • +-HELP-RECOVER-+{random 5 characters}-+.html
  • +-HELP-RECOVER-+{random 5 characters}-+.png
  • +-HELP-RECOVER-+{random 5 characters}-+.txt
  • %My Documents%\+recover+file.txt

Step 8

Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como RANSOM_CRYPTESLA.YUYAJY En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


Rellene nuestra encuesta!