live casino online

Este malware no tiene ninguna rutina de puerta trasera.

A continuaci¨®n ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Este malware no tiene ninguna capacidad para robar informaci¨®n.

T¨¦cnica de inicio autom¨¢tico

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ImagePath = "{initial malware file path} -m security"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
DisplayName = "Microsoft Security Center (2.0) Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ObjectName = "LocalSystem"

Se registra como un servicio del sistema para garantizar su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema mediante la introducci¨®n de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0

Inicia los servicios siguientes:

• Service Name: mssecsvc2.0
  Display Name: Microsoft Security Center (2.0) Service
  Path to Executable: "{Initial Malware File Path} -m security"

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Rutina de infiltraci¨®n

Infiltra los archivos siguientes:

• %Windows%\tasksche.exe ¡û detected as Ransom.Win32.WCRY.DAM

A continuaci¨®n ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Robo de informaci¨®n

Este malware no tiene ninguna capacidad para robar informaci¨®n.

Otros detalles

Hace lo siguiente:

• It connects to http://www.{BLOCKED}sodp9ifjaposdfjhgosurijfaewrwergwea.com. It is initially used as a kill switch for infection, however on this variant, it will still continue with its routine regardless of the connection.
• It scans the following to check for open port 445:
  • Local Area Network
  • Randomly-generated IP addresses over the Internet
• If it finds a host on the Local Area Network or the Internet with open port 445, it will attempt to exploit MS17-010 vulnerability to drop and execute a copy of itself to the remote host.
• It uses the following file path for its dropped copies on the remote hosts.
  • %Windows%\mssecsvc.exe
• It checks for the presence of the file %Windows%\tasksche.exe. If the file exists, it will rename the file using the following name %Windows%\qeriuwjhrf.
• It executes %Windows%\tasksche.exe with /i parameter.