TROJ_CRYPTESLA.TY
Windows
Tipo di minaccia informatica:
Trojan
Distruttivo?:
No
Crittografato?:
厂ì
In the wild::
厂ì
Panoramica e descrizione
Este malware modifica la configuración de zona de Internet Explorer.
Se conecta a determinados sitios Web para enviar y recibir información.
Dettagli tecnici
滨苍蝉迟补濒补肠颈ó苍
Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:
- %Application Data%\{Random Filename}.exe
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
)Infiltra los archivos siguientes:
- %Application Data%\log.html - Contains the list of encrypted files.
- %Desktop%\HELP_RESTORE_FILES.bmp
- %Desktop%\HELP_RESTORE_FILES.txt
- %Desktop%\CryptoLocker.lnk - Shortcut file pointing to the dropped copy
- %Application Data%\key.dat
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
. %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).)Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
msdedf = "%Application Data%\{Random Filename}.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
msdedf = "%Application Data%\{Random Filename}.exe"
Otras modificaciones del sistema
Modifica las siguientes entradas de registro:
HKEY_CURRENT_USER\Control Panel\Desktop
WallpaperStyle = "0"
(Note: The default value data of the said registry entry is {User Preferences}.)
HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"
(Note: The default value data of the said registry entry is {User Preferences}.)
HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%Desktop%\HELP_RESTORE_FILES.bmp"
(Note: The default value data of the said registry entry is {User Preferences}.)
Finalización del proceso
Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:
- taskmgr
- procexp
- regedit
- msconfig
- cmd.exe
Modificación de la página de inicio y de la página de búsqueda del explorador Web
Este malware modifica la configuración de zona de Internet Explorer.
Otros detalles
Se conecta al sitio Web siguiente para enviar y recibir información:
- https://{BLOCKED}higtqlvohs7z.aw49f4j3n26.com
- https://{BLOCKED}higtqlvohs7z.dfj3d8w3n27.com
- https://{BLOCKED}hyca5ol6plmx3.tor2web.blutmagie.de
- https://{BLOCKED}hyca5ol6plmx3.tor2web.fi
- https://{BLOCKED}3higtqlvohs7z.s5.tor-gateways.de
- https://{BLOCKED}3higtqlvohs7z.tor2web.blutmagie.de
Cifra los archivos con las extensiones siguientes:
- sql
- mp4
- 7z
- rar
- m4a
- wma
- avi
- wmv
- csv
- d3dbsp
- zip
- sie
- sum
- ibank
- t13
- t12
- qdf
- gdb
- tax
- pkpass
- bc6
- bc7
- bkp
- qic
- bkf
- sidn
- sidd
- mdd
- ata
- itl
- itdb
- icxs
- hvpl
- hplg
- hkdbmdbackup
- syncdb
- gho
- cas
- svg
- map
- wmo
- itm
- sb
- fos
- mov
- vdf
- ztmp
- sis
- sid
- ncf
- menu
- layout
- dmp
- blob
- esm
- vcf
- vtf
- dazip
- fpk
- mlx
- kf
- iwd
- vpk
- tor
- psk
- rim
- w3x
- fsh
- ntl
- arch00
- lvl
- snx
- cfr
- ff
- vpp_pc
- lrf
- m2
- mcmeta
- vfs0
- mpqge
- kdb
- db0
- db
- rofl
- hkx
- bar
- upk
- das
- iwi
- litemod
- asset
- forge
- ltx
- bsa
- apk
- re4
- sav
- lbf
- slm
- bik
- epk
- rgss3a
- pak
- big
- unity3d
- wotreplay
- xxx
- desc
- py
- m3u
- flv
- js
- css
- rb
- png
- jpeg
- txt
- p7c
- p7b
- p12
- pfx
- pem
- crt
- cer
- der
- x3f
- srw
- pef
- ptx
- r3d
- rw2
- rwl
- raw
- raf
- orf
- nrw
- mrwref
- mef
- erf
- kdc
- dcr
- cr2
- crw
- bay
- sr2
- srf
- arw
- 3fr
- dng
- jpe
- jpg
- cdr
- indd
- ai
- eps
- pdd
- psd
- dbf
- mdf
- wb2
- rtf
- wpd
- dxg
- xf
- dwg
- pst
- accdb
- mdb
- pptm
- pptx
- ppt
- xlk
- xlsb
- xlsm
- xlsx
- xls
- wps
- docm
- docx
- doc
- odb
- odc
- odm
- odp
- ods
- odt
Soluzioni
Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como TROJ_CRYPTESLA.TY En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener más información.
Sondaggio