RANSOM_CRYPTESLA.USVNC15
Ransomware-FGN!C0DBBF36B0B6 (McAfee)
Windows
Tipo de malware
Trojan
Destructivo?
No
Cifrado
³§¨ª
In the Wild:
³§¨ª
Resumen y descripci¨®n
Se conecta a determinados sitios Web para enviar y recibir informaci¨®n.
Detalles t¨¦cnicos
±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô
Crea las siguientes copias de s¨ª mismo en el sistema afectado y las ejecuta:
- %Windows%\{random filename}.exe (with Administrator Privileges)
- %My Documents%\{random}.exe (with non-Administrator Privileges)
(Note: %My Documents% is usually C:\Documents and Settings\{user name}\My Documents on Windows 2000, XP, and Server 2003, or C:\Users\{user name}\Documents on Windows Vista and 7.)
(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).
)Infiltra los archivos siguientes:
- Ransom notes:
- {folders containing encrypted files}\RECOVER{random 5 characters}.txt
- {folders containing encrypted files}\RECOVER{random 5 characters}.png
- {folders containing encrypted files}\RECOVER{random 5 characters}.html
- %Desktop%\RECOVER{random 5 characters}.txt
- %Desktop%\RECOVER{random 5 characters}.png
- %Desktop%\RECOVER{random 5 characters}.html
- %My Documents%\RECOVER{random 5 characters}.txt
- %My Documents%\RECOVER{random 5 characters}.png
- %My Documents%\RECOVER{random 5 characters}.html
- %My Documents%\recover.txt
T¨¦cnica de inicio autom¨¢tico
Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
_{random characters} = "%System%\cmd.exe /c start %Windows%\{random filename}.exe" (with Administrator Privileges)
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
_{random characters} = "%System%\cmd.exe /c start %My Documents%\{random filename}.exe" (with non-Administrator Privileges)
Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:
HKEY_CURRENT_USER\Software\trueimg
HKEY_CURRENT_USER\Software\{ID}
Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLinkedConnections = "1"
To enable Windows to share network connections
HKEY_CURRENT_USER\Software\trueimg
ID = "{ID}"
Otros detalles
Se conecta al sitio Web siguiente para enviar y recibir informaci¨®n:
- http://{BLOCKED}15.com/strbin.php
- http://{BLOCKED}garden.com/strbin.php
- http://{BLOCKED}k.com/binstr.php
- http://{BLOCKED}ument.co.uk/strbin.php
- http://{BLOCKED}athart.com/binstr.php
- http://{BLOCKED}wyerdesign.com/wp-content/plugins/binstr.php
- http://{BLOCKED}15.com/strbin.php
- http://{BLOCKED}garden.com/strbin.php
- http://{BLOCKED}k.com/binstr.php
Cifra los archivos con las extensiones siguientes:
- .lvl
- .arch00
- .ntl
- .fsh
- .itdb
- .itl
- .mddata
- .sidd
- .sidn
- .bkf
- .qic
- .bkp
- .bc7
- .bc6
- .pkpass
- .tax
- .gdb
- .qdf
- .t12
- .t13
- .ibank
- .sum
- .sie
- .zip
- .w3x
- .rim
- .psk
- .tor
- .vpk
- .iwd
- .mlx
- .fpk
- .dazip
- .vtf
- .vcf
- .esm
- .blob
- .dmp
- .layout
- .menu
- .kf
- .ncf
- .sid
- .sis
- .ztmp
- .vdf
- .mov
- .fos
- .itm
- .wmo
- .itm
- .map
- .wmo
- .svg
- .cas
- .gho
- .syncdb
- .hkdb
- .hplg
- .hvpl
- .icxs
- .docm
- .wps
- .xls
- .xlsx
- .xlsm
- .xlsb
- .xlk
- .ppt
- .pptx
- .pptm
- .mdb
- .accdb
- .pst
- .dwg
- .dxg
- .wpd
- .rtf
- .wb2
- .pfx
- .p12
- .p7b
- .sb
- .mdbackup
- .xf
- .p7c
- .txt
- .jpeg
- .png
- .css
- .flv
- .m3u
- .desc
- .xxx
- wallet
- .big
- .pak
- .rgss3a
- .epk
- .bik
- .slm
- .lbf
- .sav
- .re4
- .apk
- .bsa
- .ltx
- .forge
- .asset
- .iwi
- .das
- .upk
- .d3dbsp
- .csv
- .wmv
- .avi
- .wma
- .m4a
- .rar
- .mp4
- .sql
- .bak
- .tiff
- .com
- .py
- .js
- .rb
- .litesql
- .litemod
- .7z
- .x3f
- .der
- .cer
- .crt
- .pem
- .odt
- .ods
- .odp
- .odm
- .odc
- .odb
- .doc
- .docx
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.
Step 3
Explorar el equipo con su producto de live casino online y anotar los archivos detectados como RANSOM_CRYPTESLA.USVNC15
Step 4
Reiniciar en modo seguro
Step 5
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
?- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- _{random characters} = "%System%\cmd.exe /c start %Windows%\{random filename}.exe"
- _{random characters} = "%System%\cmd.exe /c start %Windows%\{random filename}.exe"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- _{random characters} = "%System%\cmd.exe /c start %My Documents%\{random filename}.exe"
- _{random characters} = "%System%\cmd.exe /c start %My Documents%\{random filename}.exe"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
- EnableLinkedConnections = "1"
- EnableLinkedConnections = "1"
Step 6
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software
- trueimg
- trueimg
- In HKEY_CURRENT_USER\Software
- {ID}
- {ID}
Step 7
Buscar y eliminar este archivo
- %My Documents%\recover.txt
- RECOVER{random 5 characters}.txt
- RECOVER{random 5 characters}.png
- RECOVER{random 5 characters}.html
Step 8
Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como RANSOM_CRYPTESLA.USVNC15 En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.
Rellene nuestra encuesta!