live casino online

Este malware modifica la configuraci¨®n de zona de Internet Explorer.

Se conecta a determinados sitios Web para enviar y recibir informaci¨®n.

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Crea las siguientes copias de s¨ª mismo en el sistema afectado:

• %Windows%\{Random Malware Filename}.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Este malware infiltra el/los siguiente(s) archivo(s):

• {Encrypted File Path}\HOW_TO_RESTORE_FILES.txt -> Ransom Note
• {Encrypted File Path}\HOW_TO_RESTORE_FILES.html -> Ransom Note
• %All Users Profile%\Application Data\ydodetopusymivyv\uroromeq
• %All Users Profile%\Application Data\ydodetopusymivyv\yjorykeq
• %All Users Profile%\Application Data\ydodetopusymivyv\adorifeq

Infiltra y ejecuta los archivos siguientes:

• %Desktop%\HOW_TO_RESTORE_FILES.txt -> Ransom Note
• %Desktop%\HOW_TO_RESTORE_FILES.html -> Ransom Note

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Este malware infiltra los siguientes archivos no maliciosos:

• %User Temp%\bitset.cpp
• %User Temp%\partsum.cpp
• %User Temp%\dvdmedia.h
• %User Temp%\sddl.h
• %User Temp%\Pyroxene.C
• %User Temp%\NsRandom.dll
• %User Temp%\ns{random}.tmp\System.dll

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las carpetas siguientes:

• %All Users Profile%\Application Data\ydodetopusymivyv
• %User Temp%\ns{random}.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Este malware inyecta c¨®digos en el/los siguiente(s) proceso(s):

• explorer.exe

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Windows%\{Random Malware Filename}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows Messaging Subsystem\
Profiles

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV9 = 0

Modificaci¨®n de la p¨¢gina de inicio y de la p¨¢gina de b¨²squeda del explorador Web

Este malware modifica la configuraci¨®n de zona de Internet Explorer.

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir informaci¨®n:

• http://{URL generated via domain generated algorithm}.{BLOCKED}k.org:443

Cifra los archivos con las extensiones siguientes:

• .ade
• .adp
• .aif
• .aifc
• .aiff
• .app
• .asf
• .asx
• .au
• .avi
• .bas
• .bat
• .bat
• .cer
• .chm
• .cmd
• .cmd
• .com
• .cpl
• .crt
• .csh
• .dib
• .doc
• .doc
• .dot
• .dot
• .dvr-ms
• .emf
• .exe
• .fxp
• .gadget
• .gif
• .grp
• .hlp
• .hta
• .hta
• .inf
• .ins
• .isp
• .its
• .IVF
• .jfif
• .jpe
• .jpeg
• .jpg
• .js
• .jse
• .ksh
• .lnk
• .lnk
• .m1v
• .m3u
• .mad
• .maf
• .mag
• .mam
• .maq
• .mar
• .mas
• .mat
• .mau
• .mav
• .maw
• .mcf
• .mda
• .mdb
• .mde
• .mdt
• .mdw
• .mdz
• .mid
• .midi
• .mp2
• .mp2v
• .mp3
• .mpa
• .mpe
• .mpeg
• .mpg
• .mpv2
• .msc
• .msh
• .mshxml
• .msp
• .mst
• .ops
• .pcd
• .pdf
• .pdf
• .pif
• .pif
• .pl
• .png
• .pot
• .pot
• .pps
• .pps
• .ppt
• .ppt
• .prf
• .prg
• .pst
• .reg
• .rle
• .rmi
• .rtf
• .rtf
• .scf
• .scr
• .sct
• .shb
• .shs
• .snd
• .tif
• .tiff
• .vb
• .vbe
• .vbs
• .vfolder
• .vsmacros
• .vss
• .vst
• .vsw
• .wav
• .wax
• .wm
• .wma
• .wmf
• .wmv
• .wmx
• .ws
• .wsc
• .wsf
• .wsh
• .wvx
• .xbap
• .xbap
• .xls
• .xls
• .xlt
• .xlt
• .xlw
• .xlw
• .xml
• .xps
• .xps
• .zip

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

• {Original Filename}.enc