RANSOM_XORBAT.A
Trojan-Ransom.BAT.Agent.ay (Kaspersky)
Windows
Tipo de malware
Trojan
Destructivo?
No
Cifrado
No
In the Wild:
³§¨ª
Resumen y descripci¨®n
Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos env¨ªan como spam.
Detalles t¨¦cnicos
Detalles de entrada
Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos env¨ªan como spam.
±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô
Infiltra los archivos siguientes:
- %Desktop%\DECRYPT.txt - ransom note
- %User Temp%\809133.txt - ransom note
- %User Temp%\809133.cmd - uses 809133.exe to encrypt files. This is deleted after file encryption
(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).
. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).)Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.crypted
(Default) = "Crypted"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Crypted\shell\open\
command
(Default) = "notepad.exe %User Temp%\809133.txt"
Otros detalles
Cifra los archivos con las extensiones siguientes:
- *.zip
- *.rar
- *.7z
- *.tar
- *.gz
- *.xls
- *.xlsx
- *.doc
- *.docx
- *.rtf
- *.ppt
- *.pptx
- *.sxi
- *.odm
- *.odt
- *.mpp
- *.ssh
- *.pub
- *.gpg
- *.pgp
- *.kdb
- *.kdbx
- *.als
- *.aup
- *.cpr
- *.npr
- *.cpp
- *.bas
- *.asm
- *.cs
- *.php
- *.pas
- *.vb
- *.vcproj
- *.vbproj
- *.mdb
- *.accdb
- *.mdf
- *.odb
- *.wdb
- *.csv
- *.tsv
- *.psd
- *.eps
- *.cdr
- *.cpt
- *.indd
- *.dwg
- *.max
- *.skp
- *.scad
- *.cad
- *.3ds
- *.blend
- *.lwo
- *.lws
- *.mb
- *.slddrw
- *.sldasm
- *.sldprt
- *.u3d
- *.jpg
- *.tiff
- *.tif
- *.raw
- *.avi
- *.mpg
- *.mp4
- *.m4v
- *.mpeg
- *.mpe
- *.wmf
- *.wmv
- *.veg
- *.vdi
- *.vmdk
- *.vhd
- *.dsk
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.
Step 3
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes
- .crypted
- .crypted
Step 4
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Crypted\shell\open\command
- (Default) = "notepad.exe %User Temp%\809133.txt"
- (Default) = "notepad.exe %User Temp%\809133.txt"
Step 5
Buscar y eliminar este archivo
- %Desktop%\DECRYPT.txt
- %User Temp%\809133.txt
- %User Temp%\809133.exe
- %User Temp%\809133.cmd
Step 6
Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como RANSOM_XORBAT.A En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.
Rellene nuestra encuesta!