live casino online

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos env¨ªan como spam.

Se conecta a determinadas URL. Uno de los objetivos para ello puede ser informar remotamente de su instalaci¨®n a un usuario malicioso. Tambi¨¦n puede hacerlo para descargar archivos maliciosos en el equipo, lo que aumentar¨ªa su riesgo de infecci¨®n por parte de otras amenazas. Despu¨¦s ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos env¨ªan como spam.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Crypted = "%User Temp%\a.txt"

HKEY_CLASSES_ROOT\.crypted
(Default) = "Crypted"

HKEY_CURRENT_USER\Crypted\shell\
open\command
(Default) = "notepad.exe %User Temp%\a.txt"

Rutina de infiltraci¨®n

Infiltra los archivos siguientes:

• %Desktop%\DECRYPT.txt - ransom note
• %User Temp%\a.txt - ransom note

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Rutina de descarga

Se conecta a las siguientes URL maliciosas:

• http://{BLOCKED}l.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
• http://{BLOCKED}allymla.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
• http://{BLOCKED}feel.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
• http://{BLOCKED}ng.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}
• http://{BLOCKED}tang.com/counter/?ad={ad}&ky={ZIP password}&id={id}&rnd={random}

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\a0.exe - legitimate application to ZIP files
• %User Temp%\a{number}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Despu¨¦s ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Otros detalles

Cifra los archivos con las extensiones siguientes:

• *.zip
• *.rar
• *.7z
• *.tar
• *.gz
• *.xls
• *.xlsx
• *.doc
• *.docx
• *.pdf
• *.rtf
• *.ppt
• *.pptx
• *.sxi
• *.odm
• *.odt
• *.mpp
• *.ssh
• *.pub
• *.gpg
• *.pgp
• *.kdb
• *.kdbx
• *.als
• *.aup
• *.cpr
• *.npr
• *.cpp
• *.bas
• *.asm
• *.cs
• *.php
• *.pas
• *.vb
• *.vcproj
• *.vbproj
• *.mdb
• *.accdb
• *.mdf
• *.odb
• *.wdb
• *.csv
• *.tsv
• *.psd
• *.eps
• *.cdr
• *.cpt
• *.indd
• *.dwg
• *.max
• *.skp
• *.scad
• *.cad
• *.3ds
• *.blend
• *.lwo
• *.lws
• *.mb
• *.slddrw
• *.sldasm
• *.sldprt
• *.u3d
• *.jpg
• *.tiff
• *.tif
• *.raw
• *.avi
• *.mpg
• *.mp4
• *.m4v
• *.mpeg
• *.mpe
• *.wmf
• *.wmv
• *.veg
• *.vdi
• *.vmdk
• *.vhd
• *.dsk