Author: Jennifer Gumban   
 PLATFORM:

Windows

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Trojan

  • Destructiveness:
    No

  • Encrypted:
    Yes

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet


  TECHNICAL DETAILS

File size: 7,680 bytes
File type: EXE
Memory resident: No
INITIAL SAMPLES RECEIVED DATE: 16 czerwca 2017
PAYLOAD: Encryps files

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

  • %User Temp%\{random value}.exe
  • %User Profile%\Desktop\READ TO DECRYPTIONS_.txt
  • %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\READ TO DECRYPTIONS_.txt
  • {folders containing encrypted files}\READ TO DECRYPTIONS_.txt

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Deja archivos de texto a modo de notas de rescate que contienen lo siguiente:

  • All your data files are crypted.
    To decrypt files and gain access to them,
    please send 0.5 Bitcoin to address
    1G3uZtTUN8J3Wd9iQxft6Xej8BWh5EBHhz

    and email to xg9739517395nb@163.com proof
    (screen or TransID) of your payment.

    After receiving the money, I will send you
    your password and decrypt instruction via email.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.rtyrtyrty
(Default) = "VKKYOEBUQZTVGTN"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN
(Default) = "CRYPTED!"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN\DefaultIcon
(Default) = "%User Temp%\{random value}.exe,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VKKYOEBUQZTVGTN\shell\open\
command
(Default) = "%User Temp%\{random value}.exe"

Otros detalles

Cifra los archivos con las extensiones siguientes:

  • *.zip
  • *.rar
  • *.tar
  • *.gzip
  • *.jpg
  • *.jpeg
  • *.psd
  • *.cdr
  • *.dwg
  • *.max
  • *.bmp
  • *.gif
  • *.png
  • *.doc
  • *.docx
  • *.xls
  • *.xlsx
  • *.ppt
  • *.pptx
  • *.txt
  • *.pdf
  • *.djvu
  • *.htm
  • *.html
  • *.mdb
  • *.cer
  • *.p12
  • *.pfx
  • *.kwm
  • *.pwm
  • *.1cd
  • *.mdf
  • *.dbf
  • *.odt
  • *.vob
  • *.ifo
  • *.lnk
  • *.torrent
  • *.mov
  • *.m2v
  • *.3gp
  • *.mpeg
  • *.mpg
  • *.flv
  • *.avi
  • *.mp4
  • *.wmv
  • *.divx
  • *.mkv
  • *.mp3
  • *.wav
  • *.flac
  • *.ape
  • *.wma
  • *.edb
  • *.ndf
  • *.ldf
  • *.vhdx
  • *.vhd
  • *.vmdk
  • *.tis
  • *.accdb
  • *.iso
  • *.wim
  • *.WIM
  • *.msg
  • *.vcf
  • *.mbdb
  • *.plist
  • *.ZIP
  • *.RAR
  • *.bak
  • *.BAK
  • *.backup
  • *.ldb
  • *.QBB
  • *.qbb
  • *.probkp
  • *.mde
  • *.sql
  • *.SQL
  • *.001
  • *.002
  • *.003
  • *.004
  • *.005
  • *.006
  • *.007
  • *.008
  • *.009
  • *.adm
  • *.ADM
  • *.hsh
  • *.sn1
  • *.sn2
  • *.sn3
  • *.sna
  • *.spf
  • *.report
  • *.v2i
  • *.bkf
  • *.pst
  • *.nsf
  • *.aspx
  • *.flf
  • *.900
  • *.trp
  • *.xtbl
  • *.cerber
  • *.crypt
  • *.bac
  • *.CrySiS
  • *.ac3

Sustituye los nombres de los archivos cifrados por los nombres siguientes:

  • {original filename and extension}.rtyrtyrty
  • {original filename and extension}.scydbDmbug0182K

  SOLUTION

Minimum scan engine: 9.800
First VSAPI Pattern File: 12.634.02
First VSAPI Pattern Release Date: 06 lipca 2016
VSAPI OPR PATTERN-VERSION: 12.635.00
VSAPI OPR PATTERN DATE: 07 lipca 2016

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.

Step 3

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.

?
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.rtyrtyrty
    • (Default) = "VKKYOEBUQZTVGTN"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VKKYOEBUQZTVGTN
    • (Default) = "CRYPTED!"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VKKYOEBUQZTVGTN\DefaultIcon
    • (Default) = "%User Temp%\{random value}.exe,0"
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\VKKYOEBUQZTVGTN\shell\open\command
    • (Default) = "%User Temp%\{random value}.exe"

Step 4

Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como RANSOM_XORIST.F En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


Did this description help? Tell us how we did.