Hola a todos Underc0ders, el otro día estaba navegando por internet cuando encontré otro de los millones de ficheros curiosos que hay.
No pude analizarlo al 100% pero me llamó bastante la atención su funcionalidad, aquí os dejo lo poco que descubrí:
Este es el archivo en cuestión y sus propiedades:
Y estos los movimientos que realiza al ejecutarse:
Justo después de ejecutarlo se inician automáticamente 2 notepads y se inicia el mozilla firefox.
Si visitaba la url que nos decía, nos contaba que teníamos que pagar 500$ para que los archivos volviesen a su normalidad. Además si no pagabas en 12Horas (creo recordar) ese precio iría subiendo exponencialmente....
Por lo que decidí ejecutar Wireshark y ver si hacía alguna conexión de algún tipo y a donde.
Dominio e Ip involucrados:
dominikanabestplace.com
199.188.206.202
Estas direcciones, estaban y están caídas.
Por lo que... realmente el malware hacía lo que verdaderamente dice? A mi personalmente no me bloqueó ningún archivo, así que con los resultados obtenidos, pienso que realmente no hacía nada, tan solo provocar a que la víctima pagase...
Cabe mencionar de que se ejecutó en un entorno controlado.Un saludo.
Blackdrake
