Análisis

Crea los archivos:

» C:\Users\W7_MMD\Serpico\bg.jpg
» C:\Users\W7_MMD\Serpico\key.pkm
» C:\Users\W7_MMD\Serpico\Serpico.exe
» C:\Users\W7_MMD\Serpico\sound.wav
» C:\Users\W7_MMD\Serpico\total.pkm
» C:\Users\W7_MMD\Desktop\MotoxUnlocker.exe

Este tipo de Ransomware es una variante del ya identificado DetoxCrypto Ransomware (analizado en días anteriores por Bleeping Computer) el cual utilizaba imágenes del conocido juego PokemonGO para incitar a las personas a instalarlo, sin embargo esta versión parece enfocar su atención en Croacia debido al lenguaje utilizado en su imagen de bloqueo.

@siri_urz It's Detox... cc @BleepinComputer @demonslay335 @nyxbone

— MalwareHunterTeam (@malwrhunterteam) 26 de agosto de 2016

El segundo archivo extraído TaskManager.exe tiene como función:

» Genera un password aleatorio de 16 bytes de longitud.
» Envia toda la información del equipo (llave publica, nombre de usuario, nombre de máquina, sistema operativo, tipo de procesador y dirección MAC) al servidor de comando y control: http://serpico.netai.net/ con dirección IP: 23.23.73.170 (Virginia - Ashburn / AS14618 AMAZON-AES - Amazon.com, Inc.).

» Posteriormente determina los diferentes tipos de archivo a modificar:

*.bak, *.mdf, *.sql, *.cs, *.php, *.xls, *.doc, *.xlsx, *.docx, *.zip, *.rar, *.7z, *.tar.bz2, *.tar, *.cab, *.iso, *.dat, *.mdb, *.db, *.sqlite, *.csv, *.s3db, *.sqlitedb, *.dbf, *.myd, *.ibd, *.ibz, *.xlt, *.ppt, *.pptx, *.backup, *.3ds, *.pdf, *.eps, *.psd, *.psb, *.acbl, *.cdr, *.txt, *.xml, *.pst, *.jpg, *.jpeg, *.bmp, *.JPG, *.JPEG, *.BMP, *.cpr, *.all, *.rns, *.pptx, *.xltx, *.png, *.PNG, *.GIF, *.gif, *.dwg, *.der, *.crt, *.cer

» Cifra su contenido a través del algoritmo AES.
» Crea un archivo con nombre key.pkm: El cual almacena el valor de la llave pública creada previamente.
» Crea un archivo con nombre total.pkm: Identificador de control.
» Modifica el fondo de pantalla (Wallpaper) del equipo con la imagen extraída previamente: bg.jpg.
» Realiza una copia del archivo Serpico.exe al escritorio del usuario con el nombre: MotoxUnlocker.exe.
» Ejecuta Serpico.exe.

» Finalmente envía el resultado final de su ejecución al servidor C2.

El tercer archivo Serpico.exe tiene como función:

» Crear la interface gráfica que será visualizada por el usuario.
» Consulta el contenido de los archivos key.pkm y total.pkm.
» Reproduce el archivo de audio: sound.wav.

» Valida la llave digitada por el usuario con el fin de descifrar la información.

Descarga