Análisis

Crea los archivos:

» C:\Users\W7_MMD\Desktop\ReadMe.txt

El troyano comienza su ejecución creando una contraseña de 15 bytes de longitud a través de la funcion CreatePassword().

Selecciona los diferentes tipos de archivo objetivo (definidos como estándar para todas las versiones Hidden Tear): *.txt, *.doc, *.docx, *.xls, *.xlsx, *.ppt, *.pptx, *.odt, *.jpg, *.png, *.csv, *.sql, *.mdb, *.hwp, *.pdf, *.php, *.asp, *.aspx, *.html, *.xml, *.psd

Y hace uso de la función EncryptFile para modificar el contenido de los archivos ubicados en el escritorio del sistema (\\Desktop):


EncryptFile

» Recibe como parámetros: Nombre del archivo y contraseña.
» Calcula el valor del hash SHA256 para el texto definido como password y lo establece como nueva contraseña para cifrar los archivos.
» Hace uso del algoritmo de cifrado AES; enviando la información almacenada en el archivo y el password de 256 bytes de longitud.
» Sobrescribe el archivo con los datos recibidos (cifrados).
» Finalmente agrega la extensión .암호화됨

Una vez modificados los datos del usuario procede con la creación del archivo ReadMe.txt; en el cual es insertado un mensaje de información y el PASSWORD de cifrado utilizado :-D

El mensaje está escrito en Coreano y tiene la siguiente traducción:

당신의 파일이 암호화 되었습니다.< PASSWORD >

Your files have been encrypted.< PASSWORD >

Posteriormente se crea la interface gráfica que será visualizada por las victimas en donde se informa el código de usuario para realizar el pago, este código está definido de forma estática dentro del código fuente de algunas de las versiones del troyano lo que puede representar una fase de pruebas dentro del desarrollo del mismo:

Servidor: 2dasasfwt225dfs5mom.onion

당신의 코드는: 1246C9FE1BD1FBE35D9E193A352970456975E4F905C7AF1103071BA700814231

Your code: 1246C9FE1BD1FBE35D9E193A352970456975E4F905C7AF1103071BA700814231

Y en otras versiones se hace uso de la función RandomHexString() la cual tiene como objetivo retorna dicha cadena de forma aleatoria:

Curiosamente uno de los servidores definido como medio de pago: t352fwt225ao5mom.onion, forma parte de los dominios utilizados por el Ransomware CrypMIC por lo que su interface Web es idéntica:

A decir verdad no es posible determinar si podría tratarse de una especie de intento de apoyo financiero a CrypMIC en Corea o simplemente la personalización de un Ransomware público por parte de un ciudadano de ese país.

Finalmente se elimina la copia del archivo ejecutable original a través del símbolo del sistema cmd.exe

Descarga