StalinLocker elimina tus archivos a menos que se ingrese el código correcto

Un nuevo malware llamado StalinLocker o StalinScreamer, fue descubierto por el equipo de MalwareHunterTeeam, en el cual te dan 10 minutos para ingresar un código o este eliminará todo el contenido del computador. Mientras se ejecuta esta aplicación, se mostrará en la pantalla una imagen de Stalin mientras se reproduce el himno de la URSS, mas abajo se muestra una cuenta regresiva hasta que se eliminan todos los archivos.


Cuando se ejecuta este malware, ocurren las siguientes acciones:

• Extrae el archivo "USSR_Anthem.mp3"  en %UserProfile%\AppData\Local folder y lo reproduce. 
• Se copia así mismo en %UserProfile%\AppData\Local\stalin.exe y crea un autorun llamado "Stalin" el cual inicia el screenlocker cuando el usuario se loguea en el sistema
• Creara un archivo %UserProfile%\AppData\Local\fl.dat escribirá la cantidad actual de segundos que quedan divididos por 3. Por lo tanto, cada vez que inicie el programa, la cuenta atrás será significativamente menor.
• Intentará cerrar los procesos que no sean Skype o Discord.
• Terminará el proceso Explorer.exe y taskmgr.exe
• Intenta crear una tarea programada llamada "Drive Update" para lanzar la aplicación stalin.

StalinLocker / StalinScreamer sample: https://t.co/turcpk4oVx
When run, it drops and plays in the background a file called "USSR_Anthem.mp3".
It gives 600+60 seconds to enter the key, else, it will wipe all it can (code for that on 2nd screenshot).@BleepinComputer @demonslay335 pic.twitter.com/bDpIKbS1ja

— MalwareHunterTeam (@malwrhunterteam) 14 de mayo de 2018

StalinLocker mostrara una pantalla en la cual se muestra una cuenta progresiva de 10 minutos, en la que si el contador llega a cero, este eliminará todos tus archivos a menos que ingreses el código correcto. Según el equipo de MalwareHunterTeam, este código se obtiene restando la fecha actual de ejecución de StalinLocker menos la fecha  1922.12.30. Si el usuario ingresa el código correcto el limpiador se saldrá y se eliminará el autorun.

Cuando el contador llegue a cero, el malware intentará eliminar todo el contenido de la unidad. Para detectar la letra de la unidad este hara un recorrido entre la A y la Z, y con eso poder detectar correctamente la unidad en la cual esta montada la información y así realizar la acción de eliminar todo el contenido del disco.

IOCS

SHA256: 853177d9a42fab0d8d62a190894de5c27ec203240df0d9e70154a675823adf04

Archivos Asociados

%UserProfile%\AppData\Local\fl.dat
%UserProfile%\AppData\Local\stalin.exe
%UserProfile%\AppData\Local\USSR_Anthem.mp3

Registros Asociados

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Stalin %UserProfile%\AppData\Local\stalin.exe