Malware Unpacking xxx_video.exe (generic)

 Requested.
 ------
 This ransomware was also noticed here (18 Aug 2k10) ~ here (17 Dec 2k10) ~ here (27 Dec 2k10) ~ here (12 Jan 2k11) ~ here (14 Jan 2k11) ~ here (21 Jan 2k11) ~ here (23 Jan 2k11) ~ here (1 Feb 2k11) ~ here (3 Feb 2k11) ~ here (4 Feb 2k11) ~ here (4 Feb 2k11) ~ here (5 Feb 2k11) ~ here (7 Feb 2k11) ~ here (10 Feb 2k11) ~ here (12 Feb 2k11) ~ here (27 Feb 2k11) ~ here (10 Mar 2k11) ~ here (14 Mar 2k11) ~ here (14 Mar 2k11) ~ here (21 Mar 2k11) ~ here (18 Apr 2k11)

Trojan.Ransom - КОМПЬЮТЕР ЗАБЛОКИРОВАН!

This trojan blocker ( MD5: 0b525aba7d3134d853d3a9a172abb300 - e7f93f0d7106ff1b0534fbe28023138d ) prevents all software execution.
To remove the Trojan (and unlock windows), infected users need to enter a valid serial number.

pa.exe is detected by just one antivirus as 'SpyEye' http://www.virustotal.com/file-scan/report.html?id=9aa49286577dbab965bcd943c46b1def61458663c7ca26a67160d5665f35a256-1303162581

Number to Call: 8-911-013-30-35
Number to Call: 8-911-722-24-88
Problem i got... i don't found the unlock code...
If a reverser want have a look ? so here is my analysis:

Create a mutex, who look like a serial, certainly to mislead reverse engineers:

Says goodbye to taskmgr, userinit (a big problem):

Create a load regkey:

Appdata:

"Неверный код" part:

Infection come from this server:

Binary Infection:
C:\%SystemRoot%\System32\dllcache\taskmgr.exe
C:\%SystemRoot%\System32\dllcache\userinit.exe
C:\%SystemRoot%\System32\taskmgr.exe
C:\%SystemRoot%\System32\userinit.exe
C:\%SystemRoot%\System32\03014D3F.exe
C:\Documents and Settings\All Users\Application Data\22CC6C32.exe

Registry Infection:
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

Event if you bought a unlock key that will not restore the damaged taskmgr and userinit !
A solution (not tested) is to manual restore these file with a live cd like "Hiren's Boot CD" "Shardana Antivirus Rescue Disk Utility" or more official with the Microsoft CD and try a system repair.
The difficult part is not to delete these files but to restore a proper copy of userinit.exe and taskmgr.exe.

Ascii dump:

00403438                                         .Ваш компьютер заблокиров
00403478  ан за просмотр, копирование и тиражирование видеоматериалов соде
004034B8  ржащих элементы педофилии и насилия над детьми. Для снятия блоки
004034F8  ровки Вам необходимо оплатить штраф в размере 400 рублей на номе
00403538  р телефона МТС 8-%s, после снятия блокировки удалить все материа
00403578  лы содержащие элементы насилия и педофилии. В противном случае,
004035B8  через 12 часов все данные будут безвозвратно удалены с Вашего ПК
004035F8  , а дело передано для разбирательства в Управление К МВД РФ, по
00403638  статье 242 ч.1 УК РФ..Код разблокировки будет напечатан на фиска
00403678  льном чеке терминала в случае оплаты суммы равной штрафу либо пр
004036B8  евышающей ее....911-013-30-35

00403178  Статья 242.1. Изготовление и оборот материалов или предметов с п
004031B8  орнографическими изображениями несовершеннолетних..Изготовление,
004031F8   хранение или перемещение через Государственную границу Российск
00403238  ой Федерации в целях распространения, публичной демонстрации или
00403278   рекламирования либо распространение, публичная демонстрация или
004032B8   рекламирование материалов или предметов с порнографическими изо
004032F8  бражениями несовершеннолетних, а равно привлечение несовершеннол
00403338  етних в качестве исполнителей для участия в зрелищных мероприяти
00403378  ях порнографического характера лицом, достигшим восемнадцатилетн
004033B8  его возраста, - наказываются лишением свободы на срок от двух до
004033F8   восьми лет с ограничением свободы на срок до одного года либо б
00403438  ез такового....

Thanks to mrbelyash for the sample.

Creating a online Ransomware unlocker

A simple code for make your own online unlocker service against ransomwares.
Inspired from Kaspersky

So... I'll just leave this here.

config.php:

<?php
    // Xyl2k! :þ
    // Admin ids
    $LOGIN = "root";  //login
    $PASSWD = "toor";   //password
    // MySQL ids
    $MySQL['HOST'] = 'localhost';
    $MySQL['USER'] = 'root';
    $MySQL['PASS'] = '';
    $MySQL['DB']   = 'ransom';
   
    $db_connection = mysql_connect($MySQL['HOST'], $MySQL['USER'], $MySQL['PASS']);
    if (!$db_connection)
            die('Error - Could Not Connect to the Server.');
    $db_selected = mysql_select_db($MySQL['DB'], $db_connection);
    if (!$db_selected)
            die('Error - Could Not Connect to the Database.');

ransom.php:

<?php
    require('config.php');
?>

<html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
            <title>Ransom Unlocker</title>
        <link rel="stylesheet" media="screen" type="text/css" title="Design" href="style.css" />
    </head>
    <body>
        <center>
            <font size="6"><b>&#9763; Unlocker &#9763;</b></font>
        </center>
        <form id="form1" name="form1" method="GET" action="<?php echo basename($_SERVER['PHP_SELF']);?>">
        <label for="call">Code to call: </label>
        <input type="text" name="call" id="call" />
        <input style="text-shadow: none;" value="Search" type="submit" />
        <?php
        if (isset($_GET['call'])) // TRUE
        {
            $call = mysql_real_escape_string($_GET['call']);
            $req = mysql_query('SELECT serial FROM winlock WHERE codetocall=\''.$call.'\'');
            if (!mysql_num_rows($req))
                echo '<p> Unlock code not found</p>';
            else
                while ($datas = mysql_fetch_array($req))
                    echo '<p> Unlock code: <b>'.htmlspecialchars($datas['serial']).'</b></p>';
        }
        ?>
        </form>
    </body>
</html>

ransomadmin.php:

<?php
    session_start();
    require('config.php');
?>

<html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
            <title>Admin - Ransom Unlocker</title>
        <link rel="stylesheet" media="screen" type="text/css" title="Design" href="style.css" />
    </head>
    <body>
        <center>
        <font size="6"><b>&#9763; Unlocker Admin &#9763;</b></font>
        </center>
        <?php
        if (isset($_POST['login']) && isset($_POST['password']))
            if ($_POST['login'] == $LOGIN && $_POST['password'] == $PASSWD)
                $_SESSION['access'] = true;
                if (isset($_SESSION['access']) && $_SESSION['access'] == true)
                {
                    ?>
                    <form id="form1" name="form1" method="POST" action="ransomadmin.php">
                    <table border="0">
                      <tr>
                        <td align="right"><label for="call">Code to call:</label></td>
                        <td><input name="call" type="text" id="call" size="48" maxlength="255" /></td>
                        </tr>
                      <tr>
                        <td align="right"><label for="serial">Unlock code:</label></td>
                        <td><textarea name="serial" id="serial" cols="45" rows="5"></textarea></td>
                        </tr>
                      <tr>
                        <td>&nbsp;</td>
                        <td><input style="text-shadow: none;" value="Add" type="submit" /></td>
                        </tr>
                    </table>
                    </form>
                    <?php
                    if (isset($_POST['call']) && isset($_POST['serial']))
                    {
                        $call = mysql_real_escape_string($_POST['call']);
                        $serial = mysql_real_escape_string($_POST['serial']);
                       
                        $req = mysql_query("INSERT INTO winlock VALUES('".$call."','".$serial."')") or die(mysql_error());
                       
                        echo "<p>Le code ".htmlspecialchars($_POST['call'])." à été inséré !</p>";
                    }
                }
        else
        {
        ?>
            <form name="tapz" action="<?php echo basename($_SERVER['PHP_SELF']);?>" method="POST">
                <table border="0">
                    <tr>
                        <td align="right">Login :</td>
                        <td><input name="login" type="text" size="30" maxlength="30" /></td>
                    </tr>
                    <tr>
                        <td align="right">Password :</td>
                        <td><input name="password" type="password" size="30" maxlength="30" /></td>
                    </tr>
                    <tr>
                        <td>&nbsp;</td>
                        <td><input type="submit" value="-= Connect =-" /></td>
                    </tr>
                </table>
            </form>
    </body>
</html>
<?php
} ?>

sql database:

-- phpMyAdmin SQL Dump
-- version 3.3.9
-- http://www.phpmyadmin.net
--
-- Serveur: localhost
-- Généré le : Dim 10 Avril 2011 à 19:00
-- Version du serveur: 5.1.36
-- Version de PHP: 5.3.0

SET SQL_MODE="NO_AUTO_VALUE_ON_ZERO";

/*!40101 SET @OLD_CHARACTER_SET_CLIENT=@@CHARACTER_SET_CLIENT */;
/*!40101 SET @OLD_CHARACTER_SET_RESULTS=@@CHARACTER_SET_RESULTS */;
/*!40101 SET @OLD_COLLATION_CONNECTION=@@COLLATION_CONNECTION */;
/*!40101 SET NAMES utf8 */;

--
-- Base de données: `ransom`
--

-- --------------------------------------------------------

--
-- Structure de la table `winlock`
--

CREATE TABLE IF NOT EXISTS `winlock` (
  `codetocall` varchar(255) NOT NULL,
  `serial` text NOT NULL
) ENGINE=MyISAM DEFAULT CHARSET=latin1;

--
-- Contenu de la table `winlock`
--

INSERT INTO `winlock` (`codetocall`, `serial`) VALUES
('123456', 'XXX-XXX-XXX-XXX');

Trojan.Ransom (Lock Em All)

This trojan blocker ( MD5: e639f529ae1a581c2657c904cf29fbb1 ) prevents all software execution.
To remove the Trojan (and unlock windows), infected users need to enter a valid serial number.

Number to Call: 89653777310
Number to Call: 89645394971
Number to Call: 89653760842
Number to Call: 89653776865
Number to Call: 89645394311
Code to unlock Windows: 9208841

Run MBAM to remove the infection.

Trojan.Ransom (Lock Em All)

This trojan blocker ( MD5: 38575506e927242eace86df3656b9e7f ) prevents all software execution.
To remove the Trojan (and unlock windows), infected users need to enter a valid serial number.

Number to Call: 89629722590
Code to unlock Windows: 5590114

Run MBAM to remove the infection.

Trojan.Ransom

This trojan blocker ( MD5: 305811f060ff21aad8d8cd872c1e89e2 ) prevents all software execution.
To remove the Trojan (and unlock windows), infected users need to enter a valid serial number.

Number to Call: 89652915892
Code to unlock Windows: 100200987

Run MBAM to remove the infection.

Trojan.Ransom (xxx_video_32605.avi.exe)

This trojan blocker ( MD5: ed0cd3c04b2a4160bde59b477c23dc91 ) prevents all software execution.
To remove the Trojan (and unlock windows), infected users need to enter a valid serial number.

Number to Call: 89165740131

Code to unlock Windows: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
(your serial can be what's you want but you need to make it exactly 90 in lenght)

Run MBAM to remove the infection.

Trojan.Ransom (xxx_video_New4.exe)

This trojan blocker ( MD5: 25bebaff16f81c66cda35221c3863c74 ) prevents all software execution.
To remove the Trojan (and unlock windows), infected users need to enter a valid serial number.

Number to Call: 9629732185

Code to unlock Windows: 986764

Run MBAM to remove the infection.