Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'min' = '%TEMP%\min\min.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\\Loader.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\UFASoft.exe' /pid=3432
- '%APPDATA%\UFASoft.exe' /pid=2588
- '%APPDATA%\UFASoft.exe' /pid=2304
- '%APPDATA%\UFASoft.exe' /pid=3024
- '%APPDATA%\UFASoft.exe' /pid=3392
- '%APPDATA%\UFASoft.exe' /pid=728
- '%APPDATA%\UFASoft.exe' /pid=2752
- '%APPDATA%\UFASoft.exe' /pid=2664
- '%APPDATA%\UFASoft.exe' /pid=3780
- '%APPDATA%\UFASoft.exe' /pid=4316
- '%APPDATA%\UFASoft.exe' /pid=4176
- '%APPDATA%\UFASoft.exe' /pid=4476
- '%APPDATA%\UFASoft.exe' /pid=4416
- '%APPDATA%\UFASoft.exe' /pid=1536
- '%APPDATA%\UFASoft.exe' /pid=2704
- '%APPDATA%\UFASoft.exe' /pid=4116
- '%APPDATA%\UFASoft.exe' /pid=2220
- '%APPDATA%\UFASoft.exe' /pid=3260
- '%APPDATA%\UFASoft.exe' /pid=2852
- '%APPDATA%\UFASoft.exe' /pid=4040
- '%APPDATA%\UFASoft.exe' /pid=2676
- '%APPDATA%\UFASoft.exe' /pid=3840
- '%APPDATA%\UFASoft.exe' /pid=2832
- '%APPDATA%\UFASoft.exe' -a sha256 -g no -o stratum.mining.eligius.st:3334 -u 1AJ4EXFAh3r7HFaok7SnmxdBv5TdpJf4Gy -p x -t 2
- '%APPDATA%\UFASoft.exe' /pid=3400
- '%APPDATA%\UFASoft.exe' /pid=3640
- '%APPDATA%\UFASoft.exe' /pid=3592
- '%APPDATA%\UFASoft.exe' /pid=2864
- '%APPDATA%\UFASoft.exe' /pid=2856
- '%APPDATA%\UFASoft.exe' /pid=3932
- '%APPDATA%\UFASoft.exe' /pid=3680
- '%APPDATA%\UFASoft.exe' /pid=2848
- '%APPDATA%\UFASoft.exe' /pid=304
- '<SYSTEM32>\wbem\wmiprvse.exe' (загружен из сети Интернет)
- '%APPDATA%\UFASoft.exe' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbem\wmiprvse.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\miner.dll
- %APPDATA%\coinutil.dll
- %APPDATA%\phatk.cl
- %APPDATA%\usft_ext.dll
- %APPDATA%\phatk.ptx
- %APPDATA%\btc-evergreen.il
- %TEMP%\min\min.exe
- %TEMP%\AppLunch\Cho.ine
- %APPDATA%\UFASoft.exe
- %APPDATA%\btc.il
- %APPDATA%\bdb.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\AppLunch\min.exe
Перемещает следующие файлы:
- %TEMP%\AppLunch\Cho.ine в %TEMP%\AppLunch\min.exe
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\Loader.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/sov1001/miner.dll
- 19#.#0.57.179/sov1001/coinutil.dll
- 19#.#0.57.179/sov1001/phatk.cl
- 19#.#0.57.179/sov1001/usft_ext.dll
- 19#.#0.57.179/sov1001/phatk.ptx
- 19#.#0.57.179/sov1001/coin-miner.exe
- wp#d/wpad.dat
- 19#.#0.57.179/sov1001/bdb.dll
- 19#.#0.57.179/sov1001/btc-evergreen.il
- 19#.#0.57.179/sov1001/btc.il
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
