Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\svchost.exe
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\afolder\expl0rer.exe' -o stratum+tcp://mine.moneropool.com:80 -u 46Lhz9YFVfsSoSqw31iW4w6qqUciUD6WNbVfMxuiNRXUczeZn8LGwvY267GVBPKXPE49fQgDKFPrAAZGe945CvG2KV41mgJ -p x
- '%APPDATA%\csrss.exe'
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +h %TEMP%\ytmp
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ytmp\t26855.bat" "%APPDATA%\csrss.exe" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ytmp\t27008.exe
- %TEMP%\afolder\1509568115_log.txt
- %TEMP%\ytmp\t26855.bat
- %APPDATA%\csrss.exe
- %TEMP%\afolder\expl0rer.exe
Сетевая активность:
Подключается к:
- 'mi##.#oneropool.com':80
UDP:
- DNS ASK mi##.#oneropool.com
