Техническая информация
Вредоносные функции:
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FileMonClass', WindowName: ''
- ClassName: 'RegMonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\TEMP\RAIDTest
- %TEMP%\KillMiner.bat
Удаляет следующие файлы:
- %TEMP%\KillMiner.bat
Подменяет следующие файлы:
- %TEMP%\KillMiner.bat
Другое:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c %TEMP%\\KillMiner.bat
- '<SYSTEM32>\cmd.exe' /S /D /c" echo Y"
- '<SYSTEM32>\cacls.exe' %WINDIR%\IME\Microsoft /T /D users
- '<SYSTEM32>\cacls.exe' %WINDIR%\IME\Microsoft /T /D administrators
- '<SYSTEM32>\cacls.exe' %WINDIR%\IME\Microsoft /T /D SYSTEM
- '<SYSTEM32>\cacls.exe' %WINDIR%\IME\Crypt /T /D users
- '<SYSTEM32>\cacls.exe' %WINDIR%\IME\Crypt /T /D administrators
- '<SYSTEM32>\cacls.exe' %WINDIR%\IME\Crypt /T /D SYSTEM
- '<SYSTEM32>\cmd.exe' /c SCHTASKS /Delete /TN * /F
- '<SYSTEM32>\schtasks.exe' /Delete /TN * /F
