SHA1:
- 46b8955c8fa07994f8cb3c11dff0a277c7353730 (xmr-1.7z)
- 0909fe2c42c4b3480313671dde00d4e0fd756f1b (xmrig.exe, x86)
- 0785a05695428436a95e875b058268cfb1347207 (xmrig.dll, x86)
- f5c766423bf6a1eca4b2063da8464e2f09778920 (start.js)
- 1c5e358185f15ae619dceb353adce18a2221ff19 (xmr-1-64.7z)
- c9e4dd2f67a4aa2aaa152e92df4fe137d1d73b78 (xmrig.exe, x64)
- 2710c02c6e069b94fc2708eae42f309b1313bf5d (xmrig.dll, x64)
- d91fc46d9af39fb1bbb45f1c4970437b49497edf (start.js)
Описание
Модуль троянца MonsterInstall. Загружается на устройства пользователей в виде архива xmr-1.7z или xmr-1-64.7z.
Содержимое:
- node_modules,
- dump,
- moonlight.exe – исполняемый файл Node.js,
- start.js,
- windows-update.exe – копия калькулятора Windows,
- xmrig.dll,
где dump, start.js, xmrig.dll – файлы троянца.
Принцип действия
start.js загружает xmrig.dll и вызывает экспорт "mymain".
xmrig.dll разворачивает свои переменные окружения и завершает процессы:
- %sys32_86%\xmr,
- %sys32_86%\xmr64,
- %pf_86%\Microsoft JDX\32\windows-update.exe,
- %pf_86%\Microsoft JDX\64\windows-update.exe.
Если рядом находится файл xmrig.exe, троянец загружает его в память текущего процесса, стирает сигнатуру MZ, расшифровывает его используя XOR с 0x39, после чего сохраняет его дамп в файле "dump ". Если троянец находит в той же директории файл "dump", то расшифровывает его таким же образом, запускает windows-update.exe и встраивает в него расшифрованную полезную нагрузку.
xmrig.exe (dump)
Собирает информацию о системе и троянце и отправляет ее POST-запросом на URL http://cherry-pot[.]top/RemoteApps/xmr/main.php.
{"action":"enter","architecture":"INTEL","cpuAES":true,"cpuCache":8192,"cpuSpeed":3392.0,"cpuThreads":2,"cpuVendorString":" Intel(R) Core(TM) i5-4690S CPU @ 3.20GHz\u0000","hightPages":false,"login":"null","password":"null","ramPhysicalSize":3071,"xmrigVersion":[2,10,0]}
В ответ сервер присылает конфигурацию:
{"maxCpuLoad":1000,"minCpuLoad ":0,"algo":"cryptonight-pico/trtl","av":0,"background":false,"donate-level":1,"max-cpu-usage":75,"retries":5,"retry-pause":5,"cpu-priority":1,"pools":[{"url":"185.224.133.91:5511","keepalive":true,"nicehash":true}]}
Троянец сохраняет конфигурацию в config.json и начинает майнить.
