Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows service
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\wmi provider host\wmi64update.exe
- %PROGRAMDATA%\wmi provider host\nvrtc-builtins64_100.dll
- %PROGRAMDATA%\wmi provider host\nvrtc64_100_0.dll
- %PROGRAMDATA%\taskshell.exe
- %PROGRAMDATA%\config.json
Присваивает атрибут 'скрытый' для следующих файлов
- %PROGRAMDATA%\wmi provider host\nvrtc64_100_0.dll
- %PROGRAMDATA%\wmi provider host\nvrtc-builtins64_100.dll
- %PROGRAMDATA%\taskshell.exe
- %PROGRAMDATA%\config.json
- %PROGRAMDATA%\wmi provider host\wmi64update.exe
Сетевая активность
Подключается к
- 'zy#######qtz.000webhostapp.com':443
- 'xm#.###l.minergate.com':45700
UDP
- DNS ASK zy#######qtz.000webhostapp.com
- DNS ASK xm#.###l.minergate.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Task Manager'
- ClassName: '' WindowName: 'Диспетчер задач'
Создает и запускает на исполнение
- '%PROGRAMDATA%\wmi provider host\wmi64update.exe'
- '%PROGRAMDATA%\taskshell.exe'
- '%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "Windows Service" /tr "%PROGRAMDATA%\WMI Provider Host\\Wmi64Update.exe" /f' (со скрытым окном)
- '%PROGRAMDATA%\taskshell.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "Windows Service" /tr "%PROGRAMDATA%\WMI Provider Host\\Wmi64Update.exe" /f
- '<SYSTEM32>\taskeng.exe' {E19D2F53-910E-438F-AD2A-2422E3134CA7} S-1-5-21-1960123792-2022915161-3775307078-1001:vujrrxigwap\user:Interactive:[1]
