Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'GoogleChromeAutoLaunch_850528626E5HFO8S7TEIWSFEC337D4CE6F2' = '%HOMEPATH%\AppData\system32\explorer.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\flashplayer.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\explorer.exe
- nul
- %LOCALAPPDATA%\minergate-cli\log\minergate.log
- %LOCALAPPDATA%\minergate-cli\miners.ini
- %HOMEPATH%\appdata\system32\explorer.exe
- %TEMP%\rarsfx0\1.vbs
- %TEMP%\rarsfx0\1.bat
- %TEMP%\rarsfx0\libeay32.dll
- %TEMP%\rarsfx0\msvcp110.dll
- %TEMP%\rarsfx0\msvcr110.dll
- %TEMP%\rarsfx0\qt5core.dll
- %TEMP%\rarsfx0\qt5network.dll
- %TEMP%\rarsfx0\qt5websockets.dll
- %TEMP%\rarsfx0\ssleay32.dll
- %TEMP%\rarsfx0\system.exe
- %TEMP%\rarsfx0\vccorlib110.dll
- %TEMP%\rarsfx3\cudart32_60.dll
- %TEMP%\rarsfx0\platforms\qwindows.dll
- %TEMP%\rarsfx3\platforms\qwindows.dll
- %TEMP%\rarsfx3\system.exe
- %TEMP%\rarsfx0\qq.bat
- %TEMP%\rarsfx0\qq.vbs
- %TEMP%\rarsfx1\explorer.exe
- %TEMP%\rarsfx2\12.bat
- %TEMP%\rarsfx2\12.vbs
- %TEMP%\rarsfx2\system.exe
- %TEMP%\rarsfx3\1.vbs
- %TEMP%\rarsfx3\1.bat
- %TEMP%\rarsfx3\libeay32.dll
- %TEMP%\rarsfx3\msvcp110.dll
- %TEMP%\rarsfx3\msvcr110.dll
- %TEMP%\rarsfx3\qt5core.dll
- %TEMP%\rarsfx3\qt5network.dll
- %TEMP%\rarsfx3\qt5websockets.dll
- %TEMP%\rarsfx3\ssleay32.dll
- %TEMP%\rarsfx3\vccorlib110.dll
- %TEMP%\rarsfx0\cudart32_60.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\start menu\programs\startup\explorer.exe
Удаляет следующие файлы
- %TEMP%\rarsfx1\explorer.exe
- %TEMP%\rarsfx0\explorer.exe
- %TEMP%\rarsfx0\qq.bat
- %TEMP%\rarsfx0\qq.vbs
Сетевая активность
TCP
- 'mi###gate.com':443
- 'mi###gate.com':45560
UDP
- DNS ASK mi###gate.com
- DNS ASK xm#.###l.minergate.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\explorer.exe'
- '%TEMP%\rarsfx1\explorer.exe' -password
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX2\12.vbs"
- '%TEMP%\rarsfx2\system.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX3\1.vbs"
- '%TEMP%\rarsfx3\system.exe' -user roma98.27@mail.ru -xmr 1
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\qq.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\1.vbs"
- '%TEMP%\rarsfx0\system.exe' -user roma98.27@mail.ru -xmr 1
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX2\12.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX3\1.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\qq.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\1.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX2\12.bat" "
- '%WINDIR%\syswow64\tasklist.exe' /fi "IMAGENAME eq system.exe"
- '%WINDIR%\syswow64\find.exe' "system.exe"
- '%WINDIR%\syswow64\ping.exe' 127.1 -n 6
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX3\1.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\qq.bat" "
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v explorer /t reg_sz /d "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe" /f
- '%WINDIR%\syswow64\reg.exe' add HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "GoogleChromeAutoLaunch_850528626E5HFO8S7TEIWSFEC337D4CE6F2" /t reg_sz /d "%HOMEPATH%\AppData\system32\explorer.exe" /f
- '%WINDIR%\syswow64\attrib.exe' +s +h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\explorer.exe"
- '%WINDIR%\syswow64\attrib.exe' +s +h "%HOMEPATH%\AppData\system32"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\1.bat" "
