Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '4420acbbbe6defbaa6e9f58c2dd43aa6' = '"%WINDIR%\Realtek Audio Monitor HD Semiconductor.exe" ..'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '4420acbbbe6defbaa6e9f58c2dd43aa6' = '"%WINDIR%\Realtek Audio Monitor HD Semiconductor.exe" ..'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\startvbs.bat
- %APPDATA%\microsoft\windows\start menu\programs\startup\4420acbbbe6defbaa6e9f58c2dd43aa6.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\Realtek Audio Monitor HD Semiconductor.exe" "Realtek Audio Monitor HD Semiconductor.exe" ENABLE
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\fe2d.tmp\exec.bat
- %APPDATA%\libstdc++-6.dll
- %APPDATA%\libgcc_s_seh-1.dll
- %APPDATA%\libcurl-4.dll
- %APPDATA%\libcrypto-1_1-x64.dll
- %APPDATA%\executar.bat
- %APPDATA%\cpuminer-zen.exe
- %APPDATA%\cpuminer-sse2.exe
- %APPDATA%\cpuminer-avx512.exe
- %APPDATA%\cpuminer-avx2.exe
- %APPDATA%\cpuminer-avx.exe
- %APPDATA%\cpuminer-aes-sse42.exe
- %TEMP%\fe2d.tmp\gerador2.exe
- %APPDATA%\zlib1.dll
- %APPDATA%\vbs.vbs
- %APPDATA%\startvbs.bat
- %APPDATA%\startup.bat
- %APPDATA%\libwinpthread-1.dll
- %TEMP%\fe2d.tmp\gerador.exe
- %TEMP%\fe2d.tmp\7zxa.dll
- %TEMP%\fe2d.tmp\7za.exe
- %TEMP%\fe2d.tmp\7za.dll
- %TEMP%\fe2d.tmp\gerador2.zip
- %TEMP%\fe2d.tmp\gerador.zip
- %TEMP%\fe2d.tmp\bat.bat
- %APPDATA%\vbs2.vbs
- %WINDIR%\realtek audio monitor hd semiconductor.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\libwinpthread-1.dll
- %APPDATA%\zlib1.dll
- %APPDATA%\cpuminer-aes-sse42.exe
- %APPDATA%\cpuminer-avx.exe
- %APPDATA%\cpuminer-avx2.exe
- %APPDATA%\cpuminer-avx512.exe
- %APPDATA%\cpuminer-sse2.exe
- %APPDATA%\cpuminer-zen.exe
- %APPDATA%\executar.bat
- %APPDATA%\libcrypto-1_1-x64.dll
- %APPDATA%\libcurl-4.dll
- %APPDATA%\libgcc_s_seh-1.dll
- %APPDATA%\libstdc++-6.dll
Удаляет следующие файлы
- %TEMP%\fe2d.tmp\gerador.exe
- %TEMP%\fe2d.tmp\gerador2.exe
- %TEMP%\fe2d.tmp\exec.bat
Сетевая активность
Подключается к
- 'pe#####s123.duckdns.org':3301
TCP
Запросы HTTP GET
- http://www.mi###raft.net/
UDP
- DNS ASK mi###raft.net
- DNS ASK ye#####t.mine.zpool.ca
- DNS ASK pe#####s123.duckdns.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'DDEMLMom' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\fe2d.tmp\7za.exe' x -p123 gerador.zip
- '%TEMP%\fe2d.tmp\gerador.exe'
- '%TEMP%\fe2d.tmp\7za.exe' x -p123123123 gerador2.zip
- '%TEMP%\fe2d.tmp\gerador2.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\vbs.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\vbs2.vbs"
- '%APPDATA%\cpuminer-zen.exe' -a yescrypt -o stratum+tcp://yescrypt.mine.zpool.ca:6233 -u iFfGy66juBSiHFCjYRvsw9Q72kmZpx1dGd -p c=BSD
- '%APPDATA%\cpuminer-sse2.exe' -a yescrypt -o stratum+tcp://yescrypt.mine.zpool.ca:6233 -u iFfGy66juBSiHFCjYRvsw9Q72kmZpx1dGd -p c=BSD
- '%WINDIR%\realtek audio monitor hd semiconductor.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\FE2D.tmp\exec.bat" "<Полный путь к файлу>""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\startup.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\EXECUTAR.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\Realtek Audio Monitor HD Semiconductor.exe" "Realtek Audio Monitor HD Semiconductor.exe" ENABLE' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\FE2D.tmp\exec.bat" "<Полный путь к файлу>""
- '<SYSTEM32>\timeout.exe' 1
- '<SYSTEM32>\timeout.exe' 15
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\startup.bat" "
- '%WINDIR%\syswow64\timeout.exe' 10
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\EXECUTAR.bat" "
- '%WINDIR%\syswow64\xcopy.exe' %APPDATA%\startVBS.bat "%APPDATA%\Microsoft\windows\start menu\programs\startup"
