Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost.exe' = '%APPDATA%\taskhost.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ajqm.msi
- %TEMP%\wenqvktx.exe
- %TEMP%\evgpw.exe
- %APPDATA%\taskhost.exe
- %APPDATA%\wincfg\libs\winring0x64.sys
Сетевая активность
Подключается к
- 'xm#.###l.minergate.com':45700
UDP
- DNS ASK xm#.###l.minergate.com
Другое
Создает и запускает на исполнение
- '%TEMP%\wenqvktx.exe'
- '%TEMP%\evgpw.exe'
- '%APPDATA%\taskhost.exe'
Запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /i "%TEMP%\Ajqm.msi"
- '%WINDIR%\explorer.exe' --donate-level=0 -B --coin=monero --url=xmr.pool.minergate.com:45700 --user=8kxwsk7p9xj6s44 --pass= --threads=32
