Tool.BtcMine.1350

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует запуск следующих системных утилит:

Обновления системы (Windows Update)

блокирует:

Компонент восстановления системы (SR)

Запускает на исполнение

'<SYSTEM32>\netsh.exe' firewall set opmode disable

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\documents\qsminer\miner.dat
%HOMEPATH%\documents\qsminer\nminer\cudart32_80.dll
%HOMEPATH%\documents\qsminer\nminer\cudart64_80.dll
%HOMEPATH%\documents\qsminer\nminer\miner.exe
%TEMP%\zecsafe.dat
<Текущая директория>\config.ini
%TEMP%\acdc.bat

Удаляет следующие файлы

%HOMEPATH%\documents\qsminer\miner.dat
%TEMP%\acdc.bat

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''
ClassName: '_EL_Label' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\zecsafe.dat' <Полный путь к файлу>
'%TEMP%\zecsafe.dat' <Полный путь к файлу>' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc stop wuauserv' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c sc config wuauserv start= disabled' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\Automatic App Update" /F' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /F' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\sih" /F' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /F' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c sc start MpsSvc' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c netsh firewall set opmode disable' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c netsh advfirewall set publicprofile state off' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} recoveryenabled No' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\acdc.bat' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c sc stop wuauserv
'%WINDIR%\syswow64\powercfg.exe' /CHANGE /standby-timeout-ac 0
'%WINDIR%\syswow64\powercfg.exe' /CHANGE /disk-timeout-ac 0
'%WINDIR%\syswow64\powercfg.exe' /CHANGE /monitor-timeout-ac 0
'<SYSTEM32>\bcdedit.exe' /set {current} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
'%WINDIR%\syswow64\schtasks.exe' /Delete /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /F
'%WINDIR%\syswow64\powercfg.exe' /q
'%WINDIR%\syswow64\find.exe' "┤╙▓╗"
'<SYSTEM32>\netsh.exe' advfirewall set publicprofile state off
'<SYSTEM32>\sc.exe' start MpsSvc
'%WINDIR%\syswow64\schtasks.exe' /Delete /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /F
'%WINDIR%\syswow64\schtasks.exe' /Delete /TN "\Microsoft\Windows\WindowsUpdate\sih" /F
'%WINDIR%\syswow64\sc.exe' config wuauserv start= disabled
'%WINDIR%\syswow64\cmd.exe' /c powercfg /q|find "┤╙▓╗"
'%WINDIR%\syswow64\schtasks.exe' /Delete /TN "\Microsoft\Windows\WindowsUpdate\Automatic App Update" /F
'%WINDIR%\syswow64\sc.exe' stop wuauserv
'%WINDIR%\syswow64\cmd.exe' /c %TEMP%\acdc.bat
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} recoveryenabled No
'<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures
'<SYSTEM32>\cmd.exe' /c netsh advfirewall set publicprofile state off
'<SYSTEM32>\cmd.exe' /c netsh firewall set opmode disable
'<SYSTEM32>\cmd.exe' /c sc start MpsSvc
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /F
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\sih" /F
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /F
'%WINDIR%\syswow64\cmd.exe' /c SCHTASKS /Delete /TN "\Microsoft\Windows\WindowsUpdate\Automatic App Update" /F
'%WINDIR%\syswow64\cmd.exe' /c sc config wuauserv start= disabled
'%WINDIR%\syswow64\powercfg.exe' /CHANGE /hibernate-timeout-ac 0
'%WINDIR%\syswow64\powercfg.exe' -h off