Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'JavaUpdate' = '%APPDATA%\xx\xx\1.0.0.0\spoolsv.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'JavaUpdate' = '%APPDATA%\xx\xx\1.0.0.0\spoolsv.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\xx\xx\1.0.0.0\opencl.exe -url=http://pi#.###pbit.net:8332 -user=afflictions@yahoo.com -password=monkeyballs -gputhreads=100
- %APPDATA%\xx\xx\1.0.0.0\javas.exe -url=http://pi#.###pbit.net:8332 -user=afflictions@yahoo.com -password=monkeyballs -threads=10
- %APPDATA%\xx\xx\1.0.0.0\cuda.exe -url=http://pi#.###pbit.net:8332 -user=afflictions@yahoo.com -password=monkeyballs -gputhreads=100
- %APPDATA%\xx\xx\1.0.0.0\javas.exe (загружен из сети Интернет)
- %APPDATA%\xx\xx\1.0.0.0\cuda.exe (загружен из сети Интернет)
- %APPDATA%\xx\xx\1.0.0.0\opencl.exe (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\xx\xx\1.0.0.0\bitcoinminercuda_11.cubin
- %APPDATA%\xx\xx\1.0.0.0\bitcoinminercuda_10.cubin
- %APPDATA%\xx\xx\1.0.0.0\opencl.exe
- %APPDATA%\xx\xx\1.0.0.0\bitcoinminercuda_20.cubin
- %APPDATA%\xx\xx\1.0.0.0\cfg.txt
- %APPDATA%\xx\xx\1.0.0.0\cudart32_32_16.dll
- %APPDATA%\xx\xx\1.0.0.0\bitcoinmineropencl.cl
- %APPDATA%\xx\xx\1.0.0.0\cuda.exe
- %APPDATA%\xx\xx\1.0.0.0\libsasl.dll
- %APPDATA%\xx\xx\1.0.0.0\curllib.dll
- %APPDATA%\xx\xx\1.0.0.0\spoolsv.exe
- %APPDATA%\xx\xx\1.0.0.0\openldap.dll
- %APPDATA%\xx\xx\1.0.0.0\javas.exe
- %APPDATA%\xx\xx\1.0.0.0\ssleay32.dll
- %APPDATA%\xx\xx\1.0.0.0\libeay32.dll
Сетевая активность:
Подключается к:
- 'me#####ownzzz.x10.mx':80
- 'i1###.#hotobucket.com':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- i1###.#hotobucket.com/albums/q770/rand0m666/bitcoinminercuda_10.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/rpcminer-opencl.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/rpcminer-cuda.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/bitcoinminercuda_11.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/cudart32_32_16.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/bitcoinmineropencl.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/bitcoinminercuda_20.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/libsasl.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/curllib.jpg
- wp#d/wpad.dat
- i1###.#hotobucket.com/albums/q770/rand0m666/openldap.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/rpcminer-cpu.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/ssleay32.jpg
- i1###.#hotobucket.com/albums/q770/rand0m666/libeay32.jpg
UDP:
- DNS ASK me#####ownzzz.x10.mx
- DNS ASK i1###.#hotobucket.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
