Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\hasl.lnk
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\christmastree17.exe
- %TEMP%\fff.exe
- %ALLUSERSPROFILE%\system86\check.cmd
- %ALLUSERSPROFILE%\system86\delete.cmd
- %ALLUSERSPROFILE%\system86\start.cmd
- %ALLUSERSPROFILE%\system86\xmrig.exe
- %ALLUSERSPROFILE%\system86\check.vbs
- %ALLUSERSPROFILE%\system86\delete.vbs
- %ALLUSERSPROFILE%\system86\hasl.vbs
- %ALLUSERSPROFILE%\system86\start.vbs
- %TEMP%\is-1c4ir.tmp\christmastree17.tmp
- %TEMP%\is-6sil0.tmp\_isetup\_regdll.tmp
- %TEMP%\is-6sil0.tmp\_isetup\_setup64.tmp
- %TEMP%\is-6sil0.tmp\_isetup\_shfoldr.dll
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
Сетевая активность
Подключается к
- 'bc#.###l.minergate.com':45550
UDP
- DNS ASK bc#.###l.minergate.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\christmastree17.exe'
- '%TEMP%\fff.exe'
- '%TEMP%\is-1c4ir.tmp\christmastree17.tmp' /SL5="$40236,1218364,53248,%TEMP%\ChristmasTree17.exe"
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\system86\hasl.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\system86\delete.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\system86\check.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\system86\start.vbs"
- '%ALLUSERSPROFILE%\system86\xmrig.exe' -o stratum+tcp://bcn.pool.minergate.com:45550 -u den1400.93@gmail.com -k --max-cpu-usage=50 --donate-level=1 -r1 -R1
- '%TEMP%\fff.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\system86\delete.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\system86\check.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\system86\delete.cmd" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\system86\check.cmd" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\system86\start.cmd" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\system86\delete.cmd" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\system86\check.cmd" "
- '%WINDIR%\syswow64\timeout.exe' /T 30
- '%WINDIR%\syswow64\timeout.exe' /T 2
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq Taskmgr.exe"
- '%WINDIR%\syswow64\tasklist.exe' /NH /FI "IMAGENAME eq Taskmgr.exe"
- '%WINDIR%\syswow64\cmd.exe' /c tasklist /NH /FI "IMAGENAME eq xmrig.exe"
- '%WINDIR%\syswow64\tasklist.exe' /NH /FI "IMAGENAME eq xmrig.exe"
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\system86\start.cmd" "
