Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Google Updates' = '%TEMP%\mineworm\Updates.vbs'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\install.vbs
- %TEMP%\mineworm\start.vbs
- %TEMP%\mineworm\setup.bat
- %TEMP%\mineworm\mineworm.bat
- %TEMP%\mineworm\minerd.exe
- %TEMP%\mineworm\libwinpthread-1.dll
- %TEMP%\mineworm\libintl-8.dll
- %TEMP%\mineworm\libidn-11.dll
- %TEMP%\mineworm\libiconv-2.dll
- %TEMP%\mineworm\libcurl-4.dll
- %TEMP%\mineworm\install.vbs
- %TEMP%\rarsfx0\zlib1.dll
- %TEMP%\rarsfx0\updates.vbs
- %TEMP%\rarsfx0\start.vbs
- %TEMP%\rarsfx0\setup.bat
- %TEMP%\rarsfx0\mineworm.bat
- %TEMP%\rarsfx0\minerd.exe
- %TEMP%\rarsfx0\libwinpthread-1.dll
- %TEMP%\rarsfx0\libintl-8.dll
- %TEMP%\rarsfx0\libidn-11.dll
- %TEMP%\rarsfx0\libiconv-2.dll
- %TEMP%\rarsfx0\libcurl-4.dll
- %TEMP%\mineworm\updates.vbs
- %TEMP%\mineworm\zlib1.dll
Удаляет следующие файлы
- %TEMP%\rarsfx0\install.vbs
- %TEMP%\rarsfx0\libcurl-4.dll
- %TEMP%\rarsfx0\libiconv-2.dll
- %TEMP%\rarsfx0\libidn-11.dll
- %TEMP%\rarsfx0\libintl-8.dll
- %TEMP%\rarsfx0\libwinpthread-1.dll
- %TEMP%\rarsfx0\minerd.exe
- %TEMP%\rarsfx0\mineworm.bat
- %TEMP%\rarsfx0\start.vbs
- %TEMP%\rarsfx0\updates.vbs
- %TEMP%\rarsfx0\zlib1.dll
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\install.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\mineworm\Updates.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\mineworm\start.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\setup.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\mineworm\start.vbs"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\setup.bat" "
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Google Updates" /t REG_SZ /d ""%LOCALAPPDATA%\Temp"\mineworm\Updates.vbs" /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
