Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost.exe' = '%APPDATA%\taskhost.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\crss
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sakcuypcyet.exe
- %APPDATA%\wincfg\libs\ddb64.dll
- %APPDATA%\wincfg\libs\winring0x64.sys
- nul
- %TEMP%\tmp66dd.tmp.bat
- %APPDATA%\crss.exe
- %APPDATA%\taskhost.exe
- %TEMP%\is-c4eei.tmp\wizardform.bitmapimage1.bmp
- %TEMP%\is-c4eei.tmp\metroblue.vsf
- %TEMP%\is-c4eei.tmp\vclstylesinno.dll
- %TEMP%\is-c4eei.tmp\istask.dll
- %TEMP%\is-c4eei.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-c4eei.tmp\_isetup\_setup64.tmp
- %TEMP%\is-c4eei.tmp\_isetup\_regdll.tmp
- %TEMP%\hnebqbz.exe
- %TEMP%\apay.exe
- %TEMP%\hviinuq.exe
- %TEMP%\jmelyqfj.exe
- %TEMP%\is-d1klj.tmp\gswhvx.tmp
- %TEMP%\rcdqhuwjpcs.exe
- %TEMP%\gswhvx.exe
- %TEMP%\ohxw.exe
- %APPDATA%\wincfg\libs\nvrtc-builtins64_101.dll
- %APPDATA%\wincfg\libs\nvrtc64_101_0.dll
Сетевая активность
Подключается к
- 'xm#.###l.minergate.com':45700
- 'localhost':8808
- 'localhost':6606
- 'localhost':7707
TCP
- 'xm#.###l.minergate.com':45700
UDP
- DNS ASK xm#.###l.minergate.com
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\sakcuypcyet.exe'
- '%TEMP%\ohxw.exe'
- '%TEMP%\gswhvx.exe'
- '%TEMP%\rcdqhuwjpcs.exe'
- '%TEMP%\is-d1klj.tmp\gswhvx.tmp' /SL5="$C020C,9700876,67072,%TEMP%\Gswhvx.exe"
- '%TEMP%\jmelyqfj.exe'
- '%TEMP%\hviinuq.exe'
- '%TEMP%\hnebqbz.exe'
- '%TEMP%\apay.exe'
- '%APPDATA%\taskhost.exe'
- '%APPDATA%\crss.exe'
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "crss" /tr '"%APPDATA%\crss.exe"' & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "crss" /tr '"%APPDATA%\crss.exe"' & exit
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "crss" /tr '"%APPDATA%\crss.exe"'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp66DD.tmp.bat""
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\explorer.exe' --opencl --cuda --donate-level=0 -B --coin=monero --url=xmr.pool.minergate.com:45700 --user=elowoff@gmail.com --pass= --cpu-max-threads-hint=100 --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 ...
