Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RegHost' = '%APPDATA%\Microsoft\RegHost.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\reghost.exe
- %APPDATA%\microsoft\regmodule.exe
- %APPDATA%\microsoft\onedrive.exe
- %APPDATA%\microsoft\regdata.exe
Сетевая активность
Подключается к
- '18#.#37.234.33':8080
TCP
Запросы HTTP GET
- http://18#.##7.234.33:8080/hs via 18#.#37.234.33
- http://18#.##7.234.33:8080/lm via 18#.#37.234.33
- http://18#.##7.234.33:8080/xr via 18#.#37.234.33
- http://18#.##7.234.33:8080/wd via 18#.#37.234.33
Другое
Запускает на исполнение
- '%WINDIR%\bfsvc.exe' --algo ETCHASH --pool eu1-etc.ethermine.org:4444 --user 0x6F4BdbB9cC77E13421dcf92289F531E367c90216 --worker search
- '%WINDIR%\explorer.exe' "easyminer_def" "" "search" "etc" 1
