Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RegHost' = '%APPDATA%\Microsoft\RegHost.exe'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\WinRing0x64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\reghost.exe
- %APPDATA%\microsoft\regmodule.exe
- %APPDATA%\microsoft\onedrive.exe
- %APPDATA%\microsoft\regdata.exe
Сетевая активность
Подключается к
- '18#.#37.234.33':8080
- 'po##.#inexmr.com':4444
TCP
Запросы HTTP GET
- http://18#.##7.234.33:8080/hs via 18#.#37.234.33
- http://18#.##7.234.33:8080/lm via 18#.#37.234.33
- http://18#.##7.234.33:8080/xr via 18#.#37.234.33
- http://18#.##7.234.33:8080/wd via 18#.#37.234.33
Другие
- 'po##.#inexmr.com':4444
UDP
- DNS ASK po##.#inexmr.com
Другое
Запускает на исполнение
- '%WINDIR%\bfsvc.exe' --algo ETHASH --pool eth.2miners.com:2020 --user 0x5fD8bC7909327ae2c2784D5B90A74772623bE5ed --worker 25
- '%WINDIR%\notepad.exe' --coin=XMR -o pool.minexmr.com:4444 -u 43RdvzWiARDHZFCv7wPMsGTZnXLAfEBQfAGZpjGZnKwYfuuj5HJLGTaSPBBXC4h2bgHxV8dzbhYGCU73y5DZNrGNDq8iykq -p 25
- '%WINDIR%\explorer.exe' "??" "" "EasyMiner" "eth"
