Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '0' = '%ALLUSERSPROFILE%\0\0.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\0
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%ALLUSERSPROFILE%\0\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %ALLUSERSPROFILE%\0\WinRing0x64.sys
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\0\0.exe
- %TEMP%\tmp9221.tmp.bat
- nul
- %ALLUSERSPROFILE%\screen.jpg
- %ALLUSERSPROFILE%\0\xmr.exe
- %ALLUSERSPROFILE%\0\etc.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\0\0.exe
- %ALLUSERSPROFILE%\0\xmr.exe
- %ALLUSERSPROFILE%\0\etc.exe
Сетевая активность
Подключается к
- 'mi######tvisualstudio.wtf':80
- 'po##.#ashvault.pro':5555
TCP
Запросы HTTP POST
- http://mi######tvisualstudio.wtf/main.php
- http://mi######tvisualstudio.wtf/dl.php
- http://mi######tvisualstudio.wtf/dlc.php
Другие
- 'po##.#ashvault.pro':5555
UDP
- DNS ASK mi######tvisualstudio.wtf
- DNS ASK po##.#ashvault.pro
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Task Manager'
- ClassName: '' WindowName: 'Диспетчер задач'
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\0\0.exe'
- '%ALLUSERSPROFILE%\0\xmr.exe' /c %ALLUSERSPROFILE%//0//xmr.exe -a cryptonight-heavy --url=pool.hashvault.pro:5555 -u 445TMWKk8iM4XiexHxgJcbFcesCfqjwDuZCUYiQDd3jUh2f12SvZSnePnw6UHRva86fBywVN8EbfiA2EiTZFrF4zMEgWcNU -R --varia...
- '%ALLUSERSPROFILE%\0\etc.exe' -pool ssl://eu1-etc.ethermine.org:5555 -wal 0x066B0C93944dc745C83DbE33c38f4a5d78C1aabA.Rig001 -coin etc -log 0
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 3 /rl highest /tn "0" /tr '"%ALLUSERSPROFILE%\0\0.exe"' & exit' (со скрытым окном)
- '%ALLUSERSPROFILE%\0\xmr.exe' /c %ALLUSERSPROFILE%//0//xmr.exe -a cryptonight-heavy --url=pool.hashvault.pro:5555 -u 445TMWKk8iM4XiexHxgJcbFcesCfqjwDuZCUYiQDd3jUh2f12SvZSnePnw6UHRva86fBywVN8EbfiA2EiTZFrF4zMEgWcNU -R --varia...' (со скрытым окном)
- '%ALLUSERSPROFILE%\0\etc.exe' -pool ssl://eu1-etc.ethermine.org:5555 -wal 0x066B0C93944dc745C83DbE33c38f4a5d78C1aabA.Rig001 -coin etc -log 0' (со скрытым окном)
- '%ALLUSERSPROFILE%\0\0.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp9221.tmp.bat""
- '<SYSTEM32>\timeout.exe' 3
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 3 /rl highest /tn "0" /tr '"%ALLUSERSPROFILE%\0\0.exe"' & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc MINUTE /mo 3 /rl highest /tn "0" /tr '"%ALLUSERSPROFILE%\0\0.exe"'
- '<SYSTEM32>\taskeng.exe' {DC4BDF51-06CA-4BAE-97C7-2971E2687160} S-1-5-21-1960123792-2022915161-3775307078-1001:ymaaprdqdcc\user:Interactive:[1]
