SHA1-хеш:
- 673b6be8163580ba70403321663f5edbb0565f12
- feb0501ac141df63cc0d5bb341cb24a769f81bc9
- bfab9c8da1f969b07e4e7f0bd1aa9865fd7a9d3c
- 5918bbf71641c2776f20bdd2fc08c82dc17178cc
Описание
Троянская программа-майнер для ОС Windows, написанная на языке С++. В основе используется код проектов XMRig или ETHmine. Загрузчик Trojan.BtcMine.3767 при помощи функции SetContextThread внедряет трояна в процесс explorer.exe. При создании процесса в переменную Shellinfo структуры RTL_USER_PROCESS_PARAMETERS (PEB) передается строка, содержащая конфигурацию майнера, зашифрованная AES CBC и дополнительно закодированная base64. Ключом к шифру является последовательность «UXUUXUUXUUCommandULineUUXUUXUUXU», вектором инициализации — последовательность «UUCommandULineUU». После расшифровки можно увидеть конфигурацию майнера:
Помимо настроек, унаследованных от проекта XMRig, Trojan.BtcMine.2742 принимает настройки от своего загрузчика, собранного с использованием SilentCryptoMiner.
| --cinit-winring= | Указывает на ранее созданный файл winring |
| --cinit-remote-config= | Содержит ссылку для получения настроек майнера с интервалом в 100 секунд |
| --cinit-stealth-targets= | Перечисляет приложения, при запуске которых майнер приостанавливает свою работу и очищает видео- и RAM-память |
| --cinit-stealth-fullscreen | Сообщает майнеру о необходимости приостанавливать работу при запуске любого приложения в полноэкранном режиме. Проверка выполняется посредством функции SHQueryUserNotificationState |
| --cinit-kill-targets= | Закрывает указанные процессы при их обнаружении |
| --cinit-api= | Содержит URL веб-панели для мониторинга и управления майнером |
| --cinit-version= | Содержит версию SilentCryptoMiner |
| --cinit-idle-wait= | При бездействии пользователя в течении указанного времени произойдёт изменение максимальной загрузки процессора майнером |
| --cinit-idle-cpu= | Максимальная загрузка процессора майнером при бездействии пользователя |
| --cinit-idle-gpu= | Максимальная загрузка видеокарты майнером при бездействии пользователя |
| --cinit-max-gpu= | Максимальная загрузка видеокарты при выключенном режиме IDLE |
| --cinit-id= | Содержит название созданного мьютекса |
| --cinit-algo= | Алгоритм майнинга |
Индикаторы компрометации
- 673b6be8163580ba70403321663f5edbb0565f12
- feb0501ac141df63cc0d5bb341cb24a769f81bc9
- bfab9c8da1f969b07e4e7f0bd1aa9865fd7a9d3c
- 5918bbf71641c2776f20bdd2fc08c82dc17178cc
