Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSE' = '%TEMP%\mse.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\winapi.exe' -o http://eu.#####emining.com:8344 -u bh -p bh -I 7
- '%APPDATA%\svchost.exe' -t 1 -g no -o http://H4#########@eu.triplemining.com:8344
- '%APPDATA%\winapi.exe' (загружен из сети Интернет)
- '%APPDATA%\svchost.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\E5ID0FibZ.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\OpenCL[1].txt
- %APPDATA%\OpenCL.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\phatk120223[1].txt
- %APPDATA%\libpdcurses.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\libusb-1.0[1].txt
- %APPDATA%\libusb-1.0.dll
- %APPDATA%\phatk120223.cl
- %APPDATA%\pthreadGC2.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\pthreadGC2-w32[1].txt
- %APPDATA%\pthreadGC2-w32.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\poclbm120327[1].txt
- %APPDATA%\poclbm120327.cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\pthreadGC2[1].txt
- %APPDATA%\miner.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\usft_ext[1].txt
- %APPDATA%\usft_ext.dll
- %TEMP%\E5ID0FibZ.bat
- %TEMP%\mse.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\miner[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\System72[1].txt
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\libcurl-4[1].txt
- %APPDATA%\libcurl-4.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\libpdcurses[1].txt
- %APPDATA%\svchost.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\winapi[1].txt
- %APPDATA%\winapi.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\mse.exe
Сетевая активность:
Подключается к:
- '17#.#1.115.28':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- 17#.#1.115.28/c/phatk120223.txt
- 17#.#1.115.28/c/OpenCL.txt
- 17#.#1.115.28/c/libusb-1.0.txt
- 17#.#1.115.28/c/pthreadGC2-w32.txt
- 17#.#1.115.28/c/pthreadGC2.txt
- 17#.#1.115.28/c/poclbm120327.txt
- 17#.#1.115.28/u/System72.txt
- 17#.#1.115.28/u/usft_ext.txt
- 17#.#1.115.28/u/miner.txt
- 17#.#1.115.28/c/libpdcurses.txt
- 17#.#1.115.28/c/libcurl-4.txt
- 17#.#1.115.28/c/winapi.txt
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
