Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\config.vbs
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\xxx\downloaded.zip
- %TEMP%\cscebf3.tmp
- %TEMP%\ndsy28ys.out
- %TEMP%\ndsy28ys.cmdline
- %TEMP%\ndsy28ys.0.cs
- %TEMP%\eeogdo0f.dll
- %TEMP%\resa592.tmp
- %TEMP%\csca591.tmp
- %TEMP%\eeogdo0f.out
- %TEMP%\eeogdo0f.cmdline
- %TEMP%\eeogdo0f.0.cs
- nul
- %TEMP%\urkdaixk.dll
- %TEMP%\res2f4a.tmp
- %TEMP%\csc2f3a.tmp
- %TEMP%\urkdaixk.out
- %TEMP%\urkdaixk.cmdline
- %TEMP%\urkdaixk.0.cs
- %APPDATA%\config\winring0x64.sys
- %APPDATA%\config\start.bat
- %APPDATA%\config\miner.exe
- %APPDATA%\config\getidletime.ps1
- %APPDATA%\config\config.json
- %APPDATA%\xxx\config\winring0x64.sys
- %APPDATA%\xxx\config\start.bat
- %APPDATA%\xxx\config\miner.exe
- %APPDATA%\xxx\config\getidletime.ps1
- %APPDATA%\xxx\config\config.json
- %TEMP%\resebf4.tmp
- %TEMP%\ndsy28ys.dll
Удаляет следующие файлы
- %APPDATA%\xxx\downloaded.zip
- %TEMP%\ndsy28ys.dll
- %TEMP%\ndsy28ys.out
- %TEMP%\ndsy28ys.0.cs
- %TEMP%\cscebf3.tmp
- %TEMP%\resebf4.tmp
- %TEMP%\eeogdo0f.pdb
- %TEMP%\eeogdo0f.0.cs
- %TEMP%\eeogdo0f.out
- %TEMP%\eeogdo0f.dll
- %TEMP%\eeogdo0f.cmdline
- %TEMP%\csca591.tmp
- %TEMP%\ndsy28ys.pdb
- %TEMP%\resa592.tmp
- %TEMP%\urkdaixk.0.cs
- %TEMP%\urkdaixk.out
- %TEMP%\urkdaixk.pdb
- %TEMP%\urkdaixk.cmdline
- %TEMP%\csc2f3a.tmp
- %TEMP%\res2f4a.tmp
- %APPDATA%\xxx\config\winring0x64.sys
- %APPDATA%\xxx\config\start.bat
- %APPDATA%\xxx\config\miner.exe
- %APPDATA%\xxx\config\getidletime.ps1
- %APPDATA%\xxx\config\config.json
- %TEMP%\urkdaixk.dll
- %TEMP%\ndsy28ys.cmdline
Сетевая активность
Подключается к
- '8.###.204.167':80
TCP
Запросы HTTP GET
- http://8.###.204.167/config.zip
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -File "%APPDATA%\config\GetIdleTime.ps1"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\config\start.bat" " (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell -ExecutionPolicy Bypass -File "%APPDATA%\config\GetIdleTime.ps1"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\urkdaixk.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2F4A.tmp" "%TEMP%\CSC2F3A.tmp" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\find.exe' "miner.exe"
- '<SYSTEM32>\timeout.exe' /t 15 /nobreak
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\eeogdo0f.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA592.tmp" "%TEMP%\CSCA591.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\ndsy28ys.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEBF4.tmp" "%TEMP%\CSCEBF3.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\hhikzava.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES31E9.tmp" "%TEMP%\CSC31E8.tmp" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\oubyhct0.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7407.tmp" "%TEMP%\CSC7406.tmp" (со скрытым окном)
