Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\minerz\stacyXXX.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\minerz\explorer.exe' /pid=3520
- '%APPDATA%\minerz\explorer.exe' /pid=3920
- '%APPDATA%\minerz\explorer.exe' /pid=2700
- '%APPDATA%\minerz\explorer.exe' /pid=2840
- '%APPDATA%\minerz\explorer.exe' /pid=4652
- '%APPDATA%\minerz\explorer.exe' /pid=5560
- '%APPDATA%\minerz\explorer.exe' /pid=4452
- '%APPDATA%\minerz\explorer.exe' /pid=4048
- '%APPDATA%\minerz\explorer.exe' /pid=4316
- '%APPDATA%\minerz\explorer.exe' /pid=4580
- '%APPDATA%\minerz\explorer.exe' /pid=3848
- '%APPDATA%\minerz\explorer.exe' /pid=6080
- '%APPDATA%\minerz\explorer.exe' /pid=1376
- '%APPDATA%\minerz\explorer.exe' /pid=4520
- '%APPDATA%\minerz\explorer.exe' /pid=2844
- '%APPDATA%\minerz\explorer.exe' /pid=4680
- '%APPDATA%\minerz\explorer.exe' /pid=5892
- '%APPDATA%\minerz\explorer.exe' /pid=5280
- '%APPDATA%\minerz\explorer.exe' /pid=5232
- '%APPDATA%\minerz\explorer.exe' /pid=4296
- '%APPDATA%\minerz\explorer.exe' /pid=5112
- '%APPDATA%\minerz\explorer.exe' /pid=5600
- '%APPDATA%\minerz\explorer.exe' /pid=4972
- '%APPDATA%\minerz\explorer.exe' /pid=6012
- '%APPDATA%\minerz\explorer.exe' /pid=5332
- '%APPDATA%\minerz\explorer.exe' /pid=2856
- '%APPDATA%\minerz\explorer.exe' /pid=3860
- '%APPDATA%\minerz\explorer.exe' /pid=4952
- '%APPDATA%\minerz\explorer.exe' /pid=2548
- '%APPDATA%\minerz\explorer.exe' /pid=4700
- '%APPDATA%\minerz\explorer.exe' /pid=5992
- '%APPDATA%\minerz\explorer.exe' /pid=4752
- '%APPDATA%\minerz\explorer.exe' /pid=5832
- '%APPDATA%\minerz\explorer.exe' /pid=5092
- '%APPDATA%\minerz\explorer.exe' /pid=4188
- '%APPDATA%\minerz\explorer.exe' /pid=1724
- '%APPDATA%\minerz\explorer.exe' /pid=5792
- '%APPDATA%\minerz\explorer.exe' /pid=4940
- '%APPDATA%\minerz\explorer.exe' /pid=2956
- '%APPDATA%\minerz\explorer.exe' /pid=4148
- '%APPDATA%\minerz\explorer.exe' /pid=4040
- '%APPDATA%\minerz\explorer.exe' /pid=3740
- '%APPDATA%\minerz\explorer.exe' /pid=4552
- '%APPDATA%\minerz\explorer.exe' /pid=3688
- '%APPDATA%\minerz\explorer.exe' /pid=6140
- '%APPDATA%\minerz\explorer.exe' /pid=5180
- '%APPDATA%\minerz\explorer.exe' /pid=2868
- '%APPDATA%\minerz\explorer.exe' /pid=3240
- '%APPDATA%\minerz\explorer.exe' /pid=4920
- '%APPDATA%\minerz\explorer.exe' /pid=5072
- '%APPDATA%\minerz\explorer.exe' -a scrypt -g no -o http://23.##.75.30:8332 -u Chronine.pool -p pool -t 2
- '%APPDATA%\minerz\explorer.exe' /pid=4900
- '%APPDATA%\minerz\explorer.exe' /pid=4500
- '%APPDATA%\minerz\explorer.exe' /pid=2596
- '%APPDATA%\minerz\explorer.exe' /pid=6136
- '%APPDATA%\minerz\explorer.exe' /pid=4088
- '%APPDATA%\minerz\explorer.exe' /pid=920
- '%APPDATA%\minerz\explorer.exe' /pid=3460
- '%APPDATA%\minerz\explorer.exe' /pid=4060
- '%APPDATA%\minerz\explorer.exe' /pid=3988
- '%APPDATA%\minerz\explorer.exe' /pid=4960
- '%APPDATA%\minerz\explorer.exe' /pid=3940
- '%APPDATA%\minerz\explorer.exe' /pid=3840
- '%APPDATA%\minerz\explorer.exe' /pid=4472
- '%APPDATA%\minerz\explorer.exe' /pid=5040
- '%APPDATA%\minerz\explorer.exe' /pid=3120
- '%APPDATA%\minerz\explorer.exe' /pid=2908
- '%APPDATA%\minerz\explorer.exe' /pid=4600
- '%APPDATA%\minerz\explorer.exe' /pid=4196
- '%APPDATA%\minerz\explorer.exe' /pid=4992
- '%APPDATA%\minerz\explorer.exe' /pid=3108
- '%APPDATA%\minerz\explorer.exe' /pid=2720
- '%APPDATA%\minerz\explorer.exe' /pid=4176
- '%APPDATA%\minerz\explorer.exe' /pid=5692
- '%APPDATA%\minerz\explorer.exe' /pid=5612
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
- '%APPDATA%\minerz\explorer.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' /pid=1724
- '<SYSTEM32>\attrib.exe' -s -h %APPDATA%\minerz
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\minerz\phatk.cl
- %APPDATA%\minerz\miner.dll
- %APPDATA%\minerz\usft_ext.dll
- %APPDATA%\minerz\phatk.ptx
- %APPDATA%\minerz\coinutil.dll
- %APPDATA%\minerz\bdb.dll
- %APPDATA%\minerz\explorer.exe
- %APPDATA%\minerz\btc-evergreen.il
- %APPDATA%\minerz\btc.il
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\minerz\stacyXXX.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/sov1001/miner.dll
- 19#.#0.57.179/sov1001/coinutil.dll
- 19#.#0.57.179/sov1001/phatk.cl
- 19#.#0.57.179/sov1001/usft_ext.dll
- 19#.#0.57.179/sov1001/phatk.ptx
- 19#.#0.57.179/sov1001/coin-miner.exe
- wp#d/wpad.dat
- 19#.#0.57.179/sov1001/bdb.dll
- 19#.#0.57.179/sov1001/btc-evergreen.il
- 19#.#0.57.179/sov1001/btc.il
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
