Trojan.BtcMine.3744

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\cz8b7ea9nibii25xkn
<SYSTEM32>\tasks\oracle corporation

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im atom.exe /f

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dialer.exe
<SYSTEM32>\schtasks.exe
<SYSTEM32>\powercfg.exe
<SYSTEM32>\windowspowershell\v1.0\powershell.exe
<SYSTEM32>\conhost.exe
<SYSTEM32>\cmd.exe
<SYSTEM32>\sppsvc.exe
<SYSTEM32>\wudfhost.exe
<SYSTEM32>\choice.exe
%WINDIR%\explorer.exe
<SYSTEM32>\taskhost.exe
<SYSTEM32>\spoolsv.exe
<SYSTEM32>\svchost.exe
<SYSTEM32>\lsm.exe
<SYSTEM32>\lsass.exe
<SYSTEM32>\services.exe
<SYSTEM32>\winlogon.exe
<SYSTEM32>\dwm.exe
<SYSTEM32>\taskeng.exe

следующие пользовательские процессы:

firefox.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль advapi32.dll

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsw1ad1.tmp
%APPDATA%\atom.exe
%APPDATA%\java.exe
%ALLUSERSPROFILE%\{6lexrzey-35hi-xy4t-nql7pbn3t639}\iexplore.exe
%APPDATA%\super-mario-forever-v702e.exe
%TEMP%\lroirsmwviss.tmp
%APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\atom.exe
%APPDATA%\java.exe
%APPDATA%\super-mario-forever-v702e.exe

Удаляет следующие файлы

%TEMP%\lroirsmwviss.tmp

Изменяет файл HOSTS.

Сетевая активность

Подключается к

'si######gion.duckdns.org':80

TCP

Запросы HTTP POST

http://si######gion.duckdns.org/gate/connection.php
http://si######gion.duckdns.org/gate/config.php
http://si######gion.duckdns.org/gate/update.php

UDP

DNS ASK si######gion.duckdns.org

Другое

Ищет следующие окна

ClassName: '' WindowName: ''
ClassName: 'InstItClass' WindowName: ''

Создает и запускает на исполнение

'%APPDATA%\atom.exe'
'%ALLUSERSPROFILE%\{6lexrzey-35hi-xy4t-nql7pbn3t639}\iexplore.exe'
'%APPDATA%\java.exe'
'%APPDATA%\super-mario-forever-v702e.exe'
'%APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe'
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#pihyngqey#> IF([System.Environment]::OSVersion.Version -lt [System.Version]"6.2") { schtasks /create /f /sc onlogon /rl highest /tn 'Oracle Corporation' /tr '''%APPDATA%\dialer_JavaApps\jre1...

Запускает на исполнение

'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\schtasks.exe' /run /tn "Oracle Corporation"
'<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Oracle Corporation" /tr '%APPDATA%\dialer_JavaApps\jre1.8.0_341\bin\dialer_java.exe'
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
'<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#pihyngqey#> IF([System.Environment]::OSVersion.Version -lt [System.Version]"6.2") { schtasks /create /f /sc onlogon /rl highest /tn 'Oracle Corporation' /tr '''%APPDATA%\dialer_JavaApps\jre1...
'<SYSTEM32>\taskeng.exe' {984F0235-4E69-438F-A624-9AEDD9AC0AB1} S-1-5-21-3691498038-2086406363-2140527554-1000:wtvalkgwvool\user:Interactive:[1]
'<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
'<SYSTEM32>\sc.exe' stop dosvc
'<SYSTEM32>\sc.exe' stop bits
'<SYSTEM32>\sc.exe' stop wuauserv
'<SYSTEM32>\sc.exe' stop WaaSMedicSvc
'<SYSTEM32>\sc.exe' stop UsoSvc
'<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im atom.exe /f & erase ГГ®ГёГѕ\user\AppData\Roaming\atom.exe & exit (со скрытым окном)
'%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 15 /TN "CZ8B7EA9NIBII25XKN" /TR "%ALLUSERSPROFILE%\{6LEXRZEY-35HI-XY4T-NQL7PBN3T639}\iexplore.exe" /F (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "%APPDATA%\java.exe"
'<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
'%ALLUSERSPROFILE%\{6lexrzey-35hi-xy4t-nql7pbn3t639}\iexplore.exe' (со скрытым окном)
'%APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe' (со скрытым окном)