Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\xmr_startup.bat
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\xxx] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\xxx] 'ImagePath' = '%WINDIR%\xmr\nssm.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\xmr\WinRing0x64.sys'
Создает следующие сервисы
- 'xxx' %WINDIR%\xmr\nssm.exe
- 'WinRing0_1_2_0' %WINDIR%\xmr\WinRing0x64.sys
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei34042\vcruntime140.dll
- %TEMP%\_mei34042\vcruntime140_1.dll
- %TEMP%\_mei34042\_asyncio.pyd
- %TEMP%\_mei34042\_bz2.pyd
- %TEMP%\_mei34042\_ctypes.pyd
- %TEMP%\_mei34042\_decimal.pyd
- %TEMP%\_mei34042\_hashlib.pyd
- %TEMP%\_mei34042\_lzma.pyd
- %TEMP%\_mei34042\_multiprocessing.pyd
- %TEMP%\_mei34042\_overlapped.pyd
- %TEMP%\_mei34042\_queue.pyd
- %TEMP%\_mei34042\_socket.pyd
- %TEMP%\_mei34042\_ssl.pyd
- %TEMP%\_mei34042\_wmi.pyd
- %TEMP%\_mei34042\base_library.zip
- %TEMP%\_mei34042\certifi\cacert.pem
- %TEMP%\_mei34042\charset_normalizer\md.cp312-win_amd64.pyd
- %TEMP%\_mei34042\charset_normalizer\md__mypyc.cp312-win_amd64.pyd
- %TEMP%\_mei34042\libcrypto-3.dll
- %TEMP%\_mei34042\libffi-8.dll
- %TEMP%\_mei34042\libssl-3.dll
- %TEMP%\_mei34042\pyexpat.pyd
- %TEMP%\_mei34042\python312.dll
- %TEMP%\_mei34042\pywin32_system32\pywintypes312.dll
- %TEMP%\_mei34042\select.pyd
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\installer
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\license
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\metadata
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\record
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\wheel
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\top_level.txt
- %TEMP%\_mei34042\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei34042\unicodedata.pyd
- %TEMP%\_mei34042\win32\_win32sysloader.pyd
- %TEMP%\_mei34042\win32\perfmon.pyd
- %TEMP%\_mei34042\win32\servicemanager.pyd
- %TEMP%\_mei34042\win32\win32api.pyd
- %TEMP%\_mei34042\win32\win32evtlog.pyd
- %TEMP%\_mei34042\win32\win32gui.pyd
- %TEMP%\_mei34042\win32\win32security.pyd
- %TEMP%\_mei34042\win32\win32service.pyd
- %WINDIR%\xmr\winring0x64.sys
- %WINDIR%\xmr\config.json
- %WINDIR%\xmr\xmrig.exe
- %WINDIR%\xmr\nssm.exe
- %TEMP%\delete_self.bat
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\xmr\winring0x64.sys
- %WINDIR%\xmr\config.json
- %WINDIR%\xmr\xmrig.exe
- %WINDIR%\xmr\nssm.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\xmr_startup.bat
Удаляет файлы, которые сам же создал
- %TEMP%\_mei34042\base_library.zip
- %TEMP%\_mei34042\certifi\cacert.pem
- %TEMP%\_mei34042\charset_normalizer\md.cp312-win_amd64.pyd
- %TEMP%\_mei34042\charset_normalizer\md__mypyc.cp312-win_amd64.pyd
- %TEMP%\_mei34042\libcrypto-3.dll
- %TEMP%\_mei34042\libffi-8.dll
- %TEMP%\_mei34042\libssl-3.dll
- %TEMP%\_mei34042\pyexpat.pyd
- %TEMP%\_mei34042\python312.dll
- %TEMP%\_mei34042\pywin32_system32\pywintypes312.dll
- %TEMP%\_mei34042\select.pyd
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\installer
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\license
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\metadata
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\record
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\top_level.txt
- %TEMP%\_mei34042\setuptools\_vendor\importlib_metadata-8.0.0.dist-info\wheel
- %TEMP%\_mei34042\setuptools\_vendor\jaraco\text\lorem ipsum.txt
- %TEMP%\_mei34042\unicodedata.pyd
- %TEMP%\_mei34042\vcruntime140.dll
- %TEMP%\_mei34042\vcruntime140_1.dll
- %TEMP%\_mei34042\win32\perfmon.pyd
- %TEMP%\_mei34042\win32\servicemanager.pyd
- %TEMP%\_mei34042\win32\win32api.pyd
- %TEMP%\_mei34042\win32\win32evtlog.pyd
- %TEMP%\_mei34042\win32\win32gui.pyd
- %TEMP%\_mei34042\win32\win32security.pyd
- %TEMP%\_mei34042\win32\win32service.pyd
- %TEMP%\_mei34042\win32\_win32sysloader.pyd
- %TEMP%\_mei34042\_asyncio.pyd
- %TEMP%\_mei34042\_bz2.pyd
- %TEMP%\_mei34042\_ctypes.pyd
- %TEMP%\_mei34042\_decimal.pyd
- %TEMP%\_mei34042\_hashlib.pyd
- %TEMP%\_mei34042\_lzma.pyd
- %TEMP%\_mei34042\_multiprocessing.pyd
- %TEMP%\_mei34042\_overlapped.pyd
- %TEMP%\_mei34042\_queue.pyd
- %TEMP%\_mei34042\_socket.pyd
- %TEMP%\_mei34042\_ssl.pyd
- %TEMP%\_mei34042\_wmi.pyd
Сетевая активность
Подключается к
- '47.##.78.193':9001
- 'mo#####.map.fastly.net':443
- 'au##.c3pool.org':80
TCP
Запросы HTTP GET
- http://47.##.78.193:9001/amin/nssm.exe via 47.##.78.193
Другие
- 'au##.c3pool.org':80
UDP
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK au##.c3pool.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\xmr\nssm.exe' install xxx %WINDIR%\xmr\xmrig.exe --config=%WINDIR%\xmr\config.json
- '%WINDIR%\xmr\nssm.exe' set xxx AppDirectory %WINDIR%\xmr
- '%WINDIR%\xmr\nssm.exe' set xxx AppPriority BELOW_NORMAL_PRIORITY_CLASS
- '%WINDIR%\xmr\nssm.exe' set xxx Description "Windows Update Helper"
- '%WINDIR%\xmr\nssm.exe'
- '%WINDIR%\xmr\xmrig.exe' --config=%WINDIR%\xmr\config.json
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "tasklist /fi "imagename eq xmrig.exe"" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /fi "imagename eq xmrig.exe"
- '<SYSTEM32>\cmd.exe' /c "attrib +s +h "%WINDIR%\xmr"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +s +h "%WINDIR%\xmr"
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\xmr\nssm.exe install xxx %WINDIR%\xmr\xmrig.exe --config=%WINDIR%\xmr\config.json" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\xmr\nssm.exe set xxx AppDirectory %WINDIR%\xmr" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\xmr\nssm.exe set xxx AppPriority BELOW_NORMAL_PRIORITY_CLASS" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\xmr\nssm.exe set xxx Description "Windows Update Helper"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "attrib +s +h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\xmr_startup.bat"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +s +h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\xmr_startup.bat"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\delete_self.bat" (со скрытым окном)
- '<SYSTEM32>\timeout.exe' /t 3 /nobreak
