Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\inteldriverupdate
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%LOCALAPPDATA%\Intel\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %LOCALAPPDATA%\Intel\WinRing0x64.sys
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\intel\xmrig.zip
- %LOCALAPPDATA%\intel\xmrig-6.22.0\benchmark_10m.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\benchmark_1m.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\config.json
- %LOCALAPPDATA%\intel\xmrig-6.22.0\pool_mine_example.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\rtm_ghostrider_example.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\sha256sums
- %LOCALAPPDATA%\intel\xmrig-6.22.0\solo_mine_example.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\start.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\winring0x64.sys
- %LOCALAPPDATA%\intel\xmrig-6.22.0\xmrig.exe
- %LOCALAPPDATA%\intel\syshost.exe
- %LOCALAPPDATA%\intel\config.json
- %LOCALAPPDATA%\intel\monitor.exe
- %LOCALAPPDATA%\intel\is_monitor.txt
- nul
- %LOCALAPPDATA%\intel\startup.bat
- %LOCALAPPDATA%\intel\delete.ps1
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\intel\startup.bat
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\intel\xmrig.zip
- %LOCALAPPDATA%\intel\xmrig-6.22.0\benchmark_10m.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\benchmark_1m.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\config.json
- %LOCALAPPDATA%\intel\xmrig-6.22.0\pool_mine_example.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\rtm_ghostrider_example.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\sha256sums
- %LOCALAPPDATA%\intel\xmrig-6.22.0\solo_mine_example.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\start.cmd
- %LOCALAPPDATA%\intel\xmrig-6.22.0\winring0x64.sys
- %LOCALAPPDATA%\intel\xmrig-6.22.0\xmrig.exe
- %LOCALAPPDATA%\intel\delete.ps1
Самоудаляется.
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
- 'gu##.##neroocean.stream':10128
TCP
Другие
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'gu##.##neroocean.stream':10128
UDP
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK gu##.##neroocean.stream
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "Expand-Archive -Path '%LOCALAPPDATA%\Intel\xmrig.zip' -DestinationPath '%LOCALAPPDATA%\Intel' -Force"
- '%LOCALAPPDATA%\intel\syshost.exe' --config="%LOCALAPPDATA%\Intel\config.json" --background
- '%LOCALAPPDATA%\intel\monitor.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -File "%LOCALAPPDATA%\Intel\delete.ps1"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -command "Expand-Archive -Path '%LOCALAPPDATA%\Intel\xmrig.zip' -DestinationPath '%LOCALAPPDATA%\Intel' -Force"
- '<SYSTEM32>\cmd.exe' /c schtasks /delete /tn "IntelDriverUpdate" /f 2>nul
- '<SYSTEM32>\schtasks.exe' /delete /tn "IntelDriverUpdate" /f
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "IntelDriverUpdate" /tr "\"%LOCALAPPDATA%\Intel\monitor.exe\"" /sc onlogon /delay 0001:00 /f
- '<SYSTEM32>\schtasks.exe' /create /tn "IntelDriverUpdate" /tr "\"%LOCALAPPDATA%\Intel\monitor.exe\"" /sc onlogon /delay 0001:00 /f
- '%LOCALAPPDATA%\intel\syshost.exe' --config="%LOCALAPPDATA%\Intel\config.json" --background (со скрытым окном)
- '%LOCALAPPDATA%\intel\monitor.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -File "%LOCALAPPDATA%\Intel\delete.ps1" (со скрытым окном)
