Trojan.KillProc.29953

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\WindowsUpdate.lnk

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\WindowsUpdate\wincfg32.exe' -a sha256 -o stratum+tcp://91.203.145.33:9229 -u CRNJEUFU_gpuv1 -p PASSWORD -T 90 -A v1gpu -t 0 -I 8
'%APPDATA%\WindowsUpdate\rundll.exe' -a sha256 -o stratum+tcp://91.203.145.33:9229 -u CRNJEUFU_cpuv1_2 -p PASSWORD -g no -T 90 -A v1cpu -t 2
'%TEMP%\hotfix\setups.exe'

Запускает на исполнение:

'<SYSTEM32>\taskkill.exe' /im "rundll.exe"
'<SYSTEM32>\taskkill.exe' /f /im "wincfg32.exe"
'<SYSTEM32>\taskkill.exe' /f /im "cscript.exe"
'<SYSTEM32>\taskkill.exe' /im rundll.exe
'<SYSTEM32>\taskkill.exe' /im wincfg32.exe
'<SYSTEM32>\cscript.exe' ext_eng.vbe
'<SYSTEM32>\taskkill.exe' /im "coin-miner.exe"
'<SYSTEM32>\taskkill.exe' /im "PTsssSX.exe"
'<SYSTEM32>\wscript.exe' winstart.vbe
'<SYSTEM32>\taskkill.exe' /f /im "wscript.exe"
'<SYSTEM32>\attrib.exe' +h wincfg32.exe
'<SYSTEM32>\attrib.exe' +h rundll.exe

Завершает или пытается завершить

следующие системные процессы:

<SYSTEM32>\cscript.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.bat
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.010
%APPDATA%\WindowsUpdate\ext_eng.vbe
%APPDATA%\WindowsUpdate\coinutil.dll
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.009
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.006
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.005
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.008
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.007
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll.exe
%APPDATA%\WindowsUpdate\serials.txt
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\wincfg32.exe
%APPDATA%\WindowsUpdate\winstart.vbe
%APPDATA%\WindowsUpdate\openssl.dll
%APPDATA%\WindowsUpdate\miner.dll
%APPDATA%\WindowsUpdate\windowsprocess.bat
%APPDATA%\WindowsUpdate\usft_ext.dll
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.003
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.002
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.005
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.004
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.001
%APPDATA%\WindowsUpdate\phatk.cl
%TEMP%\hotfix\setups.exe
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.010
%APPDATA%\WindowsUpdate\phatk.ptx
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.002
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.001
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.004
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll32.exe.003
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.bat
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.007
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.006
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.009
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.exe.008

Присваивает атрибут 'скрытый' для следующих файлов:

%APPDATA%\WindowsUpdate\winstart.vbe
%APPDATA%\WindowsUpdate\windowsprocess.bat
%APPDATA%\WindowsUpdate\usft_ext.dll
%APPDATA%\WindowsUpdate\wincfg32.exe
%APPDATA%\WindowsUpdate\rundll.exe
%APPDATA%\WindowsUpdate\serials.txt
%APPDATA%\WindowsUpdate\openssl.dll
%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\explorer.bat
%APPDATA%\WindowsUpdate\phatk.ptx
%APPDATA%\WindowsUpdate\phatk.cl
%APPDATA%\WindowsUpdate\miner.dll
%APPDATA%\WindowsUpdate\ext_eng.vbe
%APPDATA%\WindowsUpdate\coinutil.dll

Перемещает следующие файлы:

%APPDATA%\WindowsUpdate\0FFK82-7783-2PO5-KK32-K9827JNM738\wincfg32.exe в %APPDATA%\WindowsUpdate\wincfg32.exe
%APPDATA%\WindowsUpdate\59382664-78BE-5589-5FG1-77FKGJ820\rundll.exe в %APPDATA%\WindowsUpdate\rundll.exe

Сетевая активность:

Подключается к: