Trojan.Miner.193

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\ZMWZFTJA] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ZMWZFTJA] 'ImagePath' = '%ALLUSERSPROFILE%\edlkfytfbgtm\inlbdxtdohal.exe'

Создает следующие сервисы

'ZMWZFTJA' %ALLUSERSPROFILE%\edlkfytfbgtm\inlbdxtdohal.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Журнал событий Windows (Windows Event Logging)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dialer.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\edlkfytfbgtm\inlbdxtdohal.exe
%WINDIR%\temp\__psscriptpolicytest_ifye5xfz.kjt.ps1
%WINDIR%\temp\__psscriptpolicytest_0dh0ptud.1fv.psm1
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-198.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-468.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-557.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-722.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-745.dump
%WINDIR%\temp\__psscriptpolicytest_b2mpfgcq.hm1.ps1
%WINDIR%\temp\__psscriptpolicytest_adtl1qik.ywu.psm1
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-929.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-53-958.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-006.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-145.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-244.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-324.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-435.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-465.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-515.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-564.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-617.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-646.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-54-672.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-55-082.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-55-129.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-55-164.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-55-202.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-55-218.dump
%WINDIR%\temp\content\2616-3432-powershell.exe-21-12-55-278.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
%WINDIR%\temp\wzqibttnleyw.sys

Удаляет файлы, которые сам же создал

%WINDIR%\temp\__psscriptpolicytest_ifye5xfz.kjt.ps1
%WINDIR%\temp\__psscriptpolicytest_0dh0ptud.1fv.psm1
%WINDIR%\temp\__psscriptpolicytest_b2mpfgcq.hm1.ps1
%WINDIR%\temp\__psscriptpolicytest_adtl1qik.ywu.psm1

Сетевая активность

UDP

DNS ASK po##.#upportxmr.com
DNS ASK 13#.###.thirdweb.com
DNS ASK en#####ts.omniatech.io
DNS ASK po####n.drpc.org

Другое

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\edlkfytfbgtm\inlbdxtdohal.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "ZMWZFTJA"
'<SYSTEM32>\sc.exe' create "ZMWZFTJA" binpath= "%ALLUSERSPROFILE%\edlkfytfbgtm\inlbdxtdohal.exe" start= "auto"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "ZMWZFTJA"