Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '<Имя вируса>' = '<Полный путь к вирусу>'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\cgminer.exe' --scrypt -o stratum+tcp://dogepool.net:4444 -u thewhitewox.1 -p x -I 9
- '%APPDATA%\cgminer.exe' --scrypt -o dogehouse.org:3333 -u ziux.bot -p password -I 18
- '%APPDATA%\cgminer.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\phatk121016[1].cl
- %APPDATA%\phatk121016.cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\poclbm130302[1].cl
- %APPDATA%\librtmp.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\libssh2[1].dll
- %APPDATA%\libssh2.dll
- %APPDATA%\poclbm130302.cl
- %APPDATA%\ssleay32.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\zlib[1].dll
- %APPDATA%\zlib.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\scrypt130511[1].cl
- %APPDATA%\scrypt130511.cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\ssleay32[1].dll
- %APPDATA%\diablo130302.cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\diakgcn121016[1].cl
- %APPDATA%\diakgcn121016.cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\cgminer[1].exe
- %APPDATA%\cgminer.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\diablo130302[1].cl
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\YPORKZYZ\libcurl-4[1].dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\libidn-11[1].dll
- %APPDATA%\libidn-11.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\2VAZY7AN\librtmp[1].dll
- %APPDATA%\libcurl-4.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\libeay32[1].dll
- %APPDATA%\libeay32.dll
Сетевая активность:
Подключается к:
- 'wh#####ner.no-ip.org':80
- 'localhost':1036
TCP:
Запросы HTTP GET:
- wh#####ner.no-ip.org/cgminer/poclbm130302.cl
- wh#####ner.no-ip.org/cgminer/phatk121016.cl
- wh#####ner.no-ip.org/cgminer/libssh2.dll
- wh#####ner.no-ip.org/cgminer/zlib.dll
- wh#####ner.no-ip.org/cgminer/ssleay32.dll
- wh#####ner.no-ip.org/cgminer/scrypt130511.cl
- wh#####ner.no-ip.org/cgminer/librtmp.dll
- wh#####ner.no-ip.org/cgminer/diakgcn121016.cl
- wh#####ner.no-ip.org/cgminer/diablo130302.cl
- wh#####ner.no-ip.org/cgminer/cgminer.exe
- wh#####ner.no-ip.org/cgminer/libidn-11.dll
- wh#####ner.no-ip.org/cgminer/libeay32.dll
- wh#####ner.no-ip.org/cgminer/libcurl-4.dll
UDP:
- DNS ASK wh#####ner.no-ip.org
