Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Java Update' = '"%TEMP%\Java(TM)\Java Update.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\Java(TM)\crs.exe' --scrypt -o stratum+tcp://us2.stratum.ltc.nushor.net:3333 -u ryanjh5521.worker1 -p Z5Pw5f74188m4O5
- '%TEMP%\Java(TM)\Java Update.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\Java(TM)\zlib1.dll
- %TEMP%\Java(TM)\diablo130302.cl
- %TEMP%\Java(TM)\pthreadGC2.dll
- %TEMP%\Java(TM)\libusb-1.0.dll
- %TEMP%\Java(TM)\pdcurses.dll
- %TEMP%\Java(TM)\diakgcn121016.cl
- %TEMP%\Java(TM)\miner.php
- %TEMP%\Java(TM)\Java Update.exe
- %TEMP%\Java(TM)\scrypt130511.cl
- %TEMP%\Java(TM)\phatk121016.cl
- %TEMP%\Java(TM)\poclbm130302.cl
- %TEMP%\Java(TM)\libblkmaker_jansson-0.1-0.dll
- %TEMP%\Java(TM)\libblkmaker-0.1-0.dll
- %TEMP%\Java(TM)\backtrace.dll
- %TEMP%\Java(TM)\crs.exe
- %TEMP%\Java(TM)\bfgminer-rpc.exe
- %TEMP%\Java(TM)\libcurl-4.dll
- %TEMP%\Java(TM)\libmicrohttpd-10.dll
- %TEMP%\Java(TM)\libplibc-1.dll
- %TEMP%\Java(TM)\libjansson-4.dll
- %TEMP%\Java(TM)\libevent-2-0-5.dll
- %TEMP%\Java(TM)\libhidapi-0.dll
Сетевая активность:
Подключается к:
- 'us#.####tum.ltc.nushor.net':3333
- 'localhost':49158
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK us#.####tum.ltc.nushor.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'Indicator' WindowName: '(null)'
