Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Mining\coin-miner.exe' /pid=5060
- '%APPDATA%\Mining\coin-miner.exe' /pid=2480
- '%APPDATA%\Mining\coin-miner.exe' /pid=3688
- '%APPDATA%\Mining\coin-miner.exe' /pid=3640
- '%APPDATA%\Mining\coin-miner.exe' /pid=2840
- '%APPDATA%\Mining\coin-miner.exe' /pid=5220
- '%APPDATA%\Mining\coin-miner.exe' /pid=5012
- '%APPDATA%\Mining\coin-miner.exe' /pid=5560
- '%APPDATA%\Mining\coin-miner.exe' /pid=5984
- '%APPDATA%\Mining\coin-miner.exe' /pid=4428
- '%APPDATA%\Mining\coin-miner.exe' /pid=4932
- '%APPDATA%\Mining\coin-miner.exe' /pid=5380
- '%APPDATA%\Mining\coin-miner.exe' /pid=2496
- '%APPDATA%\Mining\coin-miner.exe' /pid=4756
- '%APPDATA%\Mining\coin-miner.exe' /pid=6096
- '%APPDATA%\Mining\coin-miner.exe' -a sha256 -o http://pa##############eyload:money2793@eu.triplemining.com:8344 -T 90 -l yes
- '%APPDATA%\Mining\coin-miner.exe' /pid=5040
- '%APPDATA%\Mining\coin-miner.exe' /pid=2560
- '%APPDATA%\Mining\coin-miner.exe' /pid=4040
- '%APPDATA%\Mining\coin-miner.exe' /pid=2524
- '%APPDATA%\Mining\coin-miner.exe' /pid=760
- '%APPDATA%\Mining\coin-miner.exe' /pid=4176
- '%APPDATA%\Mining\coin-miner.exe' /pid=5020
- '%APPDATA%\Mining\coin-miner.exe' (загружен из сети Интернет)
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Mining\coin-miner.exe
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\Mining\Mining.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/sil1002/UFA.exe
- wp#d/wpad.dat
UDP:
- DNS ASK wp#d
