Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Systemwica] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\3076\sc.exe' stop WintTapiuxw
- '<SYSTEM32>\3076\sc.exe' delete WintTapiuxe
- '<SYSTEM32>\3076\sc.exe' delete WintTapiuxw
- '<SYSTEM32>\3076\sc.exe' delete WintTapiuxv
- '<SYSTEM32>\3076\sc.exe' stop WintTapiuxv
- '<SYSTEM32>\3076\sc.exe' delete Systemwix
- '<SYSTEM32>\3076\sc.exe' stop Systemwix
- '<SYSTEM32>\3076\sc.exe' stop WintTapiux
- '<SYSTEM32>\3076\sc.exe' stop WintTapiuxe
- '<SYSTEM32>\3076\sc.exe' delete WintTapiux
- '<SYSTEM32>\3076\sc.exe' stop Systemwic
- '<SYSTEM32>\3076\sc.exe' description Systemwica "Do xport The Makefiles "
- '<SYSTEM32>\3076\sc.exe' config Systemwica start= auto
- '<SYSTEM32>\3076\sc.exe' start Systemwica
- '<SYSTEM32>\3076\minerd.exe' -a heavy -v 1024 -o stratum+tcp://hvcpool.1gh.com:5333 -u HL6WAk7P8wBAiocA5NUwXVQTyeu3kQyL2n -p x
- '<SYSTEM32>\3076\csrss.exe'
- '<SYSTEM32>\3076\sc.exe' stop Systemwicc
- '<SYSTEM32>\3076\sc.exe' delete Systemwic
- '<SYSTEM32>\3076\sc.exe' delete Systemwicc
- '<SYSTEM32>\3076\instsrv.exe' Systemwica <SYSTEM32>\3076\csrss.exe
- '<SYSTEM32>\3076\instsrv.exe' Systemwica remove
- '<SYSTEM32>\3076\sc.exe' delete WintTapius
- '<SYSTEM32>\3076\sc.exe' stop Systemwinerl
- '<SYSTEM32>\3076\sc.exe' delete WintTapiars
- '<SYSTEM32>\3076\sc.exe' delete Systemwinerl
- '<SYSTEM32>\3076\sc.exe' delete WintTapiarnsc
- '<SYSTEM32>\3076\sc.exe' stop WintTapiarsn
- '<SYSTEM32>\3076\sc.exe' delete Systemwinere
- '<SYSTEM32>\3076\sc.exe' stop Systemwinere
- '<SYSTEM32>\3076\sc.exe' stop WintTapiar
- '<SYSTEM32>\3076\sc.exe' stop WintTapiars
- '<SYSTEM32>\3076\sc.exe' delete WintTapiar
- '<SYSTEM32>\3076\sc.exe' stop Systemwinerm
- '<SYSTEM32>\3076\sc.exe' delete WintTapiavx
- '<SYSTEM32>\3076\sc.exe' stop WintTapiavx
- '<SYSTEM32>\3076\sc.exe' stop Systemwia
- '<SYSTEM32>\3076\sc.exe' stop WintTapius
- '<SYSTEM32>\3076\sc.exe' delete Systemwia
- '<SYSTEM32>\3076\sc.exe' stop WintTapiarn
- '<SYSTEM32>\3076\sc.exe' delete Systemwinerm
- '<SYSTEM32>\3076\sc.exe' delete WintTapiarn
- '<SYSTEM32>\3076\sc.exe' delete WintTapiav
- '<SYSTEM32>\3076\sc.exe' stop WintTapiav
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop Systemwica
- '<SYSTEM32>\net1.exe' stop Systemwica
- '<SYSTEM32>\attrib.exe' +s +r +h instsrv.exe
- '<SYSTEM32>\attrib.exe' +s +r +h sc.exe
- '<SYSTEM32>\attrib.exe' +s +r +h <SYSTEM32>\3076\instsrv.exe
- '<SYSTEM32>\ping.exe' -n 2 127.1
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\3076\xcc4.bat
- '<SYSTEM32>\attrib.exe' +s +r +h <SYSTEM32>\3076\csrss.exe
- '%WINDIR%\regedit.exe' /s sh.reg
- '<SYSTEM32>\attrib.exe' +s +r +h csrss.exe
- '<SYSTEM32>\taskkill.exe' /f /im smssz.exe
- '<SYSTEM32>\taskkill.exe' /f /im minerd.exe
- '<SYSTEM32>\cmd.exe' /c ""<SYSTEM32>\3076\ys.bat" "
- '<SYSTEM32>\taskkill.exe' /f /im mecoind.exe
- '<SYSTEM32>\taskkill.exe' /f /im meciond.exe
- '<SYSTEM32>\ping.exe' -n 3 127.1
- '<SYSTEM32>\attrib.exe' +s +r +h lsass.exe
- '<SYSTEM32>\taskkill.exe' /f /im smszs.exe
- '<SYSTEM32>\taskkill.exe' /f /im const.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\3076\sh.reg
- <SYSTEM32>\3076\sc.exe
- <SYSTEM32>\3076\pthreadGC2.dll
- <SYSTEM32>\3076\ssleay32.dll
- <SYSTEM32>\3076\zlib1.dll
- <SYSTEM32>\3076\ys.bat
- <SYSTEM32>\3076\xcc4.bat
- <SYSTEM32>\3076\libcurl.dll
- <SYSTEM32>\3076\instsrv.exe
- <SYSTEM32>\3076\csrss.exe
- <SYSTEM32>\3076\libeay32.dll
- <SYSTEM32>\3076\minerd.exe
- <SYSTEM32>\3076\libidn-11.dll
- <SYSTEM32>\3076\libgcc_s_dw2-1.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\3076\sc.exe
- <SYSTEM32>\3076\instsrv.exe
- <SYSTEM32>\3076\csrss.exe
Удаляет следующие файлы:
- <SYSTEM32>\3076\sh.reg
Сетевая активность:
Подключается к:
- 'hv###ol.1gh.com':5333
UDP:
- DNS ASK hv###ol.1gh.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
