Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\x86.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\Users\Default\AppData\Local\vcredist_x86.exe' -a m7mhash -o stratum+tcp://mine2.magi.nonce-pool.com:4090 -u nskythe.2 -p x -t 1
- 'C:\Users\Default\AppData\Local\x86.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\ztmp\t13272.bat" "C:\Users\Default\AppData\Local\x86.exe" "
Изменения в файловой системе:
Создает следующие файлы:
- C:\Users\Default\AppData\Local\cygssh2-1.dll
- C:\Users\Default\AppData\Local\cygssl-1.0.0.dll
- C:\Users\Default\AppData\Local\cygsasl2-3.dll
- C:\Users\Default\AppData\Local\cyglber-2-4-2.dll
- C:\Users\Default\AppData\Local\cygldap-2-4-2.dll
- C:\Users\Default\AppData\Local\cygstdc++-6.dll
- %TEMP%\ztmp\t13272.bat
- %TEMP%\ztmp\t13325.exe
- C:\Users\Default\AppData\Local\vcredist_x86.exe
- C:\Users\Default\AppData\Local\cygwin1.dll
- C:\Users\Default\AppData\Local\cygz.dll
- C:\Users\Default\AppData\Local\cygkrb5support-0.dll
- C:\Users\Default\AppData\Local\cyggcc_s-1.dll
- C:\Users\Default\AppData\Local\cyggmp-10.dll
- C:\Users\Default\AppData\Local\cygcrypto-1.0.0.dll
- C:\Users\Default\AppData\Local\x86.exe
- C:\Users\Default\AppData\Local\cygcom_err-2.dll
- C:\Users\Default\AppData\Local\cyggssapi_krb5-2.dll
- C:\Users\Default\AppData\Local\cygk5crypto-3.dll
- C:\Users\Default\AppData\Local\cygkrb5-3.dll
- C:\Users\Default\AppData\Local\cygintl-8.dll
- C:\Users\Default\AppData\Local\cygiconv-2.dll
- C:\Users\Default\AppData\Local\cygidn-11.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Users\Default\AppData\Local\cygsasl2-3.dll
- C:\Users\Default\AppData\Local\cygssh2-1.dll
- C:\Users\Default\AppData\Local\cygldap-2-4-2.dll
- C:\Users\Default\AppData\Local\cygkrb5support-0.dll
- C:\Users\Default\AppData\Local\cyglber-2-4-2.dll
- C:\Users\Default\AppData\Local\cygz.dll
- C:\Users\Default\AppData\Local\vcredist_x86.exe
- C:\Users\Default\AppData\Local\cygwin1.dll
- C:\Users\Default\AppData\Local\cygssl-1.0.0.dll
- C:\Users\Default\AppData\Local\cygstdc++-6.dll
- C:\Users\Default\AppData\Local\cygkrb5-3.dll
- C:\Users\Default\AppData\Local\cyggcc_s-1.dll
- C:\Users\Default\AppData\Local\cyggmp-10.dll
- C:\Users\Default\AppData\Local\cygcrypto-1.0.0.dll
- C:\Users\Default\AppData\Local\x86.exe
- C:\Users\Default\AppData\Local\cygcom_err-2.dll
- C:\Users\Default\AppData\Local\cygintl-8.dll
- C:\Users\Default\AppData\Local\cygk5crypto-3.dll
- C:\Users\Default\AppData\Local\cygidn-11.dll
- C:\Users\Default\AppData\Local\cyggssapi_krb5-2.dll
- C:\Users\Default\AppData\Local\cygiconv-2.dll
Удаляет следующие файлы:
- %TEMP%\ztmp\t13325.exe
- %TEMP%\ztmp\t13272.bat
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
