Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Audio' = '%APPDATA%\Audio\AudioUpdate.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4268
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=2980
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5020
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4348
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3844
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5264
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5548
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6212
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6372
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6512
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6256
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5332
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=424
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5464
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5648
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6036
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5212
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5628
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5424
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3136
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4600
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=1208
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=2936
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5524
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4628
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4548
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4240
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3336
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6532
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6436
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6696
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6548
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6636
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=8032
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=8176
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=8172
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7336
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7252
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7592
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7360
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6728
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7180
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7020
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7056
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7072
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7216
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6912
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6568
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6732
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6748
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7716
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7956
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=8016
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7692
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7316
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7516
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=7676
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5836
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5996
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5344
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4720
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4620
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5184
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3364
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5180
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4168
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6028
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5324
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5444
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3228
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3612
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6128
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4848
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4648
- '%APPDATA%\Audio\AudioSpeaker.exe' -a sha256 -g no -o stratum.mining.eligius.st:3334 -u 18G7T7y49swTUSXLRUtirUF9UD2FyiKNhP -p x -t 2
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5048
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5068
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=784
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4068
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4420
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4220
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3200
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5028
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5168
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4148
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3752
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3100
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4928
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5748
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5848
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=832
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4740
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6056
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3064
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4140
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=2036
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3652
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5936
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=1484
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5556
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=6108
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3268
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3988
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4428
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4340
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=4200
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5856
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5636
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=5372
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=3744
- '%APPDATA%\Audio\AudioSpeaker.exe' /pid=400
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
- '%APPDATA%\Audio\AudioSpeaker.exe' (загружен из сети Интернет)
- '<SYSTEM32>\attrib.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' -a sha256 -g no -o stratum.mining.eligius.st:3334 -u 18G7T7y49swTUSXLRUtirUF9UD2FyiKNhP -p x -t 2
- '<SYSTEM32>\attrib.exe' -s -h %APPDATA%\Audio
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\attrib.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Audio\phatk.cl
- %APPDATA%\Audio\miner.dll
- %APPDATA%\Audio\usft_ext.dll
- %APPDATA%\Audio\phatk.ptx
- %APPDATA%\Audio\coinutil.dll
- %APPDATA%\Audio\bdb.dll
- %APPDATA%\Audio\AudioSpeaker.exe
- %APPDATA%\Audio\btc-evergreen.il
- %APPDATA%\Audio\btc.il
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\Audio\AudioUpdate.exe
Сетевая активность:
Подключается к:
- '19#.#3.167.160':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#3.167.160/sov1001/miner.dll
- 19#.#3.167.160/sov1001/coinutil.dll
- 19#.#3.167.160/sov1001/phatk.cl
- 19#.#3.167.160/sov1001/usft_ext.dll
- 19#.#3.167.160/sov1001/phatk.ptx
- 19#.#3.167.160/sov1001/coin-miner.exe
- wp#d/wpad.dat
- 19#.#3.167.160/sov1001/bdb.dll
- 19#.#3.167.160/sov1001/btc-evergreen.il
- 19#.#3.167.160/sov1001/btc.il
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
