Analisado por: John Donnie Celestre   
 Plataforma:

Windows

 Classificao do risco total:
 Potencial de dano:
 Potencial de distribuição:
 infecção relatada:
 Impacto no sistema: :
 Exposição das informações:
Baixo
Medium
Alto
Crítico

  • Tipo de grayware:
    Coinminer

  • Destrutivo:
    Não

  • Criptografado:
    Sim

  • In the Wild:
    Sim

  Visão geral

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

  Detalhes técnicos

Tipo de compactação: 14,109 bytes
Residente na memória: Sim
Data de recebimento das amostras iniciais: 10 janeiro 2019

Installation

Fügt die folgenden Prozesse hinzu:

  • findstr.exe /i /m /c:cryptonight c:\windows\explorer.exe;
  • netsh.exe ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445;
  • netsh.exe ipsec static add filteraction name=block action=block;
  • netsh.exe ipsec static add filterlist name=block;
  • netsh.exe ipsec static add policy name=netbc;
  • netsh.exe ipsec static add rule name=block policy=netbc filterlist=block filteraction=block;
  • netsh.exe ipsec static set policy name=netbc assign=y;
  • NETSTAT.EXE -anop tcp;
  • powercfg.exe /CHANGE -hibernate-timeout-ac 0;
  • powercfg.exe /CHANGE -standby-timeout-ac 0;
  • powershell.exe -NoP -NonI -W Hidden -E {base64 encoded data}==;
  • powershell.exe -NoP -NonI -W Hidden "$mon = ([WmiClass] 'root\default:System_Anti_Virus_Core').Properties['mon'].Value;$funs = ([WmiClass] 'root\default:System_Anti_Virus_Core').Properties['funs'].Value ;iex ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String($funs)));Invoke-Command -ScriptBlock $RemoteScriptBlock -ArgumentList @($mon, $mon, 'Void', 0, '', '')";
  • schtasks.exe /delete /tn yastcat /f;

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\IPSec
OperationMode = 3

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

  • http://111.{BLOCKED}.{BLOCKED}.149/antivirus.ps1
  • http://111.{BLOCKED}.{BLOCKED}.149/logos.png
  • http://111.{BLOCKED}.{BLOCKED}.149/ver.txt
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/antivirus.ps1
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/logos.png
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/ver.txt

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

  Solução

Mecanismo de varredura mínima: 9.850
Primeiro arquivo padrão VSAPI: 14.743.00
Data do lançamento do primeiro padrão VSAPI: 09 janeiro 2019
VSAPI OPR Pattern Version: 14.743.00
VSAPI OPR Pattern veröffentlicht am: 10 janeiro 2019

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Im abgesicherten Modus neu starten

[ Saber mais ]

Step 4

Hinzugefügte Auftragsdatei löschen:

  1. Klicken Sie auf 'Start>Programme>Zubehör>Systemprogramme>Geplante Tasks'
  2. Doppelklicken Sie auf eine Auftragsdatei.
  3. Überprüfen Sie, ob sich Pfadangabe und Dateiname der Malware im Feld 'Ausführen:' befinden.
  4. Falls dies der Fall ist, löschen Sie die Auftragsdatei.
  5. Wiederholen Sie die Schritte 2-4 für die verbleibenden Auftragsdateien.

Step 5

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Coinminer.PS1.MALXMR.AD entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participe da nossa pesquisa!