COINMINER.WIN32.ACRUXMR.A

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Temp%\winietsvc.exe
• %Application Data%\Half-Life\noconsole_launcher.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %AppData%\Microsoft\Windows Protect\xmrstak_cuda_backend.dll
• %AppData%\Microsoft\Windows Protect\xmrstak_opencl_backend.dll
• %AppData%\Microsoft\Windows Protect\msvcp140.dll
• %AppData%\Microsoft\Windows Protect\vcruntime140.dll
• %AppData%\Microsoft\Windows Protect\api-ms-win-crt-runtime-l1-1-0.dll

Erstellt die folgenden Ordner:

• %Application Data%\Half-Life

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• beyvebryivbrewiluygfrewiuyvgerwiuygvwre4ugfewhrethter

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSVCRuntime = %Application Data%\Half-Life\noconsole_launcher.exe

Verbreitung

Erstellt den folgenden Ordner auf allen Festplatten- und Wechsellaufwerken:

• {Drive}\UsbFixer

Durchsucht das Netzwerk nach den folgenden Freigabenetzwerken, um dort Eigenkopien einzuschleusen:

• porno_movie.mpeg.exe

Schleust folgende Kopien von sich selbst in alle physischen und Wechsellaufwerke ein:

• {Drive}\UsbFixer\UsbFixer.exe

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuführen, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

Verwendet den folgenden Dateinamen und das folgende Kennwort, um auf kennwortgeschützte Freigabelaufwerke zuzugreifen:

• Username:
  • admin
  • admins
  • administrator
  • amministratore
  • guest
  • root
  • owner
  • computer
• Password:
  • qwerty
  • awerty
  • 007
  • 123
  • 1234
  • 12345
  • 123456
  • 1234567
  • 12345678
  • 123456789
  • 1234567890
  • access
  • command
  • bob
  • billy
  • ibm
  • internet
  • winxp
  • bitch
  • data
  • database
  • home
  • server
  • login
  • loginpass
  • linux
  • pass
  • pass1234
  • win2000
  • win2k
  • win98
  • win95
  • winnt
  • winpass
  • root
  • web
  • user
  • test
  • pwd
  • qw
  • qwe
  • sex
  • sexy
  • oracle
  • mysql
  • nokia
  • siemens
  • sam
  • hell
  • intranet
  • internet
  • boss
  • hacker
  • system
  • 2006
  • 2005
  • 2004
  • 2000
  • aaa
  • abcd
  • 123abc
  • apollo13
  • apple
  • 777
  • 111
  • 911
  • abcde
  • testing
  • start
  • www

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• firefox.exe
• chrome.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Graphics
• Processor
• RAM
• AV products
• Architecture

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}taker.ru/getinfo.php?hwid={ID}&log={Botnet Status}
• http://{BLOCKED}taker.ru/getinfo.php?ftp=get
• http://{BLOCKED}taker.ru/cmd.php?getsettings=hello
• http://{BLOCKED}taker.ru/getinfo.php?error=con
• http://{BLOCKED}taker.ru/getinfo.php?/getinfo.php?statushwid={ID}&status=MINING
• http://{BLOCKED}taker.ru/getinfo.php?statushwid={ID}&status=DEAD
• http://{BLOCKED}taker.ru/cmd.php?stealer=rbteinuonbobnjoirtg
• http://{BLOCKED}taker.ru/getinfo.php?hwid={ID}&video={Video}&proc={PROCESSOR}&ram={RAM}&av={AV}&arch={Architecture}&version=3.2.1