TROJ_SHARIK.YUYMH

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\Microsoft\{Random 1}\{Random 2}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Application Data%\Microsoft\{Random 1}\{Random 1}
• %User Temp%\{Random 3}.tmp.exe -> will be moved and renamed as %AppDataLocal%\{Random 4}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %AppDataLocal%\{Random 4}.exe
• %User Temp%\{Random 5}.tmp\wuauclt.exe -> detected as Coinminer-TOOLETN.A-WIN32 (for 32 bit systems)
• %User Temp%\{Random 5}.tmp\wuauclt.exe -> detected as Coinminer-TOOLETN.A-WIN64 (for 64 bit systems)

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• explorer.exe
• "%User Temp%\{Random 5}.tmp\wuauclt.exe" -o stratum+tcp://etn-eu1.nanopool.org:13333 -u etnkQr8x5xY7PyUNi8jmxefg7YjQeceeGQgkmqZAyEofjVqR5GBp5ueHWDrrn87zHP8eew3ynA2pZN9zdL5a6rBs5BCgEaEpYu -p x --safe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\Microsoft\{Random 1}
• %User Temp%\{Random 5}.tmp

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• hashed computer name and volume serial number

Injiziert Threads in die folgenden normalen Prozesse:

• created explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{installed program name in the system} = "%Application Data%\Microsoft\{Random 1}\{Random 2}.exe"

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• Specific programs related to process and network monitoring, and debugging

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}ov.{BLOCKED}/15022018/
• {BLOCKED}.{BLOCKED}/15022018/