TROJ_WMINE.A

Anschließend werden die eingeschleusten Dateien ausgeführt. Dadurch können die bösartigen Routinen der eingeschleusten Dateien auf dem betroffenen System aktiv werden.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Erstellt die folgenden Ordner:

• %Windows%\SpeechsTracing

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {E2088B81F-2A96-43E8-B9F522B}
• {E2077B81F-2A96-43E8-B9F522B}
• {E2066B81F-2A96-43E8-B9F522B}
• {E2044B81F-2A96-43E8-B9F522B}
• {5EC0AC33D-E23D-C8A2-A92C833}
• {CI59C45E-F19A-Z07C-565B17CO}
• {6B2089804-F412-CB72-7C027E6}
• {3EC1AC33D-E55D-C8A2-A92C822}
• {N33821F9E-F215-34AA-721269D}
• {F86E2D648-EF7B-6054-D43FC41}

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\TasksHostServices.exe - coinminer component, obtained from the file %System%\EnrollCertXaml.dll
• %Windows%\SpeechsTracing\spoolsv.exe - component used for propagation, obtained from the file %System%\EnrollCertXaml.dll
• %System%\SmssServices.exe - coinminer component, obtained from the file %System%\EnrollCertXaml.dll
• %System%\WMASTrace.ini

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Anschließend werden die eingeschleusten Dateien ausgeführt. Dadurch können die bösartigen Routinen der eingeschleusten Dateien auf dem betroffenen System aktiv werden.

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{domain name}/jumping.php?mac={mac address}&ip={ip address}&host={computer name}&tick={value}&os={os version}&cpu={cpu}&gpu={gpu}
• http://{domain name}/found.php?mac={mac address}&ip={ip address}&host={computer name}&tick={value}&os={os version}&cpu={cpu}&{string}
• {domain name}:8080

Für ihre ordnungsgemäße Ausführung sind die folgenden zusätzlichen Komponenten erforderlich:

• %System%\EnrollCertXaml.dll - configuration file, may contain the following data:
  • C&C URLs including {domain name}
  • Coinminer files and arguments
  • Files required for Eternalblue-Doublepulsar exploit

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)