Trojan.PS1.POWTRAN.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %System%\WindowsPowerShell\v1.0\WinRing0x64.sys ->Allows XMRig to boost mining capability
• %System%\mue.exe -> Detected as Coinminer.Win64.MALXMR.TDI

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• powercfg /CHANGE -standby-timeout-ac 0
• powercfg /CHANGE -hibernate-timeout-ac 0
• powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e 4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 000
• powershell -NoP -NonI -W Hidden -exec bypass `"`$fun={base-64 encoded script};`$defun=[System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String(`$fun));iex `$defun;iex ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('$EncodedScript'))) - For Windows 10
• powershell -NoP -NonI -W Hidden -exec bypass -E {base-64 encoded script} - For Windows 7
• netstat -anop tcp
• %System%\schtasks.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Injiziert Code in die folgenden Prozesse:

• %System%\schtasks.exe

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Dateien:

• %Temp%\gpt.ps1

(Hinweis: %Temp% ist der Windows Ordner für temporäre Dateien, normalerweise C:\Windows\Temp oder C:\WINNT\Temp.)

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• Processes that have an ESTABLISHED network connection via port 3333, 5555, 7777
• Processes that have an ESTABLISHED network connection via port 49636, 14444, 14433, 80, 443

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}.net/bannerl
• http://{BLOCKED}.net/sync
• https://raw.{BLOCKED}.com/{BLOCKED}up/master/domtar

Andere Details

Es macht Folgendes:

• It may connect to the following mining pool:
  • xmr-{BLOCKED}.org:14444
  • xmr-asia1.{BLOCKED}.org:14444
  • xmr-us-west1.{BLOCKED}.org:14444
  • xmr-us-east1.{BLOCKED}.org:14444
  • xmr-eu2.{BLOCKED}.org:14444
  • mine.{BLOCKED}.net:80
  • pool.{BLOCKED}.com:80
• It is capable of propagating in the local network via the following means:
  • Mimikatz