Analysé par: John Donnie Celestre   
 Plate-forme:

Windows

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 System Impact Rating: :
 Information Exposure Rating::
Faible
Medium
Élevé
Critique

  • Type de grayware:
    Coinminer

  • Destructif:
    Non

  • Chiffrement:
    Oui

  • In the wild::
    Oui

  Overview

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

  Détails techniques

File size: 14,109 bytes
Memory resident: Oui
Date de réception des premiers échantillons: 10 janvier 2019

Installation

Fügt die folgenden Prozesse hinzu:

  • findstr.exe /i /m /c:cryptonight c:\windows\explorer.exe;
  • netsh.exe ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445;
  • netsh.exe ipsec static add filteraction name=block action=block;
  • netsh.exe ipsec static add filterlist name=block;
  • netsh.exe ipsec static add policy name=netbc;
  • netsh.exe ipsec static add rule name=block policy=netbc filterlist=block filteraction=block;
  • netsh.exe ipsec static set policy name=netbc assign=y;
  • NETSTAT.EXE -anop tcp;
  • powercfg.exe /CHANGE -hibernate-timeout-ac 0;
  • powercfg.exe /CHANGE -standby-timeout-ac 0;
  • powershell.exe -NoP -NonI -W Hidden -E {base64 encoded data}==;
  • powershell.exe -NoP -NonI -W Hidden "$mon = ([WmiClass] 'root\default:System_Anti_Virus_Core').Properties['mon'].Value;$funs = ([WmiClass] 'root\default:System_Anti_Virus_Core').Properties['funs'].Value ;iex ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String($funs)));Invoke-Command -ScriptBlock $RemoteScriptBlock -ArgumentList @($mon, $mon, 'Void', 0, '', '')";
  • schtasks.exe /delete /tn yastcat /f;

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\IPSec
OperationMode = 3

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

  • http://111.{BLOCKED}.{BLOCKED}.149/antivirus.ps1
  • http://111.{BLOCKED}.{BLOCKED}.149/logos.png
  • http://111.{BLOCKED}.{BLOCKED}.149/ver.txt
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/antivirus.ps1
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/logos.png
  • http://update.win{BLOCKED}fender{BLOCKED}st.com/ver.txt

Anschließend werden die heruntergeladenen Dateien ausgeführt. Dadurch können die bösartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

  Solutions

Moteur de scan minimum: 9.850
First VSAPI Pattern File: 14.743.00
First VSAPI Pattern Release Date: 09 janvier 2019
VSAPI OPR Pattern Version: 14.743.00
VSAPI OPR Pattern Release Date: 10 janvier 2019

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Im abgesicherten Modus neu starten

[ learnMore ]

Step 4

Hinzugefügte Auftragsdatei löschen:

  1. Klicken Sie auf 'Start>Programme>Zubehör>Systemprogramme>Geplante Tasks'
  2. Doppelklicken Sie auf eine Auftragsdatei.
  3. Überprüfen Sie, ob sich Pfadangabe und Dateiname der Malware im Feld 'Ausführen:' befinden.
  4. Falls dies der Fall ist, löschen Sie die Auftragsdatei.
  5. Wiederholen Sie die Schritte 2-4 für die verbleibenden Auftragsdateien.

Step 5

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als Coinminer.PS1.MALXMR.AD entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.


Participez à notre enquête!