Coinminer.Win64.MALXMR.TIAOODHW

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Ordner hinzu:

• %User Profile%\Windows Security
• %User Profile%\Windows Security\Update
• %User Profile%\AppData\Roaming\Google\Libs

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %User Profile%\AppData\Roaming\Google\Libs\g.log
• %User Profile%\Windows Security\Update\winsvrupd.exe → dropped copy of itself

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• %System%\WindowsPowerShell\v1.0\powershell.exe <#fwjcobfk#> {powershell command}
• "%System%\schtasks.exe" /create /f /sc onlogon /rl highest /tn GoogleUpdateTaskMachine /tr "'%User Profile%\Windows Security\Update\winsvrupd.exe'"
• %System%\WindowsPowerShell\v1.0\powershell.exe <#boaqiqu#> {powershell command}
• "%System%\schtasks.exe" /run /tn GoogleUpdateTaskMachine
• %System%\cmd.exe /c wmic PaTH Win32_VideoController GET Name, VideoProcessor > "%User Profile%\appData\Roaming\Google\Libs\g.log"
• wmic PaTH Win32_VideoController GET Name, VideoProcessor
• %System%\cmd.exe {encrypted strings}

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) and 10(64-bit).. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Injiziert Code in die folgenden Prozesse:

• cmd.exe

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Datendiebstahl

Folgende Daten werden gesammelt:

• System Information
• Video Processor

Andere Details

Es macht Folgendes:

• It checks if the current user has administrator privileges.
• It checks if the version of Windows is less than 6.2 (which corresponds to Windows 8).
• It creates a scheduled task.
  • Task Name: GoogleUpdateTaskMachine
  • Trigger: At log on
  • Action: "%User Profile%\Windows Security\Update\winsvrupd.exe"
• If scheduled task creation fails, it will create an autorun registry to execute its drop copy.
• Uses the embedded configuration for its coin mining routine:
  • Algo = rx/0
  • URL = 185.{BLOCKED}:5151 → used as mining pool
  • User = "{BLOCKED}BUvYC98"
  • Password = "x"
  • Cpu max threads hint = 20
  • Cinit version = "3.1.0"
  • Cinit id = "{BLOCKED}zfyp"
• Supported Algorithms:
  • cn
  • cn/0
  • cn/1
  • cn/2
  • cn/r
  • cn/fast
  • cn/half
  • cn/xao
  • cn/rto
  • cn/rwz
  • cn/zls
  • cn/double
  • cn/ccx
  • cn-lite
  • cn-lite/0
  • cn-lite/1
  • cn-heavy
  • cn-heavy/0
  • cn-heavy/tube
  • cn-heavy/xhv
  • cn-pico
  • cn-pico/tlo
  • cn/upx2
  • cn/gpu
  • rx
  • rx/0
  • rx/wow
  • rx/arq
  • rx/graft
  • rx/sfx
  • rx/keva
  • argon2
  • argon2/chukwa
  • argon2/chukwav2
  • argon2/ninja
  • kawpow