HKTL_BITMINE.SML

Installation

Fügt die folgenden Ordner hinzu:

• %AppDataLocal%\Math Problem Solver\cpu
• %User Temp%\ns{random characters 1}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %AppDataLocal%\Math Problem Solver\cpu\libcurl-4.dll
• %AppDataLocal%\Math Problem Solver\cpu\pthreadGC2.dll
• %AppDataLocal%\Math Problem Solver\cpu\Solve.exe
• %AppDataLocal%\Math Problem Solver\cpu\zlib1.dll
• %AppDataLocal%\Math Problem Solver\Uninstall.exe
• %Windows%\Tasks\Math Problem Solver CPU.job

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust folgende Komponentendateien ein:

• %User Temp%\ns{random characters 1}.tmp\CPUFeatures.dll - deleted afterwards
• %User Temp%\ns{random characters 1}.tmp\ns{random characters}.tmp - deleted afterwards
• %User Temp%\ns{random characters 1}.tmp\nsExec.dll - deleted afterwards
• %User Temp%\ns{random characters 1}.tmp\TaskHelper.dll
• %User Temp%\ns{random characters 1}.tmp\System.dll - deleted afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\ns{random characters 1}.tmp\power.bat - deleted afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Die zeitgesteuerte Aufgabe führt die Malware in folgenden Intervallen aus:

• %Windows%\Tasks\Math Problem Solver CPU.job - Runs when idle

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Control Panel\PowerCfg\
PowerPolicies\{next ID}
Description = "Optimized"

HKEY_CURRENT_USER\Control Panel\PowerCfg\
PowerPolicies\{next ID}
Name = "Optimized"

HKEY_CURRENT_USER\Control Panel\PowerCfg\
PowerPolicies\{next ID}
Policies = "{hex values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Controls Folder\
PowerCfg\PowerPolicies\{next ID}
Policies = "{hex value}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Controls Folder\
PowerCfg\ProcessorPolicies\{next ID}
Policies = "{hex value}"

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Math Problem Solver
DisplayName = "Math Problem Solver"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Math Problem Solver
DisplayIcon = "%AppDataLocal%\Math Problem Solver\Uninstall.ico"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Math Problem Solver
UninstallString = "%AppDataLocal%\Math Problem Solver\Uninstall.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Math Problem Solver
NoModify = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Math Problem Solver
NoRepair = 1

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://p2pltc.{BLOCKED}ine.org:9327/