COINMINER.WIN32.ACRUXMR.A

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Temp%\winietsvc.exe
• %Application Data%\Half-Life\noconsole_launcher.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra los archivos siguientes:

• %AppData%\Microsoft\Windows Protect\xmrstak_cuda_backend.dll
• %AppData%\Microsoft\Windows Protect\xmrstak_opencl_backend.dll
• %AppData%\Microsoft\Windows Protect\msvcp140.dll
• %AppData%\Microsoft\Windows Protect\vcruntime140.dll
• %AppData%\Microsoft\Windows Protect\api-ms-win-crt-runtime-l1-1-0.dll

Crea las carpetas siguientes:

• %Application Data%\Half-Life

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• beyvebryivbrewiluygfrewiuyvgerwiuygvwre4ugfewhrethter

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSVCRuntime = %Application Data%\Half-Life\noconsole_launcher.exe

Propagación

Este malware crea la siguiente carpeta en todas las unidades físicas y extraíbles:

• {Drive}\UsbFixer

Busca en la red las siguientes redes compartidas en las que intenta crear copias de sí mismo:

• porno_movie.mpeg.exe

Este malware infiltra las siguientes copias de sí mismo en todas las unidades físicas y extraíbles:

• {Drive}\UsbFixer\UsbFixer.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• firefox.exe
• chrome.exe

Robo de información

Recopila los siguientes datos:

• Graphics
• Processor
• RAM
• AV products
• Architecture

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}taker.ru/getinfo.php?hwid={ID}&log={Botnet Status}
• http://{BLOCKED}taker.ru/getinfo.php?ftp=get
• http://{BLOCKED}taker.ru/cmd.php?getsettings=hello
• http://{BLOCKED}taker.ru/getinfo.php?error=con
• http://{BLOCKED}taker.ru/getinfo.php?/getinfo.php?statushwid={ID}&status=MINING
• http://{BLOCKED}taker.ru/getinfo.php?statushwid={ID}&status=DEAD
• http://{BLOCKED}taker.ru/cmd.php?stealer=rbteinuonbobnjoirtg
• http://{BLOCKED}taker.ru/getinfo.php?hwid={ID}&video={Video}&proc={PROCESSOR}&ram={RAM}&av={AV}&arch={Architecture}&version=3.2.1