TROJ64_WMINE.A

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las carpetas siguientes:

• %Windows%\SpeechsTracing

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {E2088B81F-2A96-43E8-B9F522B}
• {E2077B81F-2A96-43E8-B9F522B}
• {E2066B81F-2A96-43E8-B9F522B}
• {E2044B81F-2A96-43E8-B9F522B}
• {5EC0AC33D-E23D-C8A2-A92C833}
• {CI59C45E-F19A-Z07C-565B17CO}
• {6B2089804-F412-CB72-7C027E6}
• {3EC1AC33D-E55D-C8A2-A92C822}
• {N33821F9E-F215-34AA-721269D}
• {F86E2D648-EF7B-6054-D43FC41}

Rutina de infiltración

Infiltra los archivos siguientes:

• %System%\HalPluginsServices.dll - coinminer component, obtained from the file %System%\EnrollCertXaml.dll
• %Windows%\SpeechsTracing\spoolsv.exe - component used for propagation, obtained from the file %System%\EnrollCertXaml.dll
• %System%\SmssServices.exe - coinminer component, obtained from the file %System%\EnrollCertXaml.dll
• %System%\WMASTrace.ini

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{domain name}/testing.php?mac={mac address}&ip={ip address}&host={computer name}&tick={value}&os={os version}&cpu={cpu}&gpu={gpu}
• http://{domain name}/found.php?mac={mac address}&ip={ip address}&host={computer name}&tick={value}&os={os version}&cpu={cpu}&{string}
• {domain name}:8080

Requiere los componentes adicionales siguientes para ejecutarse correctamente:

• %System%\EnrollCertXaml.dll - configuration file, may contain the following data:
  • C&C URLs including {domain name}
  • Coinminer files and arguments
  • Files required for Eternalblue-Doublepulsar exploit

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).