Author: Joshua John Bantayan   
 

Win64:CoinminerX-gen [Trj] (AVAST); HEUR:Trojan.Win32.Miner.vho (KASPERSKY)

 PLATFORM:

Windows

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Coinminer

  • Destructiveness:
    No

  • Encrypted:
    Yes

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

  TECHNICAL DETAILS

File size: 1,439,744 bytes
File type: DLL
Memory resident: Yes
INITIAL SAMPLES RECEIVED DATE: 16 октября 2020
PAYLOAD: Connects to URLs/IPs

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • Samplexn07

Otros detalles

Hace lo siguiente:

  • Supported algorithm options:
    • cryptonight-aeonv7
    • cryptonight-bittube2
    • cryptonight-heavy
    • cryptonight-heavy/0
    • cryptonight-heavy/tube
    • cryptonight-heavy/xhv
    • cryptonight-light
    • cryptonight-lite
    • cryptonight-lite/0
    • cryptonight-lite/1
    • cryptonight/double
    • cryptonight/half
    • cryptonight/msr
    • cryptonight/rto
    • cryptonight/rwz
    • cryptonight/xao
    • cryptonight/zls
    • RandomARQ
    • RandomWOW
    • RandomX
    • randomx/arq
    • randomx/loki
    • randomx/test
    • randomx/wow
    • RandomXL
    • rx/loki


  • Supported coin options:
    • monero
    • arqma
  • Accepts the following Parameters:
    • --algo=ALGO - mining algorithm
    • --coin=COIN - specify coin instead of algorithm
    • --api-worker-id=ID - custom worker-id for API
    • --api-id=ID - custom instance ID for API
    • --http-enabled - enable HTTP API
    • --http-host=HOST bind host for HTTP API
    • --http-access-token=T access token for HTTP API
    • --http-port=N bind port for HTTP API
    • --http-no-restricted - enable full remote access to HTTP API (only if access token set)
    • --daemon - use daemon RPC instead of pool for solo mining
    • --daemon-poll-interval=N - daemon poll interval in milliseconds (default: 1000)
    • --self-select=URL - self-select block templates from URL
    • --background - run the miner in the background
    • --config=FILE - load a JSON-format configuration file
    • --cpu-affinity - set process affinity to CPU core(s), mask 0x3 for cores 0 and 1
    • --cpu-priority - set process priority (0 idle, 2 normal to 5 highest)
    • --donate-level=N donate level, default 5%% (5 minutes in 100 minutes)
    • --donate-over-proxy=N control donate over xmrig-proxy feature
    • --dry-run - test configuration and exit
    • --keepalive send keepalived packet for prevent timeout (needs pool support)
    • --log-file=FILE - log all output to a file
    • --nicehash enable nicehash.com support
    • --no-color - disable colored output
    • --no-huge-pages - disable huge pages support
    • --pass=PASSWORD - password for mining server
    • --print-time=N - print hashrate report every N seconds
    • --retries=N - number of times to retry before switch to backup server (default: 5)
    • --retry-pause=N - time to pause between retries (default: 5)
    • --syslog - use system log for output messages
    • --threads=N - number of CPU threads
    • --user=USERNAME username for mining server
    • --cpu-max-threads-hint=N - maximum CPU threads count (in percentage) hint for autoconfig
    • --cpu-memory-pool=N - number of 2 MB pages for persistent memory pool, -1 (auto), 0 (disable)
    • --cpu-no-yield prefer maximum hashrate rather than system response/stability
    • --tls-fingerprint=HEX - pool TLS certificate fingerprint for strict certificate pinning
    • --randomx-init=N - threads count to initialize RandomX dataset
    • --randomx-no-numa - disable NUMA support for RandomX
    • --randomx-mode=MODE RandomX mode: auto, fast, light
    • --randomx-1gb-pages use 1GB hugepages for dataset (Linux only)
    • --randomx-wrmsr=N write custom value (0-15) to Intel MSR register 0x1a4 or disable MSR mod (-1)
    • --opencl - enable OpenCL mining backend
    • --opencl-devices=N - list of OpenCL devices to use
    • --opencl-platform=N- OpenCL platform index or name
    • --opencl-loader=PATH - path to OpenCL-ICD-Loader (OpenCL.dll or libOpenCL.so)
    • --opencl-no-cache - disable OpenCL cache
    • --cuda enable CUDA mining backend
    • --cuda-loader=PATH path to CUDA plugin (xmrig-cuda.dll or libxmrig-cuda.so)
    • --cuda-devices=N comma separated list of CUDA devices to use
    • --cuda-bfactor-hint=N bfactor hint for autoconfig (0-12)
    • --cuda-bsleep-hint=N bsleep hint for autoconfig
    • --no-nvml-disable NVML (NVIDIA Management Library) support
    • --health-print-time=N - print health report every N seconds
    • --help - display this help and exit
    • --version - output version information and exit
    • --export-topology - export hwloc topology to a XML file and exit
    • --print-platforms - print available OpenCL platforms and exit

  SOLUTION

Minimum scan engine: 9.800
First VSAPI Pattern File: 16.296.05
First VSAPI Pattern Release Date: 19 de октября de 2020
VSAPI OPR PATTERN-VERSION: 16.297.00
VSAPI OPR PATTERN DATE: 20 de октября de 2020

Step 2

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Identificar y terminar los archivos detectados como Coinminer.Win64.MALXMR.GAIM

[ learnMore ]
  1. Para los usuarios de Windows 98 y ME, puede que el Administrador de tareas de Windows no muestre todos los procesos en ejecución. En tal caso, utilice un visor de procesos de una tercera parte (preferiblemente, el Explorador de procesos) para terminar el archivo de malware/grayware/spyware. Puede descargar la herramienta en cuestión aquí.
  2. Si el archivo detectado aparece en el Administrador de tareas o en el Explorador de procesos, pero no puede eliminarlo, reinicie el equipo en modo seguro. Para ello, consulte este enlace para obtener todos los pasos necesarios.
  3. Si el archivo detectado no se muestra en el Administrador de tareas o el Explorador de procesos, prosiga con los pasos que se indican a continuación.

Step 4

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como Coinminer.Win64.MALXMR.GAIM En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Did this description help? Tell us how we did.