Реверс, пожалуйста

[h4rmy ☆]

Я вкурсе что это майнер, и хочу чтобы кто-либо из вас его реверснул или посмотрел куда майнит

Пожалуйста, авторизуйтесь для просмотра ссылки.

пароль: этомайнер

Пожалуйста, авторизуйтесь для просмотра ссылки.

Просьба тем, кто не понимает что это даже не скачивать!

 

[ff13131]

no u

 

[Oniel]

Привет! Интересная вещь. injector.exe запускает 2 файла майнера system.exe, но перед этим вносит некоторые изменения:

1. Добавляет "..\AppData\Roaming\system\systemservice.exe" в реестр автозагрузки HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.
2. Перезаписывает файл ..\AppData\Roaming\system\libidn-11.dll.
3. Судя по всему, модифицирует файлы:

..\AppData\Roaming\system\ssleay32.dll​

..\AppData\Roaming\system\zlib1.dll​

..\AppData\Roaming\system\diablo130302.cl​

..\AppData\Roaming\system\diakgcn121016.cl​

..\AppData\Roaming\system\phatk121016.cl​

..\AppData\Roaming\system\poclbm130302.cl​

..\AppData\Roaming\system\scrypt130511.cl​

..\AppData\Roaming\system\OpenCL.dll​

..\AppData\Roaming\system\system.exe​

..\AppData\Roaming\system\libwinpthread-1.dll​

system.exe запускается с параметрами запуска: "--scrypt -o litecoinpool.org:3333 -u mishtavishta.mine2 -p 2", дропает из процесса libcurl-4.dll и подключается напрямую к CnC серверу litecoinpool.org

• 149.210.234.234
• 88.80.187.187
• 144.76.222.140

Первый system.exe запускает cgminer 3.5.0, второй system.exe запускает cpuminer/2.4.

Кстати, странно, но майнер антивирусом был обнаружен только в одном system.exe (PID: 3164).

 

[nicolegomez]

Привет! Интересная вещь. injector.exe запускает 2 файла майнера system.exe, но перед этим вносит некоторые изменения:

1. Добавляет "..\AppData\Roaming\system\systemservice.exe" в реестр автозагрузки HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.
2. Перезаписывает файл ..\AppData\Roaming\system\libidn-11.dll.
3. Судя по всему, модифицирует файлы:

..\AppData\Roaming\system\ssleay32.dll​

..\AppData\Roaming\system\zlib1.dll​

..\AppData\Roaming\system\diablo130302.cl​

..\AppData\Roaming\system\diakgcn121016.cl​

..\AppData\Roaming\system\phatk121016.cl​

..\AppData\Roaming\system\poclbm130302.cl​

..\AppData\Roaming\system\scrypt130511.cl​

..\AppData\Roaming\system\OpenCL.dll​

..\AppData\Roaming\system\system.exe​

..\AppData\Roaming\system\libwinpthread-1.dll​

system.exe запускается с параметрами запуска: "--scrypt -o litecoinpool.org:3333 -u mishtavishta.mine2 -p 2", дропает из процесса libcurl-4.dll и подключается напрямую к CnC серверу litecoinpool.org

• 149.210.234.234
• 88.80.187.187
• 144.76.222.140

Первый system.exe запускает cgminer 3.5.0, второй system.exe запускает cpuminer/2.4.
Посмотреть вложение 22970

Кстати, странно, но майнер антивирусом был обнаружен только в одном system.exe (PID: 3164).

что это за софт для анализа?

 

[WhereIsMyShuvi]

Привет! Интересная вещь. injector.exe запускает 2 файла майнера system.exe, но перед этим вносит некоторые изменения:

1. Добавляет "..\AppData\Roaming\system\systemservice.exe" в реестр автозагрузки HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run.
2. Перезаписывает файл ..\AppData\Roaming\system\libidn-11.dll.
3. Судя по всему, модифицирует файлы:

..\AppData\Roaming\system\ssleay32.dll​

..\AppData\Roaming\system\zlib1.dll​

..\AppData\Roaming\system\diablo130302.cl​

..\AppData\Roaming\system\diakgcn121016.cl​

..\AppData\Roaming\system\phatk121016.cl​

..\AppData\Roaming\system\poclbm130302.cl​

..\AppData\Roaming\system\scrypt130511.cl​

..\AppData\Roaming\system\OpenCL.dll​

..\AppData\Roaming\system\system.exe​

..\AppData\Roaming\system\libwinpthread-1.dll​

system.exe запускается с параметрами запуска: "--scrypt -o litecoinpool.org:3333 -u mishtavishta.mine2 -p 2", дропает из процесса libcurl-4.dll и подключается напрямую к CnC серверу litecoinpool.org

• 149.210.234.234
• 88.80.187.187
• 144.76.222.140

Первый system.exe запускает cgminer 3.5.0, второй system.exe запускает cpuminer/2.4.
Посмотреть вложение 22970

Кстати, странно, но майнер антивирусом был обнаружен только в одном system.exe (PID: 3164).

Надеюсь ты не запускал это чудо, что делаешь такие анализы)

 

[Oniel]

что это за софт для анализа?

Развернул студию

Пожалуйста, авторизуйтесь для просмотра ссылки.

для анализа вредоноса на виртуалке и графики от Maltego. Ну, и естественно IDA с Wireshark.