Phân tích mã độc đào coin trên máy nạn nhân - COINMINE.NC

[Sugi_b3o]

Mình xin chia sẻ file thực thi có chứa mã độc để mọi người cùng nhau nghiên cứu, cập nhật thêm kiến thức về các loại mã độc dùng để đào Cryptocurrency.

​

Hiện phân tích sơ thì mình có các thông tin sau tên là Photo.scr.

Dùng strings để view tổng quan thì mình thấy có các đoạn

​

-o stratum+tcp://mine.moneropool.com:3336 -t 1 -u 42n7TTpcpLe8yPPLxgh27xXSBWJnVu9bW8t7GuZXGWt74vryjew2D5EjSSvHBmxNhx8RezfYjv3J7W63bWS8fEgg6tct3yZ -p x

Đây là pool và địa chỉ ví của đồng Monero

NsCpuCNMiner32.exe

Gọi chương trình để bắt đầu chương trình đào coin.

/c reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Run" /d "%s" /t REG_SZ /f

Ghi chương trình vào startup để khởi động cùng Windows sau khi restart

Và cuối cùng là file: tải bên dưới

Các bạn có thể phân tích thêm, cùng trao đổi thảo luận để hiểu rõ hơn về cách phòng chống và thảo luận cùng nhau.

Password: virus

Lưu ý: chỉ dùng cho mục đích học tập và nghiên cứu.

 

file share làm gì có file thực thi chủ thớt ơi

 

Phần mềm có phần mở rộng bằng MZ.Có quuyền thực thi trên Windows đấy bạn

Tham khảo tại link về các extension https://www.garykessler.net/library/file_sigs.html