Майнер Themida
Действия вируса
Вредоносное ПО запускается с правами администратора, затем:
- Добавляется в каталоги SysWOW64 и ProgramData
- Устанавливает файлам атрибуты «Скрытый» и «Системный»
- Меняет владельцев на «TrustedInstaller» (сервисный аккаунт) и «Администраторы» (группа)
Кроме того, вирус Themida устанавливает RMS от компании TiktonIT, о чём свидетельствует файл version.txt в каталоге:
📂 C:\Windows\System32\SysWOW64\Webm\unsecap.exe
Файл содержит копирайт «TiktonIT all rights reserved» и упоминание компании Tox, что вызывает сомнения в его легитимности.
Функционал C:\Windows\System32\SysWOW64\Webm\unsecap.exe
- 📌 Управление курсором
- 🎥 Управление камерой
- 🎤 Управление микрофоном
- ⌨️ Управление клавиатурой
- 🔌Удаленная командная строка (SSH)
- 🔗 Установка RDP-соединения на порту 5665
- 👤 Создание учетной записи «John» с правами администратора
Функции Taskhostw
- Отслеживает пути в Проводнике
- Отслеживает пути в свойствах Диспетчера задач
- Отслеживает открытые URL-адреса
- Отслеживает поисковые запросы
- Закрывает программы по ключевым словам
- Блокирует запуск программ
- Блокирует доступ к доменам через hosts
- Блокирует доступ к папкам антивирусов
- Скрывает вкладку «Безопасность» в проводнике.
- Перезаписывает ветки реестра
- Создаёт задачи на запуск файлов вируса, маскируя их под системные процессы (Windows Update, Wininet выдаёт себя за Winint)
- Добавляет себя в исключения Windows Defender (процессы, пути).
- Добавляет себя в автозагрузку как RealtekHD
Ключевые слова, по которым вирус реагирует:
Обновлённый список:
- Taskhostw.exe
- антивирус скачать
- Dr.Web
- Kaspersky
- Kwrt
- Avz
- Malwarebytes
- Cureit
- 360 Total Security
- Zilla
- IOBit
- Avira
- Avast
- AVG
- Как удалить вирус
- Unescap.exe
- Как удалить майнер
- C:\ProgramData
- TaskHost
- Winserv
- Windows Task Host
- Windows Task
Вредоносные файлы, создаваемые вирусом
🔴 Распаковывает подозрительные файлы:
- Game.exe (SFX-архив + блокировщик)
- AppProtocol.exe (назначение неизвестно)
- AMD.exe (майнер криптовалюты Monero)
- Svhost.exe (назначение неизвестно)
- Unescape.exe (Удалённый доступ по RDP – RMS от TiktonIT)
- 7zhncmd.exe (консольный 7zip)
- IP.exe (отмечен Windows Defender как вредоносный)
- Setup.exe (отмечен Windows Defender как вредоносный)
- Update.exe (отмечен Windows Defender как вредоносный)
- Winserv.exe (Удалённый доступ по RDP – RMS от TiktonIT)
- Winlogon.bat и new.xml (правила AppLocker для блокировки антивирусов по издателям программ)
- rdpwrap.dll (патч на многопользовательский RDP)
- rdpwrap.ini (конфигурация патча)
- MicrosoftHost.exe (Биткойн Майнер)
Файлы созданные вирусом:
Сетевое взаимодействие:
91.184.248.192 (googlesearchproxy.one) - хостинг Smartape, чехия.
Порты: 3333 (пул Bitcoin), 5665 (удалённый доступ)
Доменны связанные с вирусом:
kms-auto.name,windows-aktivators.com с большой вероятностью сайт принадлежит создателям вируса.
