NRSMiner malware - hvordan du fjerner det

Dette blogindlæg er blevet skabt med de vigtigste idé i tankerne at forklare, hvordan du kan fjerne det NRSMiner virus fra computeren fuldstændigt.

En ny cryptocurrency minearbejder malware, går under navnet NRSMiner er blevet rapporteret at påvirke computere og drage fordel af CPU og GPU ressourcer og generere op til 100% af deres forbrug til minen for cryptocurrencies. Ud over dette, virus kan også udføre andre uønskede aktiviteter på de computere, der er blevet smittet med det. Det vigtigste en af ​​dem kunne være relateret til spyware handlinger direkte startet på den inficerede maskine efter at den er blevet kompromitteret. Hvis din computer er blevet inficeret af NRSMiner, Vi vil anbefale, at du læser denne artikel.

Den vigtigste metode via hvilken NRSMiner udbreder udføres sædvanligvis via en udnytte der er velkendt - Eternal Blå. Denne samme udnytte blev anvendt i 2017 [wplinkpreview url =”https://sensorstechforum.com/wannacry-outbreak-tsmc-170-million/”]WannaCry infektion udbrud. Den minearbejder udbreder systemer af en sårbar netværk efter den udfører det første infektion, men den gode nyhed er, at det kun angreb lappet computere.

Hidtil, F-Secure malware forskere har rapporteret i deres analyse følgende primære to metoder, som en computer kan blive inficeret med NRSMiner:

• Via downloade en opdatering modul via et system, der allerede er blevet kompromitteret af en tidligere version af NRSMiner malware.
• Via inficere et system på samme intranet, der ikke har den MS17-010 patch mod Evige Blå exploit. Infektionen kan opstå fra en allerede inficeret enhed.

Den vigtigste infektion aktivitet af denne minearbejder er, at det først kontrollerer en mutex ({502CBAF5-55E5-F190-16321A4}) at se, om minearbejder allerede har inficeret offer PC før og i så fald, minearbejder malware kører ikke. Hvis ikke dog, minearbejder dråber og kører følgende vigtigste skadelig fil:

→%Temp% WUDHostUpgrade.exe

Når man først har gjort dette, minearbejder kan udtrække de forskellige filer fra det ressourcer, mere specifikt, følgende filer;

→ %SystemRoot% System32 MarsTraceDiagnostics.xml
%SystemRoot% SysWOW64 snmpstorsrv.dll

Filerne kan have den modsatte placering, men de generelt ligger enten i SysWOW64 eller system32. Når man først har droppet filerne, NRSMiner kopierer data fra CreationTime og LastAccessTime og LastWriteTime egenskaber fra systemet processen svchost.exe og opdaterer egenskaber til MarsTraceDiagnostics.xml og snmpstorsrv.dll filer.

Endelig, den WUDHostUpdate.exe skadelig fil installerer snmpstorsrv og snmpstorsrv.dll der er registreret som servicedll. Endelig virus fil selvstændige sletter.

Te nylavede proces, kaldet Snmpstorsrv.dll starter med følgende Windows kommando administrator:

→svchost.exe -k netsvcs

Når startede, filen udfører følgende ondsindede aktiviteter på din computer:

• Sender Processor data.
• Sender systemoplysninger.
• Åbner port 60153.
• Opretter MgmtFilterShim.ini
• kører Wininit.exe
• Downloads Updater
• Uddrag C&konfiguration C og Miner
• Sletter ældre versioner.
• Kontrollerer modul opdateringer.
• Kører den nye minearbejder.

Tjenesten først gyder en fil, kaldet MgmtFilterShim.ini i %SystemRoot% system32 folder, skriver på ”+” værdi i det, og så ændrer sin CreationTime, LastAccessTime og LastWritetime egenskaber samme som dem i svchost.exe.

Virussen bruger følgende domæner at opdatere sig selv og til at videreformidle information:

→ læser[.]pamphler[.]dk / ressource
håndtere[.]pamphler[.]dk / modules.dat

Derudover ton dette, minearbejderen eksekverer TurstedHostex.exe proces og den forbinder til følgende websites, hvor næsten alle af systemet og netværksoplysninger af den inficerede computer er lækket:

→ plukke[.]fugtighed[.]tk
hoppe[.]taucepan[.]med

Når virussen tager hensyn processoren af ​​offeret PC, det så skriver ned flere forskellige typer af filer, kaldet x86.dll og x64.dll i %AppDiagnostics% Vejviser. Processerne bliver injiceret via Wininit.exe fil ind sass.exe via Spoolsv.exe bagdør installeret tidligere at begynde minedrift for cryptocurrencies.

Den minearbejder komponent NRSMiner bruger XMRig Monero CPU minearbejder for at generere Monero tokens. Det kører minearbejder med følgende kommandoer

→"V -o fox.weilders.com:443 -u Zec% d -p x -t% d -donate-niveau = 1 -nicehash”
”Z -o asthma.weilders.com” 443 -u Zec -p x -bfactor = 12 -bsleep = 1000 -donate-niveau = 1 -nicehash”

I løbet af denne tid, computeren af ​​offeret begynder at sætte farten ned og kan fryse meget ofte.

Hvis du ønsker at fjerne NRSMiner virus manuelt, du kan fortsætte efter den manuelle fjernelse nedenunder, som er de første to trin. Du kan bruge dem i kombination med ”Analyse” del af artiklen for at slette alle filer opfostrede og skabt af NRSMiner og derefter blokere alle domænerne han har oprettet forbindelse med at viderebringe oplysninger fra din computer.

En anden og mere anbefales fjernelse metode er, hvis du følger de sidstnævnte trin for at fjerne NRSMiner ved at scanne vores pc med en avanceret anti-malware program, der vil finde og fjerne alle de tilknyttede filer og objekter, der er relateret til NRSMiner på din computer. Vi vil have dig vide, at dette er den tilbudte valg af sikkerhedseksperter, fordi ikke kun de malware filer og objekter er slettet, men også din computer vil være beskyttet mod de fleste ondsindede filer og indgribende objekter i fremtiden også.