NRSMiner Malware - Cómo quitar Se

Este blog ha sido creado con la idea principal en mente para explicar cómo se puede eliminar el virus NRSMiner desde el ordenador completamente.

Un nuevo malware criptomoneda minero, va por el nombre NRSMiner se ha reportado que afecta a los equipos y aprovechar los recursos de la CPU y la GPU y generar hasta 100% de su uso a la mía para cryptocurrencies. Además de esto, El virus también puede realizar otras actividades no deseadas en los ordenadores que han sido infectados por ella. El principal de los que podrían estar relacionados con las acciones iniciadas spyware directamente en la máquina infectada después de que haya sido comprometida. Si su ordenador ha sido infectado por el NRSMiner, le recomendamos que usted lea este artículo.

El principal método a través del cual se propaga la NRSMiner generalmente se realiza a través de un exploit que es bien conocido - azul Eterna. Este mismo exploit fue utilizado en el 2017 [wplinkpreview url =”https://sensorstechforum.com/wannacry-outbreak-tsmc-170-million/”]WannaCry brote de la infección. El minero se propaga a los sistemas de una red vulnerable después de que se realiza es la primera infección, pero la buena noticia es que sólo ataques parcheado ordenadores.

Hasta aquí, investigadores de malware de F-Secure han informado en su análisis de los siguientes dos principales métodos por los que un ordenador puede infectarse con el NRSMiner:

• A través de descarga de un módulo de actualización a través de un sistema que ya se ha visto comprometida por una versión anterior del software malicioso NRSMiner.
• A través de infectar un sistema en la misma intranet que no tiene el parche MS17-010 contra el azul eterno explotar. La infección puede ocurrir a partir de un dispositivo que ya están infectados.

La actividad infección principal de este minero es que primero comprueba un mutex ({502CBAF5-55E5-F190-16321A4}) para ver si el minero ya ha infectado el PC víctima antes y si es así, el malware minero no se ejecuta. Si no obstante, el minero cae y se ejecuta el siguiente archivo principal malicioso:

→%Temp% WUDHostUpgrade.exe

Una vez de haber hecho esto, el minero puede extraer los diferentes archivos de sus recursos, mas especificamente, los siguientes archivos;

→ %SystemRoot% System32 MarsTraceDiagnostics.xml
%SystemRoot% SysWOW64 snmpstorsrv.dll

Los archivos pueden tener la posición opuesta, pero por lo general se encuentran ya sea en syswow64 o system32. Una vez habiendo caído los archivos, NRSMiner copia datos de Tiempo de creación y LastAccessTime y LastWriteTime Propiedades en el svchost.exe proceso del sistema y actualizaciones propiedades para MarsTraceDiagnostics.xml y snmpstorsrv.dll archivos.

Al final, la WUDHostUpdate.exe archivo malicioso instala el snmpstorsrv y snmpstorsrv.dll que se coloca como ServiceDll. Por último, los virus de archivos auto-eliminaciones.

Te proceso recién hecho, llamada Snmpstorsrv.dll comienza con el sistema de administrador de Windows siguiente:

→svchost.exe -k netsvcs

cuando se inicia, el archivo realiza las siguientes actividades maliciosas en el equipo:

• Envía datos del procesador.
• Envía la información del sistema.
• abre el puerto 60153.
• crea MgmtFilterShim.ini
• ejecuta Wininit.exe
• descargas Updater
• extractos C&configuración C y Miner
• Elimina las versiones anteriores.
• Comprueba si hay actualizaciones de los módulos.
• Ejecuta el minero nuevo.

El servicio genera en primer lugar un archivo, llamada MgmtFilterShim.ini en el %SystemRoot% system32 carpeta, escribe el valor “+” en ella y luego modifica su Tiempo de creación, LastAccessTime y LastWriteTime propiedades mismos como los de svchost.exe.

El virus utiliza los siguientes dominios actualizarse a sí mismo y para transmitir información:

→ lector[.]pamphler[.]com / recurso
encargarse de[.]pamphler[.]com / modules.dat

Además tonelada este, el minero ejecuta el TurstedHostex.exe proceso y se conecta a los siguientes sitios, donde casi la totalidad de la información del sistema y de red del ordenador infectado se filtró:

→ arrancar[.]humedad[.]tk
saltar[.]taucepan[.]con

Cuando el virus tiene en cuenta el procesador del PC víctima, A continuación, escribe varios tipos diferentes de archivos, x86.dll llamada y en el x64.dll %AppDiagnostics% directorio. Los procesos consiguen inyectaron vía wininit.exe presentar en sass.exe mediante el spoolsv.exe puerta trasera instalada antes de comenzar la minería para cryptocurrencies.

El componente minero de NRSMiner utiliza el minero CPU XMRig Monero el fin de generar tokens Monero. Se ejecuta el minero con los siguientes comandos

→"V -o fox.weilders.com:443 -u zec% d -p x -t% d -donate-level = 1 -nicehash”
“Z -o asthma.weilders.com” 443 -u zec -p x -bfactor = 12 -bsleep = 1,000 -donate-level = 1 -nicehash”

Durante este tiempo, el ordenador de la víctima comienza a disminuir y se puede congelar muy a menudo.

Si desea eliminar el NRSMiner virus manualmente, se puede proceder después de la extracción manual por debajo, que son los dos primeros pasos. Usted las puede utilizar en combinación con la parte de “Análisis” del artículo para eliminar todos los archivos generados y creados por NRSMiner y luego bloquear todos los dominios que haya establecido la conexión con la de transmitir información desde el ordenador.

Otro método de eliminación y el más recomendado es si sigue los últimos pasos para extraer el NRSMiner mediante el escaneo de nuestro PC con un programa anti-malware avanzado, que será detectar y eliminar todos los archivos asociados y los objetos que están relacionados con NRSMiner en su ordenador. Tendremos que saber que esta es la opción que se le ofrecía por los expertos en seguridad, porque no sólo los archivos y objetos maliciosos se eliminan, sino también su ordenador estará protegido contra la mayoría de los archivos maliciosos y objetos intrusivos también en el futuro.