NRSMinerマルウェア–それを削除する方法

このブログ投稿は、削除する方法を説明するための主なアイデアを念頭に置いて作成されています NRSMinerウイルス あなたのコンピュータから完全に.

新しい暗号通貨マイナーマルウェア, NRSMinerという名前で行くと、コンピューターに影響を与え、CPUおよびGPUリソースを利用して、最大で 100% 暗号通貨をマイニングするためのそれらの使用法の. それに加えて, ウイルスは、ウイルスに感染したコンピュータで他の不要なアクティビティを実行する可能性もあります. それらの主なものは、感染したマシンが侵害された後に直接開始されたスパイウェアアクションに関連している可能性があります. コンピューターがNRSMinerに感染している場合, この記事を読むことをお勧めします.

NRSMinerが伝播する主な方法は、通常、よく知られているエクスプロイトであるEternalBlueを介して実行されます。. これと同じエクスプロイトが 2017 [wplinkpreview url =”https://Sensorstechforum.com/wannacry-outbreak-tsmc-170-million/”]WannaCry感染の発生. マイナーは、最初の感染を実行した後、脆弱なネットワークのシステムを伝播します, しかし、良いニュースは、パッチが適用されたコンピューターのみを攻撃することです。.

ここのところ, F-Secureマルウェア研究者 彼らの分析では、コンピューターがNRSMinerに感染する可能性のある次の主な2つの方法が報告されています。:

• 以前のバージョンのNRSMinerマルウェアによってすでに侵害されているシステムを介してアップデートモジュールをダウンロードする.
• EternalBlueエクスプロイトに対するMS17-010パッチがない同じイントラネット内のシステムに感染することによって. 感染は、すでに感染したデバイスから発生する可能性があります.

このマイナーの主な感染活動は、最初にミューテックスをチェックすることです ({502CBAF5-55E5-F190-16321A4}) 鉱夫が以前に被害者のPCに感染したことがあるかどうか、感染している場合は, マイナーマルウェアは実行されません. ただし、そうでない場合, マイナーは、次の主要な悪意のあるファイルをドロップして実行します:

→%Temp％ WUDHostUpgrade.exe

これを行ったら, 鉱夫はそのリソースからさまざまなファイルを抽出する可能性があります, すなわち, 以下のファイル;

→ %SystemRoot％ System32 MarsTraceDiagnostics.xml
%SystemRoot％ sysWOW64 snmpstorsrv.dll

ファイルの場所が反対になっている可能性があります, しかし、それらは一般的にどちらかにあります sysWOW64 また system32. ファイルをドロップしたら, NRSMinerはからデータをコピーします CreationTime と LastAccessTime と LastWriteTime システムプロセスsvchost.exeのプロパティと、MarsTraceDiagnostics.xmlのプロパティを更新します。 snmpstorsrv.dll ファイル.

やっと, the WUDHostUpdate.exe 悪意のあるファイルは、servicedllとして登録されているsnmpstorsrvとsnmpstorsrv.dllをインストールします. 最後に、ウイルスファイルは自己削除します.

新しく作られたプロセス, と呼ばれる Snmpstorsrv.dll 次のWindows管理者コマンドで開始します:

→svchost.exe –k netsvcs

開始時, このファイルは、コンピューター上で次の悪意のあるアクティビティを実行します:

• プロセッサデータを送信します.
• システム情報を送信します.
• ポートを開きます 60153.
• MgmtFilterShim.iniを作成します
• Wininit.exeを実行します
• アップデータをダウンロード
• 抽出物C&Cおよびマイナー構成
• 古いバージョンを削除します.
• モジュールの更新をチェックします.
• 新しいマイナーを実行します.

サービスは最初にファイルを生成します, と呼ばれる MgmtFilterShim.ini の中に %systemroot％ system32 フォルダ, その中に「+」値を書き込んでから、その値を変更します CreationTime, LastAccessTime と LastWritetime のプロパティと同じプロパティ svchost.exe.

このウイルスは、次のドメインを使用して自身を更新し、情報を中継します:

→ 読者[.]パンフラー[.]com / resource
扱う[.]パンフラー[.]com / modules.dat

これに加えて, 鉱夫は実行します TurstedHostex.exe プロセスし、次のサイトに接続します, 感染したコンピュータのシステムおよびネットワーク情報のほとんどすべてが漏洩している場所:

→ 摘む[.]水分[.]tk
ジャンプ[.]タウセパン[.]com

ウイルスが被害者のPCのプロセッサを考慮に入れる場合, 次に、いくつかの異なるタイプのファイルを書き留めます, でx86.dllおよびx64.dllと呼ばれます %AppDiagnostics％ ディレクトリ. プロセスは経由で注入されます Wininit.exe ファイルに sass.exe 経由 spoolsv.exe 暗号通貨のマイニングを開始するために以前にインストールされたバックドア.

NRSMinerのマイナーコンポーネントは、Moneroトークンを生成するためにXMRigMoneroCPUマイナーを使用します. 次のコマンドでマイナーを実行します

→「v–o fox.weilders.com:443 –u zec％d –px –t％d –donate-level = 1 –nicehash”
「z–o asthma.weilders.com」443–u zec –px –bfactor = 12 –bsleep = 1000 –donate-level = 1 –nicehash”

この間, 被害者のコンピュータの速度が低下し始め、頻繁にフリーズする可能性があります.

削除したい場合 NRSMiner 手動でウイルス, 下の手動削除に続いて続行できます, 最初の2つのステップです. これらを記事の「分析」の部分と組み合わせて使用すると、NRSMinerによって生成および作成されたすべてのファイルを削除し、接続を設定したすべてのドメインをブロックして、コンピューターから情報を中継できます。.

もう1つのより推奨される削除方法は、後者の手順に従って、高度なマルウェア対策プログラムでPCをスキャンしてNRSMinerを削除することです。, これは、コンピューター上のNRSMinerに関連するすべての関連ファイルとオブジェクトを検出して削除します. マルウェアのファイルやオブジェクトだけが削除されるわけではないため、これがセキュリティの専門家によって提案された選択肢であることをお知らせします。, また、将来的には、ほとんどの悪意のあるファイルや侵入オブジェクトからコンピュータが保護されます。.