NRSMiner malware - Hoe het te verwijderen

Deze blogpost is gemaakt met de belangrijkste idee in het achterhoofd om uit te leggen hoe je het kunt verwijderen NRSMiner virus vanaf uw computer volledig.

Een nieuwe cryptogeld mijnwerker malware, onder de naam NRSMiner is gemeld aan computers beïnvloeden en te profiteren van de CPU en GPU middelen en het genereren van maximaal 100% van hun gebruik de mijne voor cryptocurrencies. Naast deze, het virus kan ook het uitvoeren van andere ongewenste activiteiten op de computers die zijn geïnfecteerd door deze. De belangrijkste van die kan worden gerelateerd aan spyware acties direct gestart op de geïnfecteerde machine nadat deze is gecompromitteerd. Als uw computer is geïnfecteerd door de NRSMiner, Wij raden u aan dit artikel te lezen.

De belangrijkste methode waarmee de NRSMiner voortplant wordt gewoonlijk uitgevoerd via een exploit die welbekend - Eternal Blue. Deze zelfde exploit werd gebruikt in de 2017 [wplinkpreview url =”https://sensorstechforum.com/wannacry-outbreak-tsmc-170-million/”]WannaCry infectie-uitbraak. Mijnwerkers propageert systemen voor kwetsbare netwerk nadat voert het eerste infectie, maar het goede nieuws is dat het alleen aanvallen gepatchte computers.

Zover, F-Secure malware onderzoekers hebben gemeld in hun analyse van de volgende twee belangrijkste manieren waarop een computer kan geïnfecteerd raken met NRSMiner:

• Via een update downloaden module via een systeem dat al is aangetast door een eerdere versie van de NRSMiner malware.
• Via infecteren van een systeem in hetzelfde intranet dat niet over de MS17-010 patch tegen Eeuwige Blauwe exploit. De infectie kan plaatsvinden vanuit een reeds besmet inrichting.

De belangrijkste infectie activiteit van dit mijnwerker is dat voor het eerst een mutex controleert ({502CBAF5-55E5-F190-16321A4}) om te zien of de mijnwerker al het slachtoffer pc is geïnfecteerd voor en zo ja, de mijnwerker malware werkt niet. Als echter niet, de mijnwerker daalt en loopt de volgende belangrijkste kwaadaardig bestand:

→%Temp% WUDHostUpgrade.exe

Zodra dat gedaan, de mijnwerker kunnen de verschillende bestanden uit middelen die zij de, specifieker, de volgende bestanden;

→ %SystemRoot% System32 MarsTraceDiagnostics.xml
%SystemRoot% SysWOW64 snmpstorsrv.dll

De bestanden kunnen het tegenovergestelde locatie hebben, maar ze over het algemeen bevinden zich ofwel in syswow64 of system32. Zodra die liet de bestanden, NRSMiner kopieert gegevens van CreationTime en LastAccessTime en LastWriteTime eigenschappen van het systeem proces svchost.exe en updates woningen te MarsTraceDiagnostics.xml en snmpstorsrv.dll bestanden.

Eindelijk, de WUDHostUpdate.exe kwaadaardig bestand installeert de snmpstorsrv en snmpstorsrv.dll die geregistreerd staat als ServiceDLL. Tenslotte wordt het virus bestand self-verwijderingen.

Te nieuw gemaakte proces, genoemd Snmpstorsrv.dll begint met de volgende Windows-beheerder commando:

→svchost.exe -k netsvcs

toen begonnen, het bestand voert de volgende kwaadaardige activiteiten op uw computer:

• Stuurt Processor data.
• Stuurt informatie over het systeem.
• opent port 60153.
• Maakt MgmtFilterShim.ini
• Runs Wininit.exe
• downloads Updater
• extracten C&C en Miner configuratie
• Verwijdert oudere versies.
• Controles voor de module updates.
• Hiermee wordt de nieuwe mijnwerker.

De service paait in de eerste plaats een bestand, genoemd MgmtFilterShim.ini in de %systemroot% system32 map, schrijft de waarde “+” in en vervolgens wijzigt haar CreationTime, LastAccessTime en LastWritetime eigenschappen dezelfde als die in svchost.exe.

Het virus maakt gebruik van de volgende domeinen aan zichzelf te werken en informatie doorgeven:

→ lezer[.]pamphler[.]com / resource
handvat[.]pamphler[.]com / modules.dat

Daarnaast ton dit, mijnwerkers voert de TurstedHostex.exe Werkwijze en verbindt de volgende sites, waar bijna alle van het systeem en netwerk informatie van de besmette computer wordt gelekt:

→ plukken[.]vochtigheid[.]tk
springen[.]taucepan[.]met

Wanneer het virus houdt rekening met de processor van het slachtoffer PC, het dan schrijft verschillende soorten bestanden, riep x86.dll en x64.dll in de %AppDiagnostics% directory. De processen krijgen geïnjecteerd via wininit.exe bestand in sass.exe via de spoolsv.exe backdoor eerder geïnstalleerd om mining voor cryptocurrencies beginnen.

Mijnwerkers component van NRSMiner gebruikt XMRig Monero CPU miner om Monero tokens genereren. Het loopt de mijnwerker met de volgende commando's

→"V -o fox.weilders.com:443 -u zec% d -p x -t% d -donate-level = 1 -nicehash”
“Z -o asthma.weilders.com” 443 -u zec -p x -bfactor = 12 -bsleep = 1000 -donate-level = 1 -nicehash”

Gedurende deze periode, de computer van het slachtoffer begint te vertragen en kunnen heel vaak bevriezen.

Als u wilt het verwijderen NRSMiner virus handmatig, kunt u na het handmatig verwijderen doorgaan eronder, waarvan de eerste twee stappen. U kunt ze gebruiken in combinatie met de “analyse” deel van het artikel om alle bestanden voortgebracht en gemaakt door NRSMiner verwijderen en blokkeren van alle domeinen zij heeft opgericht verband met de verspreiding van de informatie van uw computer.

Een ander en meer aanbevolen methode verwijderen is als u de laatste stappen om de NRSMiner verwijderen door het scannen van onze PC met een geavanceerde anti-malware programma, die zal detecteren en verwijderen van alle bijbehorende bestanden en objecten die gerelateerd zijn aan NRSMiner op uw computer. We zullen je weet dat dit de aangeboden keuze door security experts, omdat niet alleen de malware bestanden en voorwerpen worden verwijderd, maar ook uw computer worden beschermd tegen de meeste schadelijke bestanden en opdringerig objecten ook in de toekomst.