分析者: Raighen Sanchez   
 :

Trojan.BAT.CoinMiner (IKARUS)

 平台:

Windows

 总体风险等级:
 潜在破坏:
 潜在分布:
 感染次数:
 信息暴露:

  • 恶意软件类型:
    Coinminer

  • 有破坏性？:
    没有

  • 加密？:
    没有

  • In the Wild:
    是的

  概要

感染途徑: 从互联网下载、由其他恶意软件释放

该挖矿程序会以其他恶意软件投放的文件形式进入系统，也可能在用户不知情的情况下，因访问恶意网站而被下载。

  技术详细信息

文件大小: 765 bytes
报告日期: BAT
内存驻留: 没有
初始樣本接收日期: 2025年7月11日
Payload: 收集系统信息, 连接URL/IP地址

Arrival Details

该挖矿程序会以其他恶意软件投放的文件形式进入系统，也可能在用户不知情的情况下，因访问恶意网站而被下载。

Installation

此挖矿木马会添加以下进程：

  • wmic cpu get numberofcores^|findstr "^[0-9] → retrieve the number of CPU cores in the system.
  • Antivirus.exe --disable-gpu --algorithm verushash --pool {BLOCKED}or.net:5040 --wallet {wallet id}.Sub4 -p x -t %num% → coinmining capabilities
  • ping -n 2 localhost
  • ping -n 240 localhost
  • tasklist /NH /FI "imagename eq tskmgr.exe" → enumerate running tasks
  • taskkill /IM Antivirus.exe /F

Information Theft

此挖矿木马会收集以下数据：

  • Number of CPU cores
  • Current Running Tasks

其他信息

This Coinminer does the following:

  • It terminates itself if only one CPU core was found in the system.
  • It terminates itself if task manager is found running in the system.
  • It connects to a remote mining pool:
    • {BLOCKED}or.net:5040

  解决方案

最小扫描引擎: 9.800
First VSAPI Pattern File: 20.328.07
VSAPI 第一样式发布日期: 2025年7月15日
VSAPI OPR样式版本: 20.329.00
VSAPI OPR样式发布日期: 2025年7月16日

Step 1

在进行任何扫描之前，Windows 7、Windows 8、Windows 8.1 和 Windows 10 用户必须先执行以下操作： 禁用 系统还原 以便对电脑进行全面扫描。

Step 2

使用您的亚信安全产品扫描电脑，删除被检测为以下名称的文件 Coinminer.BAT.VIPOR.A. 若亚信安全产品已将检测到的文件清除、删除或隔离，则无需再执行任何额外步骤；您也可选择直接删除隔离区中的文件。更多信息请访问以下亚信安全支持页面：