Trojan.DownLoader10.16530

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\miner\explorerl.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\miner\explorer.exe' /pid=4812
'%APPDATA%\miner\explorer.exe' /pid=500
'%APPDATA%\miner\explorer.exe' /pid=4128
'%APPDATA%\miner\explorer.exe' /pid=6028
'%APPDATA%\miner\explorer.exe' /pid=5052
'%APPDATA%\miner\explorer.exe' /pid=5344
'%APPDATA%\miner\explorer.exe' /pid=5144
'%APPDATA%\miner\explorer.exe' /pid=2888
'%APPDATA%\miner\explorer.exe' /pid=3304
'%APPDATA%\miner\explorer.exe' /pid=3332
'%APPDATA%\miner\explorer.exe' /pid=5104
'%APPDATA%\miner\explorer.exe' /pid=5384
'%APPDATA%\miner\explorer.exe' /pid=5184
'%APPDATA%\miner\explorer.exe' /pid=3592
'%APPDATA%\miner\explorer.exe' /pid=5632
'%APPDATA%\miner\explorer.exe' /pid=2544
'%APPDATA%\miner\explorer.exe' /pid=5724
'%APPDATA%\miner\explorer.exe' /pid=5752
'%APPDATA%\miner\explorer.exe' /pid=2136
'%APPDATA%\miner\explorer.exe' /pid=4452
'%APPDATA%\miner\explorer.exe' /pid=5804
'%APPDATA%\miner\explorer.exe' /pid=244
'%APPDATA%\miner\explorer.exe' /pid=212
'%APPDATA%\miner\explorer.exe' /pid=5472
'%APPDATA%\miner\explorer.exe' /pid=1452
'%APPDATA%\miner\explorer.exe' /pid=5956
'%APPDATA%\miner\explorer.exe' /pid=928
'%APPDATA%\miner\explorer.exe' /pid=5092
'%APPDATA%\miner\explorer.exe' /pid=4504
'%APPDATA%\miner\explorer.exe' /pid=6128
'%APPDATA%\miner\explorer.exe' /pid=5672
'%APPDATA%\miner\explorer.exe' /pid=5996
'%APPDATA%\miner\explorer.exe' /pid=4904
'%APPDATA%\miner\explorer.exe' /pid=4432
'%APPDATA%\miner\explorer.exe' /pid=4308
'%APPDATA%\miner\explorer.exe' /pid=3792
'%APPDATA%\miner\explorer.exe' /pid=4024
'%APPDATA%\miner\explorer.exe' /pid=2668
'%APPDATA%\miner\explorer.exe' /pid=4912
'%APPDATA%\miner\explorer.exe' /pid=3824
'%APPDATA%\miner\explorer.exe' /pid=2848
'%APPDATA%\miner\explorer.exe' /pid=3744
'%APPDATA%\miner\explorer.exe' /pid=5112
'%APPDATA%\miner\explorer.exe' /pid=4320
'%APPDATA%\miner\explorer.exe' /pid=5292
'%APPDATA%\miner\explorer.exe' /pid=5004
'%APPDATA%\miner\explorer.exe' /pid=4944
'%APPDATA%\miner\explorer.exe' /pid=4524
'%APPDATA%\miner\explorer.exe' /pid=5324
'%APPDATA%\miner\explorer.exe' /pid=772
'%APPDATA%\miner\explorer.exe' -a scrypt -g no -o http://pr#####.coinhuntr.com:8336 -u Chronine.pool -p pool -t 8
'%APPDATA%\miner\explorer.exe' /pid=5124
'%APPDATA%\miner\explorer.exe' /pid=4228
'%APPDATA%\miner\explorer.exe' /pid=4712
'%APPDATA%\miner\explorer.exe' /pid=4832
'%APPDATA%\miner\explorer.exe' /pid=2152
'%APPDATA%\miner\explorer.exe' /pid=4952
'%APPDATA%\miner\explorer.exe' /pid=5452
'%APPDATA%\miner\explorer.exe' /pid=3764
'%APPDATA%\miner\explorer.exe' /pid=4064
'%APPDATA%\miner\explorer.exe' /pid=3024
'%APPDATA%\miner\explorer.exe' /pid=2164
'%APPDATA%\miner\explorer.exe' /pid=3944
'%APPDATA%\miner\explorer.exe' /pid=5024
'%APPDATA%\miner\explorer.exe' /pid=4120
'%APPDATA%\miner\explorer.exe' /pid=3184
'%APPDATA%\miner\explorer.exe' /pid=2660
'%APPDATA%\miner\explorer.exe' /pid=4552
'%APPDATA%\miner\explorer.exe' /pid=4328
'%APPDATA%\miner\explorer.exe' /pid=5484
'%APPDATA%\miner\explorer.exe' /pid=5792
'%APPDATA%\miner\explorer.exe' /pid=5784
'%APPDATA%\miner\explorer.exe' /pid=4612
'%APPDATA%\miner\explorer.exe' /pid=3124
'%APPDATA%\miner\explorer.exe' /pid=6008
'%APPDATA%\miner\explorer.exe' /pid=4208
'<SYSTEM32>\attrib.exe' (загружен из сети Интернет)
'%APPDATA%\miner\explorer.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\attrib.exe' -a scrypt -g no -o http://pr#####.coinhuntr.com:8336 -u Chronine.pool -p pool -t 8
'<SYSTEM32>\attrib.exe' -s -h %APPDATA%\miner

Внедряет код в

следующие системные процессы: