Trojan.DownLoader9.34809

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ghost' = '%APPDATA%\ghostversion\vghostv3.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\ghostversion\ghostv3.exe' /pid=3980
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4676
'%APPDATA%\ghostversion\ghostv3.exe' /pid=3568
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5284
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5436
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5848
'%APPDATA%\ghostversion\ghostv3.exe' /pid=820
'%APPDATA%\ghostversion\ghostv3.exe' /pid=1276
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4964
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4864
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4204
'%APPDATA%\ghostversion\ghostv3.exe' /pid=3620
'%APPDATA%\ghostversion\ghostv3.exe' /pid=1336
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4696
'%APPDATA%\ghostversion\ghostv3.exe' /pid=3920
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5664
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2824
'%APPDATA%\ghostversion\ghostv3.exe' /pid=832
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4796
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5304
'%APPDATA%\ghostversion\ghostv3.exe' /pid=3480
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2960
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4196
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2700
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2624
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5900
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5724
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2980
'%APPDATA%\ghostversion\ghostv3.exe' /pid=464
'%APPDATA%\ghostversion\ghostv3.exe' /pid=6120
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4884
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4504
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2816
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5124
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4904
'%APPDATA%\ghostversion\ghostv3.exe' /pid=1376
'%APPDATA%\ghostversion\ghostv3.exe' /pid=3600
'%APPDATA%\ghostversion\ghostv3.exe' /pid=3800
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4776
'%APPDATA%\ghostversion\ghostv3.exe' /pid=1368
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5136
'%APPDATA%\ghostversion\ghostv3.exe' -a sha256 -o http://18#################irUF9UD2FyiKNhP:letmein@gbt.mining.eligius.st:9337 -T 83 -l yes -t 1
'%TEMP%\pwdbq.exe' cvtres.exe
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5396
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4224
'%APPDATA%\ghostversion\ghostv3.exe' /pid=6060
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5880
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5940
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5556
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5456
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5920
'%APPDATA%\ghostversion\ghostv3.exe' /pid=728
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2612
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2800
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5828
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4048
'%APPDATA%\ghostversion\ghostv3.exe' /pid=2880
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4996
'%APPDATA%\ghostversion\ghostv3.exe' /pid=4976
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5444
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5764
'%APPDATA%\ghostversion\ghostv3.exe' /pid=5236
'%APPDATA%\ghostversion\ghostv3.exe' (загружен из сети Интернет)