Trojan.DownLoader9.38277

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'vhostroute' = '%APPDATA%\Roaming\vhost\vvrhost.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6980
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6988
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6876
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6932
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7084
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7352
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7400
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7132
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7208
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6828
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4976
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5980
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5884
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6076
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5592
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6720
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6780
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5564
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6544
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7448
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=8076
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=8124
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7976
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=8028
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=8172
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6396
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6468
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6204
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6188
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7928
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7592
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7640
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7496
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7544
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7688
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7832
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7880
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7736
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=7784
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5688
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4172
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4220
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=2868
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3840
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4268
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4640
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4688
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4436
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4592
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=2772
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=2660
'%APPDATA%\Roaming\vhost\vrhost.exe' -a sha256 -o http://18#################irUF9UD2FyiKNhP:letmein@gbt.mining.eligius.st:9337 -T 83 -l yes -t 1
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=1884
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3876
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=2836
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3704
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3128
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3644
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4764
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4676
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3736
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5736
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4256
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5772
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4148
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=3828
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5908
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=6028
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4916
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4964
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4812
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=4860
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5012
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5156
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5204
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5108
'%APPDATA%\Roaming\vhost\vrhost.exe' /pid=5060
'<SYSTEM32>\conhost.exe' (загружен из сети Интернет)
'%APPDATA%\Roaming\vhost\vrhost.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' -a sha256 -o http://18#################irUF9UD2FyiKNhP:letmein@gbt.mining.eligius.st:9337 -T 83 -l yes -t 1
'<SYSTEM32>\conhost.exe' /pid=1700

Изменения в файловой системе:

Создает следующие файлы: