Trojan.DownLoader9.44838

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'GUID' = '373abd55-a8bc-4f28-a946-6260f2412783'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'LaunchPad' = '"%APPDATA%\svchost.exe"'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\bgr\bfgminer.exe' -o stratum+tcp://maxqghdlwxkh76nn.onion:3334 -x socks5h://127.0.0.1:9000 -u 0000-0000-0000 -p x --api-listen --api-allow W:127.0.0.1
'%APPDATA%\bgr\bfgminer.exe' -o stratum+tcp://maxqghdlwxkh76nn.onion:3334 -x socks5h://127.0.0.1:9000 -u 373abd55-a8bc-4f28-a946-6260f2412783 -p x --api-listen --api-allow W:127.0.0.1
'%APPDATA%\svchost.exe'
'%APPDATA%\bgr\svchost.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\bgr\README.Debian.txt.tmp
%APPDATA%\bgr\README.ASIC.txt.tmp
%APPDATA%\bgr\README.RPC.txt.tmp
%APPDATA%\bgr\README.FPGA.txt.tmp
%APPDATA%\bgr\phatk121016.cl.tmp
%APPDATA%\bgr\pdcurses.dll.tmp
%APPDATA%\bgr\pthreadGC2.dll.tmp
%APPDATA%\bgr\poclbm130302.cl.tmp
%APPDATA%\bgr\zlib1.dll.tmp
%APPDATA%\bgr\windows-build.txt.tmp
%APPDATA%\tor\state.tmp
%APPDATA%\tor\torrc.tmp
%APPDATA%\bgr\README.txt.tmp
%APPDATA%\bgr\README.scrypt.txt.tmp
%APPDATA%\bgr\svchost.exe.tmp
%APPDATA%\bgr\scrypt130511.cl.tmp
%APPDATA%\bgr\COPYING.txt.tmp
%APPDATA%\bgr\bfgminer.exe.tmp
%APPDATA%\bgr\diakgcn121016.cl.tmp
%APPDATA%\bgr\diablo130302.cl.tmp
%APPDATA%\bgr.zip
%APPDATA%\svchost.exe
%APPDATA%\bgr\bfgminer-rpc.exe.tmp
%APPDATA%\bgr\AUTHORS.txt.tmp
%APPDATA%\bgr\libusb-1.0.dll.tmp
%APPDATA%\bgr\libjansson-4.dll.tmp
%APPDATA%\bgr\NEWS.txt.tmp
%APPDATA%\bgr\miner.php.tmp
%APPDATA%\bgr\libblkmaker-0.1-0.dll.tmp
%APPDATA%\bgr\example.conf.tmp
%APPDATA%\bgr\libcurl-4.dll.tmp
%APPDATA%\bgr\libblkmaker_jansson-0.1-0.dll.tmp

Удаляет следующие файлы:

%APPDATA%\bgr.zip

Перемещает следующие файлы:

%APPDATA%\bgr\README.Debian.txt.tmp в %APPDATA%\bgr\README.Debian.txt
%APPDATA%\bgr\README.FPGA.txt.tmp в %APPDATA%\bgr\README.FPGA.txt
%APPDATA%\bgr\README.RPC.txt.tmp в %APPDATA%\bgr\README.RPC.txt
%APPDATA%\bgr\README.ASIC.txt.tmp в %APPDATA%\bgr\README.ASIC.txt
%APPDATA%\bgr\phatk121016.cl.tmp в %APPDATA%\bgr\phatk121016.cl
%APPDATA%\bgr\poclbm130302.cl.tmp в %APPDATA%\bgr\poclbm130302.cl
%APPDATA%\bgr\pthreadGC2.dll.tmp в %APPDATA%\bgr\pthreadGC2.dll
%APPDATA%\bgr\README.scrypt.txt.tmp в %APPDATA%\bgr\README.scrypt.txt
%APPDATA%\bgr\zlib1.dll.tmp в %APPDATA%\bgr\zlib1.dll
%APPDATA%\tor\torrc.tmp в %APPDATA%\tor\torrc
%APPDATA%\tor\state.tmp в %APPDATA%\tor\state
%APPDATA%\bgr\windows-build.txt.tmp в %APPDATA%\bgr\windows-build.txt
%APPDATA%\bgr\README.txt.tmp в %APPDATA%\bgr\README.txt
%APPDATA%\bgr\scrypt130511.cl.tmp в %APPDATA%\bgr\scrypt130511.cl
%APPDATA%\bgr\svchost.exe.tmp в %APPDATA%\bgr\svchost.exe
%APPDATA%\bgr\diablo130302.cl.tmp в %APPDATA%\bgr\diablo130302.cl
%APPDATA%\bgr\diakgcn121016.cl.tmp в %APPDATA%\bgr\diakgcn121016.cl
%APPDATA%\bgr\example.conf.tmp в %APPDATA%\bgr\example.conf
%APPDATA%\bgr\COPYING.txt.tmp в %APPDATA%\bgr\COPYING.txt
%APPDATA%\bgr\AUTHORS.txt.tmp в %APPDATA%\bgr\AUTHORS.txt
%APPDATA%\bgr\bfgminer-rpc.exe.tmp в %APPDATA%\bgr\bfgminer-rpc.exe
%APPDATA%\bgr\bfgminer.exe.tmp в %APPDATA%\bgr\bfgminer.exe
%APPDATA%\bgr\libblkmaker-0.1-0.dll.tmp в %APPDATA%\bgr\libblkmaker-0.1-0.dll
%APPDATA%\bgr\miner.php.tmp в %APPDATA%\bgr\miner.php
%APPDATA%\bgr\NEWS.txt.tmp в %APPDATA%\bgr\NEWS.txt
%APPDATA%\bgr\pdcurses.dll.tmp в %APPDATA%\bgr\pdcurses.dll
%APPDATA%\bgr\libusb-1.0.dll.tmp в %APPDATA%\bgr\libusb-1.0.dll
%APPDATA%\bgr\libblkmaker_jansson-0.1-0.dll.tmp в %APPDATA%\bgr\libblkmaker_jansson-0.1-0.dll
%APPDATA%\bgr\libcurl-4.dll.tmp в %APPDATA%\bgr\libcurl-4.dll
%APPDATA%\bgr\libjansson-4.dll.tmp в %APPDATA%\bgr\libjansson-4.dll