Trojan.DownLoader9.46563

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'audioupdate' = '%APPDATA%\updates\winworker.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\updates\ufas.exe' /pid=4788
'%APPDATA%\updates\ufas.exe' /pid=3788
'%APPDATA%\updates\ufas.exe' /pid=4888
'%APPDATA%\updates\ufas.exe' /pid=500
'%APPDATA%\updates\ufas.exe' /pid=5368
'%APPDATA%\updates\ufas.exe' /pid=5616
'%APPDATA%\updates\ufas.exe' /pid=5696
'%APPDATA%\updates\ufas.exe' /pid=2752
'%APPDATA%\updates\ufas.exe' /pid=5596
'%APPDATA%\updates\ufas.exe' /pid=5396
'%APPDATA%\updates\ufas.exe' /pid=5988
'%APPDATA%\updates\ufas.exe' /pid=5428
'%APPDATA%\updates\ufas.exe' /pid=6096
'%APPDATA%\updates\ufas.exe' /pid=5348
'%APPDATA%\updates\ufas.exe' /pid=3888
'%APPDATA%\updates\ufas.exe' /pid=4264
'%APPDATA%\updates\ufas.exe' /pid=5668
'%APPDATA%\updates\ufas.exe' /pid=4512
'%APPDATA%\updates\ufas.exe' /pid=836
'%APPDATA%\updates\ufas.exe' /pid=5716
'%APPDATA%\updates\ufas.exe' /pid=5776
'%APPDATA%\updates\ufas.exe' /pid=5888
'%APPDATA%\updates\ufas.exe' /pid=2836
'%APPDATA%\updates\ufas.exe' /pid=4612
'%APPDATA%\updates\ufas.exe' /pid=1352
'%APPDATA%\updates\ufas.exe' /pid=184
'%APPDATA%\updates\ufas.exe' /pid=5076
'%APPDATA%\updates\ufas.exe' /pid=2604
'%APPDATA%\updates\ufas.exe' /pid=3284
'%APPDATA%\updates\ufas.exe' /pid=5536
'%APPDATA%\updates\ufas.exe' /pid=5916
'%APPDATA%\updates\ufas.exe' /pid=5068
'%APPDATA%\updates\ufas.exe' /pid=2692
'%APPDATA%\updates\ufas.exe' /pid=4204
'%APPDATA%\updates\ufas.exe' /pid=2844
'%APPDATA%\updates\ufas.exe' /pid=3708
'%APPDATA%\updates\ufas.exe' /pid=2496
'%APPDATA%\updates\ufas.exe' /pid=5676
'%APPDATA%\updates\ufas.exe' /pid=928
'%APPDATA%\updates\ufas.exe' /pid=5796
'%APPDATA%\updates\ufas.exe' /pid=4768
'%APPDATA%\updates\ufas.exe' /pid=5468
'%APPDATA%\updates\ufas.exe' /pid=4484
'%APPDATA%\updates\ufas.exe' /pid=3304
'%APPDATA%\updates\ufas.exe' /pid=5008
'%APPDATA%\updates\ufas.exe' /pid=3152
'%APPDATA%\updates\ufas.exe' /pid=2812
'%APPDATA%\updates\ufas.exe' /pid=1616
'%APPDATA%\updates\ufas.exe' /pid=308
'%APPDATA%\updates\ufas.exe' /pid=1728
'%APPDATA%\updates\ufas.exe' /pid=4184
'%APPDATA%\updates\ufas.exe' /pid=4016
'%APPDATA%\updates\ufas.exe' /pid=5548
'%APPDATA%\updates\ufas.exe' /pid=5016
'%APPDATA%\updates\ufas.exe' /pid=5288
'%APPDATA%\updates\ufas.exe' -a sha256 -g no -o http://5.###.178.59:8345 -u betab -p abc123 -t 1
'%APPDATA%\updates\ufas.exe' /pid=5096
'%APPDATA%\updates\ufas.exe' /pid=4896
'%APPDATA%\updates\ufas.exe' /pid=4112
'%APPDATA%\updates\ufas.exe' /pid=4996
'%APPDATA%\updates\ufas.exe' /pid=5628
'%APPDATA%\updates\ufas.exe' /pid=2156
'%APPDATA%\updates\ufas.exe' /pid=728
'%APPDATA%\updates\ufas.exe' /pid=4704
'%APPDATA%\updates\ufas.exe' /pid=4592
'%APPDATA%\updates\ufas.exe' /pid=5688
'%APPDATA%\updates\ufas.exe' /pid=4192
'%APPDATA%\updates\ufas.exe' /pid=5088
'%APPDATA%\updates\ufas.exe' /pid=4584
'%APPDATA%\updates\ufas.exe' /pid=3608
'%APPDATA%\updates\ufas.exe' /pid=4104
'%APPDATA%\updates\ufas.exe' /pid=5108
'%APPDATA%\updates\ufas.exe' /pid=4292
'%APPDATA%\updates\ufas.exe' /pid=4132
'%APPDATA%\updates\ufas.exe' /pid=5316
'%APPDATA%\updates\ufas.exe' /pid=3808
'%APPDATA%\updates\ufas.exe' /pid=5448
'%APPDATA%\updates\ufas.exe' /pid=4744
'%APPDATA%\updates\ufas.exe' /pid=4412
'%APPDATA%\updates\ufas.exe' /pid=5648
'%APPDATA%\updates\ufas.exe' /pid=4532
'%APPDATA%\updates\ufas.exe' /pid=5608
'<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
'%APPDATA%\updates\ufas.exe' (загружен из сети Интернет)