Trojan.DownLoader9.48278

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Startup' = '%APPDATA%\windhelp\windhelp.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\windhelp\threadman.exe' /pid=5236
'%APPDATA%\windhelp\threadman.exe' /pid=5136
'%APPDATA%\windhelp\threadman.exe' /pid=3264
'%APPDATA%\windhelp\threadman.exe' /pid=1132
'%APPDATA%\windhelp\threadman.exe' /pid=3816
'%APPDATA%\windhelp\threadman.exe' /pid=1452
'%APPDATA%\windhelp\threadman.exe' /pid=4248
'%APPDATA%\windhelp\threadman.exe' /pid=5216
'%APPDATA%\windhelp\threadman.exe' /pid=5316
'%APPDATA%\windhelp\threadman.exe' /pid=4112
'%APPDATA%\windhelp\threadman.exe' /pid=5128
'%APPDATA%\windhelp\threadman.exe' /pid=5616
'%APPDATA%\windhelp\threadman.exe' /pid=5248
'%APPDATA%\windhelp\threadman.exe' /pid=4748
'%APPDATA%\windhelp\threadman.exe' /pid=5668
'%APPDATA%\windhelp\threadman.exe' /pid=5876
'%APPDATA%\windhelp\threadman.exe' /pid=5928
'%APPDATA%\windhelp\threadman.exe' /pid=5516
'%APPDATA%\windhelp\threadman.exe' /pid=6116
'%APPDATA%\windhelp\threadman.exe' /pid=364
'%APPDATA%\windhelp\threadman.exe' /pid=5976
'%APPDATA%\windhelp\threadman.exe' /pid=5156
'%APPDATA%\windhelp\threadman.exe' /pid=3396
'%APPDATA%\windhelp\threadman.exe' /pid=5908
'%APPDATA%\windhelp\threadman.exe' /pid=3516
'%APPDATA%\windhelp\threadman.exe' /pid=3876
'%APPDATA%\windhelp\threadman.exe' /pid=920
'%APPDATA%\windhelp\threadman.exe' /pid=1912
'%APPDATA%\windhelp\threadman.exe' /pid=640
'%APPDATA%\windhelp\threadman.exe' /pid=6016
'%APPDATA%\windhelp\threadman.exe' /pid=3384
'%APPDATA%\windhelp\threadman.exe' /pid=5368
'%APPDATA%\windhelp\threadman.exe' /pid=780
'%APPDATA%\windhelp\threadman.exe' /pid=2580
'%APPDATA%\windhelp\threadman.exe' /pid=2216
'%APPDATA%\windhelp\threadman.exe' /pid=2604
'%APPDATA%\windhelp\threadman.exe' /pid=2592
'%APPDATA%\windhelp\threadman.exe' /pid=5096
'%APPDATA%\windhelp\threadman.exe' /pid=3676
'%APPDATA%\windhelp\threadman.exe' /pid=4232
'%APPDATA%\windhelp\threadman.exe' /pid=4316
'%APPDATA%\windhelp\threadman.exe' /pid=4636
'%APPDATA%\windhelp\threadman.exe' /pid=4436
'%APPDATA%\windhelp\threadman.exe' /pid=3596
'%APPDATA%\windhelp\threadman.exe' /pid=3796
'%APPDATA%\windhelp\threadman.exe' /pid=4268
'%APPDATA%\windhelp\threadman.exe' /pid=3296
'%APPDATA%\windhelp\threadman.exe' /pid=3896
'%APPDATA%\windhelp\threadman.exe' /pid=5228
'%APPDATA%\windhelp\threadman.exe' /pid=5328
'%APPDATA%\windhelp\threadman.exe' -a sha256 -o http://re##########23@stratum.btcguild.com:3333 -T 83 -l yes
'%APPDATA%\windhelp\threadman.exe' /pid=5068
'%APPDATA%\windhelp\threadman.exe' /pid=5468
'%APPDATA%\windhelp\threadman.exe' /pid=2708
'%APPDATA%\windhelp\threadman.exe' /pid=5036
'%APPDATA%\windhelp\threadman.exe' /pid=5848
'%APPDATA%\windhelp\threadman.exe' /pid=2640
'%APPDATA%\windhelp\threadman.exe' /pid=4868
'%APPDATA%\windhelp\threadman.exe' /pid=4716
'%APPDATA%\windhelp\threadman.exe' /pid=4836
'%APPDATA%\windhelp\threadman.exe' /pid=4656
'%APPDATA%\windhelp\threadman.exe' /pid=5056
'%APPDATA%\windhelp\threadman.exe' /pid=4516
'%APPDATA%\windhelp\threadman.exe' /pid=1420
'%APPDATA%\windhelp\threadman.exe' /pid=3696
'%APPDATA%\windhelp\threadman.exe' /pid=3916
'%APPDATA%\windhelp\threadman.exe' /pid=3316
'%APPDATA%\windhelp\threadman.exe' /pid=5696
'%APPDATA%\windhelp\threadman.exe' /pid=5648
'%APPDATA%\windhelp\threadman.exe' /pid=5148
'%APPDATA%\windhelp\threadman.exe' /pid=5436
'%APPDATA%\windhelp\threadman.exe' /pid=5996
'%APPDATA%\windhelp\threadman.exe' /pid=5888
'%APPDATA%\windhelp\threadman.exe' /pid=4132
'%APPDATA%\windhelp\threadman.exe' /pid=2768
'%APPDATA%\windhelp\threadman.exe' /pid=2572
'%APPDATA%\windhelp\threadman.exe' (загружен из сети Интернет)