Trojan.DownLoader9.57192

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Winlogin' = '%APPDATA%\Windows\gaming.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Windows\Svchost.exe' /pid=3352
'%APPDATA%\Windows\Svchost.exe' /pid=4836
'%APPDATA%\Windows\Svchost.exe' /pid=6280
'%APPDATA%\Windows\Svchost.exe' /pid=4236
'%APPDATA%\Windows\Svchost.exe' /pid=5260
'%APPDATA%\Windows\Svchost.exe' /pid=3732
'%APPDATA%\Windows\Svchost.exe' /pid=4344
'%APPDATA%\Windows\Svchost.exe' /pid=6456
'%APPDATA%\Windows\Svchost.exe' /pid=6716
'%APPDATA%\Windows\Svchost.exe' /pid=6616
'%APPDATA%\Windows\Svchost.exe' /pid=6336
'%APPDATA%\Windows\Svchost.exe' /pid=6152
'%APPDATA%\Windows\Svchost.exe' /pid=6156
'%APPDATA%\Windows\Svchost.exe' /pid=6272
'%APPDATA%\Windows\Svchost.exe' /pid=3020
'%APPDATA%\Windows\Svchost.exe' /pid=5864
'%APPDATA%\Windows\Svchost.exe' /pid=5740
'%APPDATA%\Windows\Svchost.exe' /pid=5240
'%APPDATA%\Windows\Svchost.exe' /pid=2716
'%APPDATA%\Windows\Svchost.exe' /pid=5992
'%APPDATA%\Windows\Svchost.exe' /pid=4476
'%APPDATA%\Windows\Svchost.exe' /pid=3572
'%APPDATA%\Windows\Svchost.exe' /pid=2848
'%APPDATA%\Windows\Svchost.exe' /pid=3152
'%APPDATA%\Windows\Svchost.exe' /pid=5528
'%APPDATA%\Windows\Svchost.exe' /pid=6064
'%APPDATA%\Windows\Svchost.exe' /pid=2792
'%APPDATA%\Windows\Svchost.exe' /pid=6112
'%APPDATA%\Windows\Svchost.exe' /pid=6756
'%APPDATA%\Windows\Svchost.exe' /pid=6476
'%APPDATA%\Windows\Svchost.exe' /pid=6492
'%APPDATA%\Windows\Svchost.exe' /pid=6860
'%APPDATA%\Windows\Svchost.exe' /pid=6196
'%APPDATA%\Windows\Svchost.exe' /pid=8096
'%APPDATA%\Windows\Svchost.exe' /pid=8116
'%APPDATA%\Windows\Svchost.exe' /pid=6180
'%APPDATA%\Windows\Svchost.exe' /pid=7452
'%APPDATA%\Windows\Svchost.exe' /pid=7556
'%APPDATA%\Windows\Svchost.exe' /pid=7692
'%APPDATA%\Windows\Svchost.exe' /pid=7012
'%APPDATA%\Windows\Svchost.exe' /pid=6776
'%APPDATA%\Windows\Svchost.exe' /pid=7092
'%APPDATA%\Windows\Svchost.exe' /pid=6996
'%APPDATA%\Windows\Svchost.exe' /pid=7292
'%APPDATA%\Windows\Svchost.exe' /pid=7376
'%APPDATA%\Windows\Svchost.exe' /pid=7596
'%APPDATA%\Windows\Svchost.exe' /pid=7296
'%APPDATA%\Windows\Svchost.exe' /pid=7016
'%APPDATA%\Windows\Svchost.exe' /pid=7032
'%APPDATA%\Windows\Svchost.exe' /pid=7056
'%APPDATA%\Windows\Svchost.exe' /pid=7976
'%APPDATA%\Windows\Svchost.exe' /pid=8160
'%APPDATA%\Windows\Svchost.exe' /pid=8072
'%APPDATA%\Windows\Svchost.exe' /pid=7936
'%APPDATA%\Windows\Svchost.exe' /pid=7696
'%APPDATA%\Windows\Svchost.exe' /pid=7856
'%APPDATA%\Windows\Svchost.exe' /pid=7876
'%APPDATA%\Windows\Svchost.exe' /pid=2756
'%APPDATA%\Windows\Svchost.exe' /pid=5460
'%APPDATA%\Windows\Svchost.exe' /pid=3052
'%APPDATA%\Windows\Svchost.exe' /pid=4356
'%APPDATA%\Windows\Svchost.exe' /pid=3880
'%APPDATA%\Windows\Svchost.exe' /pid=1484
'%APPDATA%\Windows\Svchost.exe' /pid=3260
'%APPDATA%\Windows\Svchost.exe' /pid=6032
'%APPDATA%\Windows\Svchost.exe' /pid=4276
'%APPDATA%\Windows\Svchost.exe' /pid=5760
'%APPDATA%\Windows\Svchost.exe' /pid=3520
'%APPDATA%\Windows\Svchost.exe' /pid=5368
'%APPDATA%\Windows\Svchost.exe' /pid=5268
'%APPDATA%\Windows\Svchost.exe' /pid=5748
'%APPDATA%\Windows\Svchost.exe' /pid=4524
'%APPDATA%\Windows\Svchost.exe' /pid=2952
'%APPDATA%\Windows\Svchost.exe' /pid=2700
'%APPDATA%\Windows\Svchost.exe' -a sha256 -g no -o http://ap#.##tcoin.cz:8332 -u executioner.worker1 -p kala123 -t 2
'%APPDATA%\Windows\Svchost.exe' /pid=5208
'%APPDATA%\Windows\Svchost.exe' /pid=4924
'%APPDATA%\Windows\Svchost.exe' /pid=5468
'%APPDATA%\Windows\Svchost.exe' /pid=5860
'%APPDATA%\Windows\Svchost.exe' /pid=5160
'%APPDATA%\Windows\Svchost.exe' /pid=5808
'%APPDATA%\Windows\Svchost.exe' /pid=3252
'%APPDATA%\Windows\Svchost.exe' /pid=3552
'%APPDATA%\Windows\Svchost.exe' /pid=4844
'%APPDATA%\Windows\Svchost.exe' /pid=272
'%APPDATA%\Windows\Svchost.exe' /pid=4224
'%APPDATA%\Windows\Svchost.exe' /pid=3972
'%APPDATA%\Windows\Svchost.exe' /pid=4072
'%APPDATA%\Windows\Svchost.exe' /pid=4724
'%APPDATA%\Windows\Svchost.exe' /pid=5280
'%APPDATA%\Windows\Svchost.exe' /pid=5128
'%APPDATA%\Windows\Svchost.exe' /pid=3072
'%APPDATA%\Windows\Svchost.exe' /pid=3952
'%APPDATA%\Windows\Svchost.exe' /pid=3632
'%APPDATA%\Windows\Svchost.exe' /pid=5228
'%APPDATA%\Windows\Svchost.exe' /pid=5248
'%APPDATA%\Windows\Svchost.exe' /pid=5884
'%APPDATA%\Windows\Svchost.exe' /pid=4504
'%APPDATA%\Windows\Svchost.exe' /pid=5004
'%APPDATA%\Windows\Svchost.exe' /pid=3132
'%APPDATA%\Windows\Svchost.exe' /pid=1660
'%APPDATA%\Windows\Svchost.exe' /pid=3532
'%APPDATA%\Windows\Svchost.exe' /pid=4256
'%APPDATA%\Windows\Svchost.exe' /pid=3640
'%APPDATA%\Windows\Svchost.exe' /pid=4404
'%APPDATA%\Windows\Svchost.exe' /pid=3232
'%APPDATA%\Windows\Svchost.exe' /pid=4736
'%APPDATA%\Windows\Svchost.exe' /pid=192
'%APPDATA%\Windows\Svchost.exe' /pid=992
'%APPDATA%\Windows\Svchost.exe' /pid=3852
'%APPDATA%\Windows\Svchost.exe' /pid=4336
'%APPDATA%\Windows\Svchost.exe' /pid=2596
'<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
'%APPDATA%\Windows\Svchost.exe' (загружен из сети Интернет)