Trojan.DownLoader10.1363

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\\Loader.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = '%APPDATA%\Office Update\Office Update.exe,explorer.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\UFASoft.exe' /pid=5744
'%APPDATA%\UFASoft.exe' /pid=5584
'%APPDATA%\UFASoft.exe' /pid=5084
'%APPDATA%\UFASoft.exe' /pid=3052
'%APPDATA%\UFASoft.exe' /pid=3544
'%APPDATA%\UFASoft.exe' /pid=4164
'%APPDATA%\UFASoft.exe' /pid=2732
'%APPDATA%\UFASoft.exe' /pid=5552
'%APPDATA%\UFASoft.exe' /pid=3064
'%APPDATA%\UFASoft.exe' /pid=4072
'%APPDATA%\UFASoft.exe' /pid=5512
'%APPDATA%\UFASoft.exe' /pid=4764
'%APPDATA%\UFASoft.exe' /pid=6052
'%APPDATA%\UFASoft.exe' /pid=5352
'%APPDATA%\UFASoft.exe' /pid=3564
'%APPDATA%\UFASoft.exe' /pid=3084
'%APPDATA%\UFASoft.exe' /pid=4284
'%APPDATA%\UFASoft.exe' /pid=720
'%APPDATA%\UFASoft.exe' /pid=5152
'%APPDATA%\UFASoft.exe' /pid=4448
'%APPDATA%\UFASoft.exe' /pid=4984
'%APPDATA%\UFASoft.exe' /pid=5812
'%APPDATA%\UFASoft.exe' /pid=4792
'%APPDATA%\UFASoft.exe' /pid=4892
'%APPDATA%\UFASoft.exe' /pid=6032
'%APPDATA%\UFASoft.exe' /pid=3432
'%APPDATA%\UFASoft.exe' /pid=3532
'%APPDATA%\UFASoft.exe' /pid=5684
'%APPDATA%\UFASoft.exe' /pid=3644
'%APPDATA%\UFASoft.exe' /pid=4044
'%APPDATA%\UFASoft.exe' /pid=4064
'%APPDATA%\UFASoft.exe' /pid=3384
'%APPDATA%\UFASoft.exe' /pid=4872
'%APPDATA%\UFASoft.exe' /pid=3972
'%APPDATA%\UFASoft.exe' /pid=3592
'%APPDATA%\UFASoft.exe' /pid=4144
'%APPDATA%\UFASoft.exe' /pid=6124
'%APPDATA%\UFASoft.exe' /pid=4216
'%APPDATA%\UFASoft.exe' -a sha256 -g no -o stratum.mining.eligius.st:3334 -u 1HXaxxcGmQRibg5v2denTRYEm6naCUoxTo -p werwerwerwerwer -t 1
'%APPDATA%\UFASoft.exe' /pid=3004
'%APPDATA%\UFASoft.exe' /pid=2528
'%APPDATA%\UFASoft.exe' /pid=2916
'%APPDATA%\UFASoft.exe' /pid=2688
'%APPDATA%\UFASoft.exe' /pid=5644
'%APPDATA%\UFASoft.exe' /pid=5884
'%APPDATA%\UFASoft.exe' /pid=3884
'%APPDATA%\UFASoft.exe' /pid=3984
'%APPDATA%\UFASoft.exe' /pid=3352
'%APPDATA%\UFASoft.exe' /pid=5264
'%APPDATA%\UFASoft.exe' /pid=2704
'%APPDATA%\UFASoft.exe' /pid=4236
'%APPDATA%\UFASoft.exe' /pid=5532
'%APPDATA%\UFASoft.exe' /pid=4256
'%APPDATA%\UFASoft.exe' /pid=4964
'%APPDATA%\UFASoft.exe' /pid=5992
'<SYSTEM32>\reg.exe' (загружен из сети Интернет)
'%APPDATA%\UFASoft.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' /pid=5864
'<SYSTEM32>\reg.exe' -a sha256 -g no -o stratum.mining.eligius.st:3334 -u 1HXaxxcGmQRibg5v2denTRYEm6naCUoxTo -p werwerwerwerwer -t 1
'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v shell /t REG_SZ /d "%APPDATA%\Office Update\Office Update.exe,explorer.exe"

Внедряет код в

следующие системные процессы: