Trojan.DownLoader10.28266

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'winupdator' = '%APPDATA%\winupdate\Mining.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\winupdate\winupdator.exe' /pid=4240
'%APPDATA%\winupdate\winupdator.exe' /pid=4188
'%APPDATA%\winupdate\winupdator.exe' /pid=3084
'%APPDATA%\winupdate\winupdator.exe' /pid=1380
'%APPDATA%\winupdate\winupdator.exe' /pid=2728
'%APPDATA%\winupdate\winupdator.exe' /pid=5216
'%APPDATA%\winupdate\winupdator.exe' /pid=4908
'%APPDATA%\winupdate\winupdator.exe' /pid=1120
'%APPDATA%\winupdate\winupdator.exe' /pid=4844
'%APPDATA%\winupdate\winupdator.exe' /pid=4392
'%APPDATA%\winupdate\winupdator.exe' /pid=6036
'%APPDATA%\winupdate\winupdator.exe' /pid=5496
'%APPDATA%\winupdate\winupdator.exe' /pid=5256
'%APPDATA%\winupdate\winupdator.exe' /pid=5696
'%APPDATA%\winupdate\winupdator.exe' /pid=5548
'%APPDATA%\winupdate\winupdator.exe' /pid=4228
'%APPDATA%\winupdate\winupdator.exe' /pid=2624
'%APPDATA%\winupdate\winupdator.exe' /pid=6096
'%APPDATA%\winupdate\winupdator.exe' /pid=5348
'%APPDATA%\winupdate\winupdator.exe' /pid=5328
'%APPDATA%\winupdate\winupdator.exe' /pid=5116
'%APPDATA%\winupdate\winupdator.exe' /pid=1488
'%APPDATA%\winupdate\winupdator.exe' /pid=3344
'%APPDATA%\winupdate\winupdator.exe' /pid=4744
'%APPDATA%\winupdate\winupdator.exe' /pid=5608
'%APPDATA%\winupdate\winupdator.exe' /pid=2536
'%APPDATA%\winupdate\winupdator.exe' /pid=5208
'%APPDATA%\winupdate\winupdator.exe' /pid=5336
'%APPDATA%\winupdate\winupdator.exe' /pid=5656
'%APPDATA%\winupdate\winupdator.exe' /pid=3064
'%APPDATA%\winupdate\winupdator.exe' /pid=4512
'%APPDATA%\winupdate\winupdator.exe' /pid=6136
'%APPDATA%\winupdate\winupdator.exe' /pid=5268
'%APPDATA%\winupdate\winupdator.exe' /pid=732
'%APPDATA%\winupdate\winupdator.exe' /pid=4128
'%APPDATA%\winupdate\winupdator.exe' /pid=776
'%APPDATA%\winupdate\winupdator.exe' /pid=4792
'%APPDATA%\winupdate\winupdator.exe' /pid=640
'%APPDATA%\winupdate\winupdator.exe' /pid=3584
'%APPDATA%\winupdate\winupdator.exe' /pid=3464
'%APPDATA%\winupdate\winupdator.exe' /pid=3364
'%APPDATA%\winupdate\winupdator.exe' /pid=3212
'%APPDATA%\winupdate\winupdator.exe' /pid=3664
'%APPDATA%\winupdate\winupdator.exe' /pid=980
'%APPDATA%\winupdate\winupdator.exe' /pid=5308
'%APPDATA%\winupdate\winupdator.exe' /pid=5676
'%APPDATA%\winupdate\winupdator.exe' /pid=4704
'%APPDATA%\winupdate\winupdator.exe' /pid=5008
'%APPDATA%\winupdate\winupdator.exe' /pid=3712
'%APPDATA%\winupdate\winupdator.exe' /pid=5228
'%APPDATA%\winupdate\winupdator.exe' /pid=5288
'%APPDATA%\winupdate\winupdator.exe' -a sha256 -o http://fo#############bardy:Animal123@eu.triplemining.com:8344 -T 83 -l yes
'%APPDATA%\winupdate\winupdator.exe' /pid=5076
'%APPDATA%\winupdate\winupdator.exe' /pid=4996
'%APPDATA%\winupdate\winupdator.exe' /pid=3652
'%APPDATA%\winupdate\winupdator.exe' /pid=5136
'%APPDATA%\winupdate\winupdator.exe' /pid=4812
'%APPDATA%\winupdate\winupdator.exe' /pid=4412
'%APPDATA%\winupdate\winupdator.exe' /pid=4692
'%APPDATA%\winupdate\winupdator.exe' /pid=4068
'%APPDATA%\winupdate\winupdator.exe' /pid=3484
'%APPDATA%\winupdate\winupdator.exe' /pid=1720
'%APPDATA%\winupdate\winupdator.exe' /pid=3564
'%APPDATA%\winupdate\winupdator.exe' /pid=3944
'%APPDATA%\winupdate\winupdator.exe' /pid=4200
'%APPDATA%\winupdate\winupdator.exe' /pid=4048
'%APPDATA%\winupdate\winupdator.exe' /pid=3164
'%APPDATA%\winupdate\winupdator.exe' /pid=2984
'%APPDATA%\winupdate\winupdator.exe' /pid=5628
'%APPDATA%\winupdate\winupdator.exe' /pid=4332
'%APPDATA%\winupdate\winupdator.exe' /pid=5436
'%APPDATA%\winupdate\winupdator.exe' /pid=5448
'%APPDATA%\winupdate\winupdator.exe' /pid=4732
'%APPDATA%\winupdate\winupdator.exe' /pid=2716
'%APPDATA%\winupdate\winupdator.exe' /pid=6028
'%APPDATA%\winupdate\winupdator.exe' /pid=6068
'%APPDATA%\winupdate\winupdator.exe' /pid=4632
'%APPDATA%\winupdate\winupdator.exe' (загружен из сети Интернет)

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\winupdate\winupdator.exe
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new

Перемещает следующие файлы:

%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\enterprisesec.config.cch
%WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch.new в %WINDIR%\Microsoft.NET\Framework\v2.0.50727\CONFIG\security.config.cch

Самоперемещается: