Trojan.DownLoader9.34104

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindHost' = '%APPDATA%\temp\WindHost.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe ,%APPDATA%\<Имя вируса>.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\temp\UFASoft.exe' /pid=4448
'%APPDATA%\temp\UFASoft.exe' /pid=5276
'%APPDATA%\temp\UFASoft.exe' /pid=4588
'%APPDATA%\temp\UFASoft.exe' /pid=4816
'%APPDATA%\temp\UFASoft.exe' /pid=5476
'%APPDATA%\temp\UFASoft.exe' /pid=5596
'%APPDATA%\temp\UFASoft.exe' /pid=5288
'%APPDATA%\temp\UFASoft.exe' /pid=4748
'%APPDATA%\temp\UFASoft.exe' /pid=2408
'%APPDATA%\temp\UFASoft.exe' /pid=4956
'%APPDATA%\temp\UFASoft.exe' /pid=5916
'%APPDATA%\temp\UFASoft.exe' /pid=6048
'%APPDATA%\temp\UFASoft.exe' /pid=5728
'%APPDATA%\temp\UFASoft.exe' /pid=5776
'%APPDATA%\temp\UFASoft.exe' /pid=428
'%APPDATA%\temp\UFASoft.exe' /pid=2060
'%APPDATA%\temp\UFASoft.exe' /pid=4344
'%APPDATA%\temp\UFASoft.exe' /pid=2688
'%APPDATA%\temp\UFASoft.exe' /pid=4384
'%APPDATA%\temp\UFASoft.exe' /pid=5628
'%APPDATA%\temp\UFASoft.exe' /pid=3988
'%APPDATA%\temp\UFASoft.exe' /pid=4836
'%APPDATA%\temp\UFASoft.exe' /pid=6068
'%APPDATA%\temp\UFASoft.exe' /pid=6012
'%APPDATA%\temp\UFASoft.exe' /pid=6136
'%APPDATA%\temp\UFASoft.exe' /pid=3568
'%APPDATA%\temp\UFASoft.exe' /pid=4756
'%APPDATA%\temp\UFASoft.exe' /pid=5952
'%APPDATA%\temp\UFASoft.exe' /pid=4392
'%APPDATA%\temp\UFASoft.exe' /pid=5852
'%APPDATA%\temp\UFASoft.exe' /pid=2840
'%APPDATA%\temp\UFASoft.exe' /pid=3156
'%APPDATA%\temp\UFASoft.exe' /pid=3976
'%APPDATA%\temp\UFASoft.exe' /pid=5848
'%APPDATA%\temp\UFASoft.exe' /pid=3056
'%APPDATA%\temp\UFASoft.exe' /pid=4536
'%APPDATA%\temp\UFASoft.exe' /pid=4668
'%APPDATA%\temp\UFASoft.exe' /pid=5016
'%APPDATA%\temp\UFASoft.exe' /pid=4292
'%APPDATA%\temp\UFASoft.exe' /pid=2784
'%APPDATA%\temp\UFASoft.exe' /pid=3308
'%APPDATA%\temp\UFASoft.exe' /pid=500
'%APPDATA%\temp\UFASoft.exe' /pid=3048
'%APPDATA%\temp\UFASoft.exe' /pid=4204
'%APPDATA%\temp\UFASoft.exe' /pid=4468
'%APPDATA%\temp\UFASoft.exe' /pid=4688
'%APPDATA%\temp\UFASoft.exe' /pid=4284
'%APPDATA%\temp\UFASoft.exe' /pid=4364
'%APPDATA%\temp\UFASoft.exe' /pid=316
'%APPDATA%\temp\UFASoft.exe' /pid=2536
'%APPDATA%\temp\UFASoft.exe' -a sha256 -g no -o pool.50btc.com:8332 -u skydaddyhacks@aol.com -p imirish90 -t 8
'%APPDATA%\temp\UFASoft.exe' /pid=2416
'%APPDATA%\temp\UFASoft.exe' /pid=3160
'%APPDATA%\temp\UFASoft.exe' /pid=2672
'%APPDATA%\temp\UFASoft.exe' /pid=3404
'%APPDATA%\temp\UFASoft.exe' /pid=3360
'%APPDATA%\temp\UFASoft.exe' /pid=3572
'%APPDATA%\temp\UFASoft.exe' /pid=4768
'%APPDATA%\temp\UFASoft.exe' /pid=4048
'%APPDATA%\temp\UFASoft.exe' /pid=4556
'%APPDATA%\temp\UFASoft.exe' /pid=3248
'%APPDATA%\temp\UFASoft.exe' /pid=3384
'%APPDATA%\temp\UFASoft.exe' /pid=4928
'%APPDATA%\temp\UFASoft.exe' /pid=5516
'%APPDATA%\temp\UFASoft.exe' /pid=5636
'%APPDATA%\temp\UFASoft.exe' /pid=5156
'%APPDATA%\temp\UFASoft.exe' /pid=5556
'%APPDATA%\temp\UFASoft.exe' /pid=5608
'%APPDATA%\temp\UFASoft.exe' /pid=5892
'%APPDATA%\temp\UFASoft.exe' /pid=5308
'%APPDATA%\temp\UFASoft.exe' /pid=4868
'%APPDATA%\temp\UFASoft.exe' /pid=5208
'%APPDATA%\temp\UFASoft.exe' /pid=3548
'%APPDATA%\temp\UFASoft.exe' /pid=2976
'%APPDATA%\temp\UFASoft.exe' /pid=6132
'%APPDATA%\temp\UFASoft.exe' /pid=5908
'<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
'%APPDATA%\temp\UFASoft.exe' (загружен из сети Интернет)