Trojan.DownLoader10.920

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\\Loader.exe'
[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'shell' = '%APPDATA%\Office Update\Office Update.exe,explorer.exe'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\UFASoft.exe' /pid=5556
'%APPDATA%\UFASoft.exe' /pid=5836
'%APPDATA%\UFASoft.exe' /pid=5596
'%APPDATA%\UFASoft.exe' /pid=5576
'%APPDATA%\UFASoft.exe' /pid=6076
'%APPDATA%\UFASoft.exe' /pid=6108
'%APPDATA%\UFASoft.exe' /pid=5888
'%APPDATA%\UFASoft.exe' /pid=5872
'%APPDATA%\UFASoft.exe' /pid=4588
'%APPDATA%\UFASoft.exe' /pid=4988
'%APPDATA%\UFASoft.exe' /pid=5016
'%APPDATA%\UFASoft.exe' /pid=5096
'%APPDATA%\UFASoft.exe' /pid=5276
'%APPDATA%\UFASoft.exe' /pid=5336
'%APPDATA%\UFASoft.exe' /pid=5116
'%APPDATA%\UFASoft.exe' /pid=5296
'%APPDATA%\UFASoft.exe' /pid=4248
'%APPDATA%\UFASoft.exe' /pid=4956
'%APPDATA%\UFASoft.exe' /pid=4556
'%APPDATA%\UFASoft.exe' /pid=4896
'%APPDATA%\UFASoft.exe' /pid=5236
'%APPDATA%\UFASoft.exe' /pid=5028
'%APPDATA%\UFASoft.exe' /pid=4628
'%APPDATA%\UFASoft.exe' /pid=5168
'%APPDATA%\UFASoft.exe' /pid=3376
'%APPDATA%\UFASoft.exe' /pid=3876
'%APPDATA%\UFASoft.exe' /pid=2332
'%APPDATA%\UFASoft.exe' /pid=6088
'%APPDATA%\UFASoft.exe' /pid=4168
'%APPDATA%\UFASoft.exe' /pid=2524
'%APPDATA%\UFASoft.exe' /pid=3676
'%APPDATA%\UFASoft.exe' /pid=4116
'%APPDATA%\UFASoft.exe' /pid=4876
'%APPDATA%\UFASoft.exe' /pid=4148
'%APPDATA%\UFASoft.exe' /pid=3124
'%APPDATA%\UFASoft.exe' /pid=3536
'%APPDATA%\UFASoft.exe' /pid=4468
'%APPDATA%\UFASoft.exe' /pid=5248
'%APPDATA%\UFASoft.exe' /pid=5148
'%APPDATA%\UFASoft.exe' /pid=5048
'%APPDATA%\UFASoft.exe' /pid=2764
'%APPDATA%\UFASoft.exe' /pid=2668
'%APPDATA%\UFASoft.exe' -a sha256 -g no -o stratum.mining.eligius.st:3334 -u 1HXaxxcGmQRibg5v2denTRYEm6naCUoxTo -p werwerwerwerwer -t 1
'%TEMP%\setup.exe'
'%APPDATA%\UFASoft.exe' /pid=3164
'%APPDATA%\UFASoft.exe' /pid=2604
'%APPDATA%\UFASoft.exe' /pid=3584
'%APPDATA%\UFASoft.exe' /pid=256
'%APPDATA%\UFASoft.exe' /pid=5692
'%APPDATA%\UFASoft.exe' /pid=3884
'%APPDATA%\UFASoft.exe' /pid=4136
'%APPDATA%\UFASoft.exe' /pid=992
'%APPDATA%\UFASoft.exe' /pid=3036
'%APPDATA%\UFASoft.exe' /pid=4676
'%APPDATA%\UFASoft.exe' /pid=4128
'%APPDATA%\UFASoft.exe' /pid=4396
'%APPDATA%\UFASoft.exe' /pid=3464
'%APPDATA%\UFASoft.exe' /pid=6012
'%APPDATA%\UFASoft.exe' /pid=5868
'%APPDATA%\UFASoft.exe' /pid=5832
'%APPDATA%\UFASoft.exe' /pid=6048
'%APPDATA%\UFASoft.exe' /pid=2780
'%APPDATA%\UFASoft.exe' /pid=3476
'%APPDATA%\UFASoft.exe' /pid=6136
'%APPDATA%\UFASoft.exe' (загружен из сети Интернет)

Запускает на исполнение:

'<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /f /v shell /t REG_SZ /d "%APPDATA%\Office Update\Office Update.exe,explorer.exe"

Изменения в файловой системе:

Создает следующие файлы: