Trojan.Starter.2284

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%WINDIR%\explorer.exe, <Полный путь к вирусу>'

Вредоносные функции:

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' /pid=5608
'<SYSTEM32>\conhost.exe' /pid=2840
'<SYSTEM32>\reg.exe' /pid=4584
'<SYSTEM32>\conhost.exe' /pid=5844
'<SYSTEM32>\conhost.exe' /pid=4160
'<SYSTEM32>\conhost.exe' /pid=6112
'<SYSTEM32>\conhost.exe' /pid=5064
'<SYSTEM32>\conhost.exe' /pid=5876
'<SYSTEM32>\reg.exe' /pid=4388
'<SYSTEM32>\reg.exe' /pid=5692
'<SYSTEM32>\conhost.exe' /pid=4824
'<SYSTEM32>\reg.exe' /pid=2840
'<SYSTEM32>\reg.exe' /pid=4444
'<SYSTEM32>\conhost.exe' /pid=4908
'<SYSTEM32>\conhost.exe' /pid=4952
'<SYSTEM32>\conhost.exe' /pid=4216
'<SYSTEM32>\reg.exe' /pid=3576
'<SYSTEM32>\reg.exe' /pid=5880
'<SYSTEM32>\conhost.exe' /pid=5916
'<SYSTEM32>\conhost.exe' /pid=3780
'<SYSTEM32>\conhost.exe' /pid=4984
'<SYSTEM32>\reg.exe' /pid=5216
'<SYSTEM32>\reg.exe' /pid=3600
'<SYSTEM32>\conhost.exe' /pid=5224
'<SYSTEM32>\reg.exe' /pid=4980
'<SYSTEM32>\conhost.exe' /pid=200
'<SYSTEM32>\reg.exe' /pid=4788
'<SYSTEM32>\conhost.exe' /pid=4064
'<SYSTEM32>\reg.exe' /pid=5848
'<SYSTEM32>\conhost.exe' /pid=4588
'<SYSTEM32>\reg.exe' /pid=4204
'<SYSTEM32>\conhost.exe' /pid=5040
'<SYSTEM32>\conhost.exe' /pid=5260
'<SYSTEM32>\conhost.exe' /pid=3880
'<SYSTEM32>\reg.exe' /pid=5688
'<SYSTEM32>\conhost.exe' /pid=4528
'<SYSTEM32>\conhost.exe' /pid=5016
'<SYSTEM32>\conhost.exe' /pid=4756
'<SYSTEM32>\reg.exe' /pid=6528
'<SYSTEM32>\conhost.exe' /pid=6768
'<SYSTEM32>\reg.exe' /pid=7248
'<SYSTEM32>\conhost.exe' /pid=6192
'<SYSTEM32>\reg.exe' /pid=5576
'<SYSTEM32>\reg.exe' /pid=3880
'<SYSTEM32>\reg.exe' /pid=5532
'<SYSTEM32>\reg.exe' /pid=4212
'<SYSTEM32>\reg.exe' /pid=5868
'<SYSTEM32>\conhost.exe' /pid=5408
'<SYSTEM32>\reg.exe' /pid=6136
'<SYSTEM32>\reg.exe' /pid=5928
'<SYSTEM32>\reg.exe' /pid=5004
'<SYSTEM32>\reg.exe' /pid=2868
'<SYSTEM32>\conhost.exe' /pid=5368
'<SYSTEM32>\conhost.exe' /pid=5576
'<SYSTEM32>\conhost.exe' /pid=5768
'<SYSTEM32>\reg.exe' /pid=5640
'<SYSTEM32>\reg.exe' /pid=3856
'<SYSTEM32>\reg.exe' /pid=5864
'<SYSTEM32>\reg.exe' /pid=4316
'<SYSTEM32>\conhost.exe' /pid=5632
'<SYSTEM32>\conhost.exe' /pid=868
'<SYSTEM32>\reg.exe'
'<SYSTEM32>\reg.exe' /pid=4000
'<SYSTEM32>\reg.exe' /pid=3064
'<SYSTEM32>\rundll32.exe' /pid=3944
'<SYSTEM32>\conhost.exe' /pid=3792
'<SYSTEM32>\conhost.exe' /pid=4028
'<SYSTEM32>\reg.exe' /pid=576
'<SYSTEM32>\conhost.exe' /pid=3308
'<SYSTEM32>\conhost.exe' /pid=988
'<SYSTEM32>\conhost.exe' /pid=2936
'<SYSTEM32>\reg.exe' /pid=212
'<SYSTEM32>\reg.exe' /pid=1356
'<SYSTEM32>\conhost.exe' /pid=1776
'<SYSTEM32>\reg.exe' /pid=3876
'<SYSTEM32>\conhost.exe' /pid=1712
'<SYSTEM32>\reg.exe' /pid=3644
'<SYSTEM32>\conhost.exe' /pid=3712
'<SYSTEM32>\conhost.exe' /c reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "%WINDIR%\explorer.exe, <Полный путь к вирусу>" /f
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "%WINDIR%\explorer.exe, <Полный путь к вирусу>" /f
'<SYSTEM32>\reg.exe' /c reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "%WINDIR%\explorer.exe, <Полный путь к вирусу>" /f
'<SYSTEM32>\conhost.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "%WINDIR%\explorer.exe, <Полный путь к вирусу>" /f
'<SYSTEM32>\sdclt.exe' /CONFIGNOTIFICATION
'<SYSTEM32>\conhost.exe' /pid=1936
'<SYSTEM32>\conhost.exe' /pid=3508
'<SYSTEM32>\reg.exe' /pid=1636
'<SYSTEM32>\schtasks.exe' /delete /f /TN "Microsoft\Windows\Customer Experience Improvement Program\Uploader"
'<SYSTEM32>\taskhost.exe' $(Arg0)
'<SYSTEM32>\wsqmcons.exe'
'<SYSTEM32>\rundll32.exe' dfdts.dll,DfdGetDefaultPolicyAndSMART
'<SYSTEM32>\reg.exe' /pid=4660
'<SYSTEM32>\reg.exe' /pid=5540
'<SYSTEM32>\reg.exe' /pid=5372
'<SYSTEM32>\reg.exe' /pid=4984
'<SYSTEM32>\reg.exe' /pid=4160
'<SYSTEM32>\reg.exe' /pid=4488
'<SYSTEM32>\reg.exe' /pid=4828
'<SYSTEM32>\conhost.exe' /pid=5604
'<SYSTEM32>\reg.exe' /pid=4508
'<SYSTEM32>\conhost.exe' /pid=4964
'<SYSTEM32>\conhost.exe' /pid=2868
'<SYSTEM32>\reg.exe' /pid=5992
'<SYSTEM32>\conhost.exe' /pid=5836
'<SYSTEM32>\reg.exe' /pid=540
'<SYSTEM32>\reg.exe' /pid=4504
'<SYSTEM32>\wsqmcons.exe' /pid=3996
'<SYSTEM32>\reg.exe' /pid=3952
'<SYSTEM32>\reg.exe' /pid=3672
'<SYSTEM32>\reg.exe' /pid=3568
'<SYSTEM32>\conhost.exe' /pid=3656
'<SYSTEM32>\schtasks.exe' /c reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell" /d "%WINDIR%\explorer.exe, <Полный путь к вирусу>" /f
'<SYSTEM32>\reg.exe' /pid=604
'<SYSTEM32>\schtasks.exe' /pid=272
'<SYSTEM32>\reg.exe' /pid=4804
'<SYSTEM32>\reg.exe' /pid=4928
'<SYSTEM32>\conhost.exe' /pid=3576
'<SYSTEM32>\conhost.exe' /pid=4608
'<SYSTEM32>\reg.exe' /pid=1736
'<SYSTEM32>\reg.exe' /pid=4176
'<SYSTEM32>\conhost.exe' /pid=4448