Trojan.DownLoader9.32345

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Alienkey' = '%APPDATA%\AlienWare\vAlien.exe'

Malicious functions:

Creates and executes the following:

'%APPDATA%\AlienWare\Alien.exe' /pid=2696
'%APPDATA%\AlienWare\Alien.exe' /pid=4720
'%APPDATA%\AlienWare\Alien.exe' /pid=6204
'%APPDATA%\AlienWare\Alien.exe' /pid=5784
'%APPDATA%\AlienWare\Alien.exe' /pid=3580
'%APPDATA%\AlienWare\Alien.exe' /pid=4240
'%APPDATA%\AlienWare\Alien.exe' /pid=2436
'%APPDATA%\AlienWare\Alien.exe' /pid=6680
'%APPDATA%\AlienWare\Alien.exe' /pid=6880
'%APPDATA%\AlienWare\Alien.exe' /pid=6896
'%APPDATA%\AlienWare\Alien.exe' /pid=6560
'%APPDATA%\AlienWare\Alien.exe' /pid=6196
'%APPDATA%\AlienWare\Alien.exe' /pid=6260
'%APPDATA%\AlienWare\Alien.exe' /pid=6460
'%APPDATA%\AlienWare\Alien.exe' /pid=5932
'%APPDATA%\AlienWare\Alien.exe' /pid=2640
'%APPDATA%\AlienWare\Alien.exe' /pid=4760
'%APPDATA%\AlienWare\Alien.exe' /pid=4620
'%APPDATA%\AlienWare\Alien.exe' /pid=1092
'%APPDATA%\AlienWare\Alien.exe' /pid=6032
'%APPDATA%\AlienWare\Alien.exe' /pid=3380
'%APPDATA%\AlienWare\Alien.exe' /pid=5512
'%APPDATA%\AlienWare\Alien.exe' /pid=3828
'%APPDATA%\AlienWare\Alien.exe' /pid=2556
'%APPDATA%\AlienWare\Alien.exe' /pid=5952
'%APPDATA%\AlienWare\Alien.exe' /pid=2012
'%APPDATA%\AlienWare\Alien.exe' /pid=5412
'%APPDATA%\AlienWare\Alien.exe' /pid=760
'%APPDATA%\AlienWare\Alien.exe' /pid=5024
'%APPDATA%\AlienWare\Alien.exe' /pid=7304
'%APPDATA%\AlienWare\Alien.exe' /pid=7104
'%APPDATA%\AlienWare\Alien.exe' /pid=7236
'%APPDATA%\AlienWare\Alien.exe' /pid=6776
'%APPDATA%\AlienWare\Alien.exe' /pid=6436
'%APPDATA%\AlienWare\Alien.exe' /pid=6640
'%APPDATA%\AlienWare\Alien.exe' /pid=6864
'%APPDATA%\AlienWare\Alien.exe' /pid=7960
'%APPDATA%\AlienWare\Alien.exe' /pid=8056
'%APPDATA%\AlienWare\Alien.exe' /pid=8176
'%APPDATA%\AlienWare\Alien.exe' /pid=7736
'%APPDATA%\AlienWare\Alien.exe' /pid=7440
'%APPDATA%\AlienWare\Alien.exe' /pid=7436
'%APPDATA%\AlienWare\Alien.exe' /pid=7804
'%APPDATA%\AlienWare\Alien.exe' /pid=6604
'%APPDATA%\AlienWare\Alien.exe' /pid=7536
'%APPDATA%\AlienWare\Alien.exe' /pid=7680
'%APPDATA%\AlienWare\Alien.exe' /pid=7780
'%APPDATA%\AlienWare\Alien.exe' /pid=7480
'%APPDATA%\AlienWare\Alien.exe' /pid=7040
'%APPDATA%\AlienWare\Alien.exe' /pid=7120
'%APPDATA%\AlienWare\Alien.exe' /pid=7300
'%APPDATA%\AlienWare\Alien.exe' /pid=8156
'%APPDATA%\AlienWare\Alien.exe' /pid=6544
'%APPDATA%\AlienWare\Alien.exe' /pid=6176
'%APPDATA%\AlienWare\Alien.exe' /pid=8120
'%APPDATA%\AlienWare\Alien.exe' /pid=7836
'%APPDATA%\AlienWare\Alien.exe' /pid=7980
'%APPDATA%\AlienWare\Alien.exe' /pid=8040
'%APPDATA%\AlienWare\Alien.exe' /pid=5524
'%APPDATA%\AlienWare\Alien.exe' /pid=5872
'%APPDATA%\AlienWare\Alien.exe' /pid=4768
'%APPDATA%\AlienWare\Alien.exe' /pid=5344
'%APPDATA%\AlienWare\Alien.exe' /pid=3760
'%APPDATA%\AlienWare\Alien.exe' /pid=4140
'%APPDATA%\AlienWare\Alien.exe' /pid=4440
'%APPDATA%\AlienWare\Alien.exe' /pid=3660
'%APPDATA%\AlienWare\Alien.exe' /pid=5232
'%APPDATA%\AlienWare\Alien.exe' /pid=4348
'%APPDATA%\AlienWare\Alien.exe' /pid=4748
'%APPDATA%\AlienWare\Alien.exe' /pid=2476
'%APPDATA%\AlienWare\Alien.exe' /pid=3160
'%APPDATA%\AlienWare\Alien.exe' /pid=5884
'%APPDATA%\777507914742311302343860292.exe' /pid=5252
'%APPDATA%\AlienWare\Alien.exe' /pid=6004
'%APPDATA%\AlienWare\Alien.exe' /pid=3460
'%APPDATA%\AlienWare\Alien.exe' /pid=5444
'%APPDATA%\777507914742311302343860292.exe'
'%APPDATA%\AlienWare\Alien.exe' -a sha256 -o http://18#################irUF9UD2FyiKNhP:letmein@gbt.mining.eligius.st:9337 -T 83 -l yes -t 1
'%APPDATA%\AlienWare\Alien.exe' /pid=5432
'%APPDATA%\AlienWare\Alien.exe' /pid=5132
'%APPDATA%\AlienWare\Alien.exe' /pid=3860
'%APPDATA%\AlienWare\Alien.exe' /pid=4548
'%APPDATA%\AlienWare\Alien.exe' /pid=3960
'%APPDATA%\AlienWare\Alien.exe' /pid=3360
'%APPDATA%\AlienWare\Alien.exe' /pid=3260
'%APPDATA%\AlienWare\Alien.exe' /pid=3428
'%APPDATA%\AlienWare\Alien.exe' /pid=3440
'%APPDATA%\AlienWare\Alien.exe' /pid=5064
'%APPDATA%\AlienWare\Alien.exe' /pid=4428
'%APPDATA%\AlienWare\Alien.exe' /pid=4660
'%APPDATA%\AlienWare\Alien.exe' /pid=4848
'%APPDATA%\AlienWare\Alien.exe' /pid=5652
'%APPDATA%\AlienWare\Alien.exe' /pid=2688
'%APPDATA%\AlienWare\Alien.exe' /pid=5612
'%APPDATA%\AlienWare\Alien.exe' /pid=6112
'%APPDATA%\AlienWare\Alien.exe' /pid=5692
'%APPDATA%\AlienWare\Alien.exe' /pid=5624
'%APPDATA%\AlienWare\Alien.exe' /pid=5504
'%APPDATA%\AlienWare\Alien.exe' /pid=4160
'%APPDATA%\AlienWare\Alien.exe' /pid=3840
'%APPDATA%\AlienWare\Alien.exe' /pid=6132
'%APPDATA%\AlienWare\Alien.exe' /pid=4168
'%APPDATA%\AlienWare\Alien.exe' /pid=764
'%APPDATA%\AlienWare\Alien.exe' /pid=4340
'%APPDATA%\AlienWare\Alien.exe' /pid=1664
'%APPDATA%\AlienWare\Alien.exe' /pid=3868
'%APPDATA%\AlienWare\Alien.exe' /pid=4928
'%APPDATA%\AlienWare\Alien.exe' /pid=3680
'%APPDATA%\AlienWare\Alien.exe' /pid=2936
'%APPDATA%\AlienWare\Alien.exe' /pid=4948
'%APPDATA%\AlienWare\Alien.exe' /pid=5592
'%APPDATA%\AlienWare\Alien.exe' /pid=3780
'%APPDATA%\AlienWare\Alien.exe' /pid=5352
'%APPDATA%\AlienWare\Alien.exe' /pid=4080
'%APPDATA%\AlienWare\Alien.exe' (downloaded from the Internet)
'%APPDATA%\777507914742311302343860292.exe' (downloaded from the Internet)