Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Network Adapter Events] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\msphqghu.exe' -j:22068
- '<SYSTEM32>\msphqghu.exe' -j:22060
- '<SYSTEM32>\msphqghu.exe' -j:22108
- '<SYSTEM32>\msphqghu.exe' -j:22100
- '<SYSTEM32>\msphqghu.exe' -j:21256
- '<SYSTEM32>\msphqghu.exe' -j:2952
- '<SYSTEM32>\msphqghu.exe' -j:22052
- '<SYSTEM32>\msphqghu.exe' -j:2936
- '<SYSTEM32>\msphqghu.exe' -j:22116
- '<SYSTEM32>\msphqghu.exe' -j:22164
- '<SYSTEM32>\msphqghu.exe' -j:22156
- '<SYSTEM32>\msphqghu.exe' -j:22180
- '<SYSTEM32>\msphqghu.exe' -j:22172
- '<SYSTEM32>\msphqghu.exe' -j:22132
- '<SYSTEM32>\msphqghu.exe' -j:22124
- '<SYSTEM32>\msphqghu.exe' -j:22148
- '<SYSTEM32>\msphqghu.exe' -j:22140
- '<SYSTEM32>\msphqghu.exe' -j:21336
- '<SYSTEM32>\msphqghu.exe' -j:21228
- '<SYSTEM32>\msphqghu.exe' -j:21380
- '<SYSTEM32>\msphqghu.exe' -j:21364
- '<SYSTEM32>\msphqghu.exe' -j:21268
- '<SYSTEM32>\msphqghu.exe' -j:21244
- '<SYSTEM32>\msphqghu.exe' -j:21296
- '<SYSTEM32>\msphqghu.exe' -j:21280
- '<SYSTEM32>\msphqghu.exe' -j:21408
- '<SYSTEM32>\msphqghu.exe' -j:21532
- '<SYSTEM32>\msphqghu.exe' -j:21524
- '<SYSTEM32>\msphqghu.exe' -j:21636
- '<SYSTEM32>\msphqghu.exe' -j:2396
- '<SYSTEM32>\msphqghu.exe' -j:21448
- '<SYSTEM32>\msphqghu.exe' -j:21432
- '<SYSTEM32>\msphqghu.exe' -j:21516
- '<SYSTEM32>\msphqghu.exe' -j:21400
- '<SYSTEM32>\msphqghu.exe' -j:22364
- '<SYSTEM32>\msphqghu.exe' -j:22356
- '<SYSTEM32>\msphqghu.exe' -j:22380
- '<SYSTEM32>\msphqghu.exe' -j:22372
- '<SYSTEM32>\msphqghu.exe' -j:22332
- '<SYSTEM32>\msphqghu.exe' -j:22324
- '<SYSTEM32>\msphqghu.exe' -j:22348
- '<SYSTEM32>\msphqghu.exe' -j:22340
- '<SYSTEM32>\msphqghu.exe' -j:22388
- '<SYSTEM32>\msphqghu.exe' -j:22736
- '<SYSTEM32>\msphqghu.exe' -j:22720
- '<SYSTEM32>\msphqghu.exe' -j:22868
- '<SYSTEM32>\msphqghu.exe' -j:22772
- '<SYSTEM32>\msphqghu.exe' -j:22404
- '<SYSTEM32>\msphqghu.exe' -j:22396
- '<SYSTEM32>\msphqghu.exe' -j:22576
- '<SYSTEM32>\msphqghu.exe' -j:22556
- '<SYSTEM32>\msphqghu.exe' -j:22228
- '<SYSTEM32>\msphqghu.exe' -j:22220
- '<SYSTEM32>\msphqghu.exe' -j:22244
- '<SYSTEM32>\msphqghu.exe' -j:22236
- '<SYSTEM32>\msphqghu.exe' -j:22196
- '<SYSTEM32>\msphqghu.exe' -j:22188
- '<SYSTEM32>\msphqghu.exe' -j:22212
- '<SYSTEM32>\msphqghu.exe' -j:22204
- '<SYSTEM32>\msphqghu.exe' -j:22252
- '<SYSTEM32>\msphqghu.exe' -j:22300
- '<SYSTEM32>\msphqghu.exe' -j:22292
- '<SYSTEM32>\msphqghu.exe' -j:22316
- '<SYSTEM32>\msphqghu.exe' -j:22308
- '<SYSTEM32>\msphqghu.exe' -j:22268
- '<SYSTEM32>\msphqghu.exe' -j:22260
- '<SYSTEM32>\msphqghu.exe' -j:22284
- '<SYSTEM32>\msphqghu.exe' -j:22276
- '<SYSTEM32>\msphqghu.exe' -j:21236
- '<SYSTEM32>\msphqghu.exe' -j:21836
- '<SYSTEM32>\msphqghu.exe' -j:21816
- '<SYSTEM32>\msphqghu.exe' -j:21608
- '<SYSTEM32>\msphqghu.exe' -j:21856
- '<SYSTEM32>\msphqghu.exe' -j:21784
- '<SYSTEM32>\msphqghu.exe' -j:21792
- '<SYSTEM32>\msphqghu.exe' -j:21808
- '<SYSTEM32>\msphqghu.exe' -j:21800
- '<SYSTEM32>\msphqghu.exe' -j:21884
- '<SYSTEM32>\msphqghu.exe' -j:22000
- '<SYSTEM32>\msphqghu.exe' -j:21996
- '<SYSTEM32>\msphqghu.exe' -j:22028
- '<SYSTEM32>\msphqghu.exe' -j:22004
- '<SYSTEM32>\msphqghu.exe' -j:21948
- '<SYSTEM32>\msphqghu.exe' -j:21340
- '<SYSTEM32>\msphqghu.exe' -j:21988
- '<SYSTEM32>\msphqghu.exe' -j:21976
- '<SYSTEM32>\msphqghu.exe' -j:2860
- '<SYSTEM32>\msphqghu.exe' -j:21764
- '<SYSTEM32>\msphqghu.exe' -j:21688
- '<SYSTEM32>\msphqghu.exe' -j:21648
- '<SYSTEM32>\msphqghu.exe' -j:2604
- '<SYSTEM32>\msphqghu.exe' /service
- '<SYSTEM32>\msphqghu.exe' -j:21652
- '<SYSTEM32>\msphqghu.exe' -j:21436
- '<SYSTEM32>\msphqghu.exe' -j:21220
- '<SYSTEM32>\msphqghu.exe' -j:21740
- '<SYSTEM32>\msphqghu.exe' -j:21744
- '<SYSTEM32>\msphqghu.exe' -j:21776
- '<SYSTEM32>\msphqghu.exe' -j:21756
- '<SYSTEM32>\msphqghu.exe' -j:21676
- '<SYSTEM32>\msphqghu.exe' -j:21696
- '<SYSTEM32>\msphqghu.exe' -j:21736
- '<SYSTEM32>\msphqghu.exe' -j:21664
- '<SYSTEM32>\msphqghu.exe' -j:2892
- '<SYSTEM32>\msphqghu.exe' -j:2884
- '<SYSTEM32>\msphqghu.exe' -j:2908
- '<SYSTEM32>\msphqghu.exe' -j:2904
- '<SYSTEM32>\msphqghu.exe' -j:2404
- '<SYSTEM32>\msphqghu.exe' -j:2552
- '<SYSTEM32>\msphqghu.exe' -j:2560
- '<SYSTEM32>\msphqghu.exe' -j:2420
- '<SYSTEM32>\msphqghu.exe' -j:21020
- '<SYSTEM32>\msphqghu.exe' -j:21104
- '<SYSTEM32>\msphqghu.exe' -j:21096
- '<SYSTEM32>\msphqghu.exe' -j:21212
- '<SYSTEM32>\msphqghu.exe' -j:21080
- '<SYSTEM32>\msphqghu.exe' -j:21048
- '<SYSTEM32>\msphqghu.exe' -j:2572
- '<SYSTEM32>\msphqghu.exe' -j:21064
- '<SYSTEM32>\msphqghu.exe' -j:21060
- '<SYSTEM32>\msphqghu.exe' -j:22008
- '<SYSTEM32>\msphqghu.exe' -j:2232
- '<SYSTEM32>\msphqghu.exe' -j:21940
- '<SYSTEM32>\msphqghu.exe' -j:2124
- '<SYSTEM32>\msphqghu.exe' -j:21956
- '<SYSTEM32>\msphqghu.exe' -j:21972
- '<SYSTEM32>\msphqghu.exe' -j:21960
- '<SYSTEM32>\msphqghu.exe' -j:21968
- '<SYSTEM32>\msphqghu.exe' -j:21828
- '<SYSTEM32>\msphqghu.exe' -j:2472
- '<SYSTEM32>\msphqghu.exe' -j:2468
- '<SYSTEM32>\msphqghu.exe' /windows
- '<SYSTEM32>\msphqghu.exe' -j:2484
- '<SYSTEM32>\msphqghu.exe' -j:2440
- '<SYSTEM32>\msphqghu.exe' -j:21824
- '<SYSTEM32>\msphqghu.exe' -j:2456
- '<SYSTEM32>\msphqghu.exe' -j:2448
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\\1444046177.cmd"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\ctfmon.exe
- %WINDIR%\Explorer.EXE
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\System\wlp.dat
- %TEMP%\1444046177.cmd
- <SYSTEM32>\msphqghu.exe
Удаляет следующие файлы:
- %TEMP%\1444046177.cmd
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK www.google.com
- DNS ASK www.li##.com
- DNS ASK www.microsoft.com
- DNS ASK 1c##und.xyz
Другое:
Ищет следующие окна:
- ClassName: 'DCOM_CV32' WindowName: 'CV'
