Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\thsemhqn] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\thsemhqn] 'ImagePath' = '<SYSTEM32>\thsemhqn\jjioznux.exe /d"<Полный путь к файлу>"'
- [<HKLM>\SYSTEM\CurrentControlSet\services\thsemhqn] 'ImagePath' = '<SYSTEM32>\thsemhqn\jjioznux.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\jjioznux.exe
- \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\009
- C:\documents and settings\localservice:.repos
Перемещает следующие файлы
- %TEMP%\jjioznux.exe в <SYSTEM32>\thsemhqn\jjioznux.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'eu#.###.#rotection.outlook.com':25
- 'mx#.###.#ailpod6-cph3.one.com':25
- '18##########com.mail.protection.outlook.com':25
- 'mx#######d01.gslb.pphosted.com':25
- 'wa#####ringholland.nl':25
- 'mx##.##bal.mailcore.com':25
- 'alt2.gmail-smtp-in.l.google.com':25
- 'ho#########.olc.protection.outlook.com':25
- 'ma###1.sr.se':25
- 'ms#####p-mx2.hinet.net':25
- 'mx####nse.unos.com':25
- 'mx######21601.pphosted.com':25
- 'ma##.##ar-pharma.com':25
TCP
Запросы HTTP GET
- http://www.google.com/
- http://89.##.105.12/ip.shtml
UDP
- DNS ASK mi##########m.mail.protection.outlook.com
- DNS ASK 18##########com.mail.protection.outlook.com
- DNS ASK ho###il.co.uk
- DNS ASK sk###rksinc.com
- DNS ASK mx#######d01.gslb.pphosted.com
- DNS ASK wa#####ringholland.nl
- DNS ASK so#.dk
- DNS ASK mx##.##bal.mailcore.com
- DNS ASK gm##l.com
- DNS ASK alt2.gmail-smtp-in.l.google.com
- DNS ASK ho##ail.fr
- DNS ASK sr.se
- DNS ASK ma###1.sr.se
- DNS ASK ms#.#inet.net
- DNS ASK ms#####p-mx2.hinet.net
- DNS ASK un##.com
- DNS ASK mx####nse.unos.com
- DNS ASK st###pharma.com
- DNS ASK ma##.##ar-pharma.com
- DNS ASK ba###net.com
- DNS ASK mx######21601.pphosted.com
- DNS ASK ya##o.com
- DNS ASK 18###rowell.com
- DNS ASK mt##.##0.yahoodns.net
- DNS ASK mx#.###.#ailpod6-cph3.one.com
- DNS ASK eu#.###.#rotection.outlook.com
- DNS ASK 19#.###.211.95.in-addr.arpa
- DNS ASK 19#.###.#11.95.dnsbl.sorbs.net
- DNS ASK ms##.hinet.net
- DNS ASK 19#.###.#11.95.bl.spamcop.net
- DNS ASK ms#####p-mx1.hinet.net
- DNS ASK in####eadvisors.com
- DNS ASK sp###.smarsh.com
- DNS ASK be##ly.com
- DNS ASK 19#.###.#11.95.zen.spamhaus.org
- DNS ASK mx#######a02.gslb.pphosted.com
- DNS ASK ho##ail.com
- DNS ASK 19#.###.##1.95.sbl-xbl.spamhaus.org
- DNS ASK ho#########.olc.protection.outlook.com
- DNS ASK ca##ar.com
- DNS ASK 19#.###.#11.95.cbl.abuseat.org
- DNS ASK bm##.com
- DNS ASK pr####1.bmts.com
- DNS ASK google.com
- DNS ASK si###n.ea.com
- DNS ASK go###e.co.uk
- DNS ASK li##.co.uk
- DNS ASK in####eated.co.uk
- DNS ASK ge#####airproducts.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\thsemhqn\jjioznux.exe' /d"<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\thsemhqn\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\jjioznux.exe" <SYSTEM32>\thsemhqn\' (со скрытым окном)
- '<SYSTEM32>\sc.exe' create thsemhqn binPath= "<SYSTEM32>\thsemhqn\jjioznux.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"' (со скрытым окном)
- '<SYSTEM32>\sc.exe' description thsemhqn "wifi internet conection"' (со скрытым окном)
- '<SYSTEM32>\sc.exe' start thsemhqn' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C mkdir <SYSTEM32>\thsemhqn\
- '<SYSTEM32>\cmd.exe' /C move /Y "%TEMP%\jjioznux.exe" <SYSTEM32>\thsemhqn\
- '<SYSTEM32>\sc.exe' create thsemhqn binPath= "<SYSTEM32>\thsemhqn\jjioznux.exe /d\"<Полный путь к файлу>\"" type= own start= auto DisplayName= "wifi support"
- '<SYSTEM32>\sc.exe' description thsemhqn "wifi internet conection"
- '<SYSTEM32>\sc.exe' start thsemhqn
- '<SYSTEM32>\svchost.exe'
