Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Network Adapter Events] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\msphqghu.exe' -j:22104
- '<SYSTEM32>\msphqghu.exe' -j:22096
- '<SYSTEM32>\msphqghu.exe' -j:22120
- '<SYSTEM32>\msphqghu.exe' -j:22112
- '<SYSTEM32>\msphqghu.exe' -j:22072
- '<SYSTEM32>\msphqghu.exe' -j:22064
- '<SYSTEM32>\msphqghu.exe' -j:22088
- '<SYSTEM32>\msphqghu.exe' -j:22080
- '<SYSTEM32>\msphqghu.exe' -j:22128
- '<SYSTEM32>\msphqghu.exe' -j:22176
- '<SYSTEM32>\msphqghu.exe' -j:22168
- '<SYSTEM32>\msphqghu.exe' -j:22240
- '<SYSTEM32>\msphqghu.exe' -j:22184
- '<SYSTEM32>\msphqghu.exe' -j:22144
- '<SYSTEM32>\msphqghu.exe' -j:22136
- '<SYSTEM32>\msphqghu.exe' -j:22160
- '<SYSTEM32>\msphqghu.exe' -j:22152
- '<SYSTEM32>\msphqghu.exe' -j:21368
- '<SYSTEM32>\msphqghu.exe' -j:21236
- '<SYSTEM32>\msphqghu.exe' -j:21452
- '<SYSTEM32>\msphqghu.exe' -j:21392
- '<SYSTEM32>\msphqghu.exe' -j:21248
- '<SYSTEM32>\msphqghu.exe' -j:21244
- '<SYSTEM32>\msphqghu.exe' -j:21280
- '<SYSTEM32>\msphqghu.exe' -j:21204
- '<SYSTEM32>\msphqghu.exe' -j:21496
- '<SYSTEM32>\msphqghu.exe' -j:21156
- '<SYSTEM32>\msphqghu.exe' -j:21624
- '<SYSTEM32>\msphqghu.exe' -j:22056
- '<SYSTEM32>\msphqghu.exe' -j:21320
- '<SYSTEM32>\msphqghu.exe' -j:21516
- '<SYSTEM32>\msphqghu.exe' -j:21500
- '<SYSTEM32>\msphqghu.exe' -j:21604
- '<SYSTEM32>\msphqghu.exe' -j:21524
- '<SYSTEM32>\msphqghu.exe' -j:22464
- '<SYSTEM32>\msphqghu.exe' -j:22456
- '<SYSTEM32>\msphqghu.exe' -j:22480
- '<SYSTEM32>\msphqghu.exe' -j:22472
- '<SYSTEM32>\msphqghu.exe' -j:22432
- '<SYSTEM32>\msphqghu.exe' -j:22424
- '<SYSTEM32>\msphqghu.exe' -j:22448
- '<SYSTEM32>\msphqghu.exe' -j:22440
- '<SYSTEM32>\msphqghu.exe' -j:22488
- '<SYSTEM32>\msphqghu.exe' -j:22740
- '<SYSTEM32>\msphqghu.exe' -j:22724
- '<SYSTEM32>\msphqghu.exe' -j:22848
- '<SYSTEM32>\msphqghu.exe' -j:22784
- '<SYSTEM32>\msphqghu.exe' -j:22504
- '<SYSTEM32>\msphqghu.exe' -j:22496
- '<SYSTEM32>\msphqghu.exe' -j:22572
- '<SYSTEM32>\msphqghu.exe' -j:22552
- '<SYSTEM32>\msphqghu.exe' -j:22328
- '<SYSTEM32>\msphqghu.exe' -j:22320
- '<SYSTEM32>\msphqghu.exe' -j:22344
- '<SYSTEM32>\msphqghu.exe' -j:22336
- '<SYSTEM32>\msphqghu.exe' -j:22276
- '<SYSTEM32>\msphqghu.exe' -j:22252
- '<SYSTEM32>\msphqghu.exe' -j:22312
- '<SYSTEM32>\msphqghu.exe' -j:22304
- '<SYSTEM32>\msphqghu.exe' -j:22352
- '<SYSTEM32>\msphqghu.exe' -j:22400
- '<SYSTEM32>\msphqghu.exe' -j:22392
- '<SYSTEM32>\msphqghu.exe' -j:22416
- '<SYSTEM32>\msphqghu.exe' -j:22408
- '<SYSTEM32>\msphqghu.exe' -j:22368
- '<SYSTEM32>\msphqghu.exe' -j:22360
- '<SYSTEM32>\msphqghu.exe' -j:22384
- '<SYSTEM32>\msphqghu.exe' -j:22376
- '<SYSTEM32>\msphqghu.exe' -j:21820
- '<SYSTEM32>\msphqghu.exe' -j:21796
- '<SYSTEM32>\msphqghu.exe' -j:21816
- '<SYSTEM32>\msphqghu.exe' -j:21832
- '<SYSTEM32>\msphqghu.exe' -j:21768
- '<SYSTEM32>\msphqghu.exe' -j:21744
- '<SYSTEM32>\msphqghu.exe' -j:21788
- '<SYSTEM32>\msphqghu.exe' -j:21780
- '<SYSTEM32>\msphqghu.exe' -j:21864
- '<SYSTEM32>\msphqghu.exe' -j:21988
- '<SYSTEM32>\msphqghu.exe' -j:21980
- '<SYSTEM32>\msphqghu.exe' -j:21108
- '<SYSTEM32>\msphqghu.exe' -j:22004
- '<SYSTEM32>\msphqghu.exe' -j:21944
- '<SYSTEM32>\msphqghu.exe' -j:21924
- '<SYSTEM32>\msphqghu.exe' -j:21968
- '<SYSTEM32>\msphqghu.exe' -j:21952
- '<SYSTEM32>\msphqghu.exe' -j:2932
- '<SYSTEM32>\msphqghu.exe' -j:21760
- '<SYSTEM32>\msphqghu.exe' -j:2840
- '<SYSTEM32>\msphqghu.exe' -j:2848
- '<SYSTEM32>\msphqghu.exe' -j:2612
- '<SYSTEM32>\msphqghu.exe' /service
- '<SYSTEM32>\msphqghu.exe' -j:21652
- '<SYSTEM32>\msphqghu.exe' -j:21420
- '<SYSTEM32>\msphqghu.exe' -j:21224
- '<SYSTEM32>\msphqghu.exe' -j:21728
- '<SYSTEM32>\msphqghu.exe' -j:2772
- '<SYSTEM32>\msphqghu.exe' -j:21756
- '<SYSTEM32>\msphqghu.exe' -j:21748
- '<SYSTEM32>\msphqghu.exe' -j:21696
- '<SYSTEM32>\msphqghu.exe' -j:21688
- '<SYSTEM32>\msphqghu.exe' -j:21668
- '<SYSTEM32>\msphqghu.exe' -j:21704
- '<SYSTEM32>\msphqghu.exe' -j:2560
- '<SYSTEM32>\msphqghu.exe' -j:2280
- '<SYSTEM32>\msphqghu.exe' -j:2736
- '<SYSTEM32>\msphqghu.exe' -j:2408
- '<SYSTEM32>\msphqghu.exe' -j:2452
- '<SYSTEM32>\msphqghu.exe' -j:2444
- '<SYSTEM32>\msphqghu.exe' -j:2528
- '<SYSTEM32>\msphqghu.exe' -j:2520
- '<SYSTEM32>\msphqghu.exe' -j:2856
- '<SYSTEM32>\msphqghu.exe' -j:21052
- '<SYSTEM32>\msphqghu.exe' -j:21040
- '<SYSTEM32>\msphqghu.exe' -j:21220
- '<SYSTEM32>\msphqghu.exe' -j:21120
- '<SYSTEM32>\msphqghu.exe' -j:21008
- '<SYSTEM32>\msphqghu.exe' -j:2992
- '<SYSTEM32>\msphqghu.exe' -j:21032
- '<SYSTEM32>\msphqghu.exe' -j:2180
- '<SYSTEM32>\msphqghu.exe' -j:21936
- '<SYSTEM32>\msphqghu.exe' -j:2200
- '<SYSTEM32>\msphqghu.exe' -j:2660
- '<SYSTEM32>\msphqghu.exe' -j:21992
- '<SYSTEM32>\msphqghu.exe' -j:21348
- '<SYSTEM32>\msphqghu.exe' -j:21904
- '<SYSTEM32>\msphqghu.exe' -j:21956
- '<SYSTEM32>\msphqghu.exe' -j:21932
- '<SYSTEM32>\msphqghu.exe' -j:21808
- '<SYSTEM32>\msphqghu.exe' -j:2300
- '<SYSTEM32>\msphqghu.exe' -j:2396
- '<SYSTEM32>\msphqghu.exe' -j:2432
- '<SYSTEM32>\msphqghu.exe' -j:2416
- '<SYSTEM32>\msphqghu.exe' -j:2320
- '<SYSTEM32>\msphqghu.exe' -j:2308
- '<SYSTEM32>\msphqghu.exe' -j:2384
- '<SYSTEM32>\msphqghu.exe' -j:2264
Запускает на исполнение:
- '<SYSTEM32>\alg.exe' -j:21220
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\alg.exe
Завершает или пытается завершить
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\System\wlp.dat
- %TEMP%\1372383773.cmd
- <SYSTEM32>\msphqghu.exe
Удаляет следующие файлы:
- %TEMP%\1372383773.cmd
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK www.google.com
- DNS ASK www.li##.com
- DNS ASK www.microsoft.com
- DNS ASK wi###wsupda.com
Другое:
Ищет следующие окна:
- ClassName: 'weporehyldjfslkgjlfg' WindowName: '(null)'
