Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'IMJPMLG' = '<SYSTEM32>\SVH0ST.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
- [HKLM\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{43,3a,5c,57,69,6e,64,6f,77,73,5c,53,79,73,57,4f,57,36,34,5c,7...
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ProgramFiles%\SVH0ST.exe' = '<SYSTEM32>\SVH0ST.exe:*:Enabled:SVH0ST'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\glc5da1.tmp
- %TEMP%\glj5f67.tmp
- %TEMP%\glk616c.tmp
- %TEMP%\~glh0000.tmp
- %TEMP%\~glh0001.tmp
- %WINDIR%\syswow64\~glh0002.tmp
- %WINDIR%\syswow64\~glh0003.tmp
- %WINDIR%\syswow64\~glh0004.tmp
- %WINDIR%\syswow64\temp.000
- %WINDIR%\syswow64\~glh0005.tmp
- %WINDIR%\syswow64\~glh0006.tmp
- %WINDIR%\syswow64\~glh0007.tmp
- %WINDIR%\syswow64\~glh0009.tmp
- %WINDIR%\syswow64\~glh000a.tmp
- %WINDIR%\syswow64\~glh000b.tmp
- %WINDIR%\syswow64\~glh000d.tmp
- %WINDIR%\syswow64\~glh000f.tmp
- %WINDIR%\syswow64\~glh0010.tmp
- %WINDIR%\syswow64\~glh0011.tmp
- %WINDIR%\syswow64\~glh0013.tmp
- %WINDIR%\syswow64\~glh0014.tmp
- %WINDIR%\syswow64\~glh0016.tmp
- %WINDIR%\syswow64\~glh0017.tmp
- %WINDIR%\syswow64\~glh0018.tmp
- %WINDIR%\syswow64\~glh0019.tmp
- %WINDIR%\syswow64\~glh001b.tmp
- %WINDIR%\syswow64\~glh001d.tmp
- %WINDIR%\syswow64\~glh001f.tmp
- %WINDIR%\syswow64\~glh0020.tmp
- %WINDIR%\syswow64\~glh0021.tmp
- %WINDIR%\syswow64\~glh0022.tmp
- %WINDIR%\syswow64\~glh0023.tmp
- %WINDIR%\syswow64\~glh0024.tmp
- %WINDIR%\syswow64\~glh0025.tmp
- %WINDIR%\syswow64\~glh0026.tmp
- %WINDIR%\syswow64\~glh0027.tmp
- %WINDIR%\syswow64\~glh0028.tmp
- %WINDIR%\syswow64\~glh0029.tmp
- %WINDIR%\syswow64\~glh002a.tmp
- %WINDIR%\syswow64\~glh002b.tmp
- %WINDIR%\syswow64\~glh002d.tmp
- %WINDIR%\syswow64\~glh002f.tmp
- %WINDIR%\syswow64\~glh0030.tmp
- %WINDIR%\syswow64\~glh0032.tmp
- %WINDIR%\syswow64\~glh0033.tmp
- %WINDIR%\syswow64\~glh0034.tmp
- %WINDIR%\syswow64\comnctt.xdc
- %WINDIR%\syswow64\gcdb.dsn
- %WINDIR%\syswow64\expiorer.ocx
- %WINDIR%\syswow64\gcdb_file.dsn
- %WINDIR%\syswow64\expand.dat
- %WINDIR%\syswow64\expand.ldb
- %WINDIR%\syswow64\msvbvm5.dat
- %WINDIR%\syswow64\msvbvm5.ldb
- %WINDIR%\syswow64\atraxce.dat
- %WINDIR%\syswow64\atraxce.ldb
- %WINDIR%\inf\display.pnf
Перемещает следующие файлы
- %TEMP%\~glh0000.tmp в %TEMP%\glf6e20.tmp
- %TEMP%\~glh0001.tmp в %TEMP%\glf6e40.tmp
- %WINDIR%\syswow64\~glh0002.tmp в %WINDIR%\syswow64\gcdb_file.dsn
- %WINDIR%\syswow64\~glh0003.tmp в %WINDIR%\syswow64\atraxce.dat
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0008.tmp
- %WINDIR%\syswow64\~glh0008.tmp в %WINDIR%\syswow64\w95inf32.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\w95inf16.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh000c.tmp
- %WINDIR%\syswow64\~glh000c.tmp в %WINDIR%\syswow64\richtx32.ocx
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh000e.tmp
- %WINDIR%\syswow64\~glh000e.tmp в %WINDIR%\syswow64\ntsvc.ocx
- %WINDIR%\syswow64\~glh000f.tmp в %WINDIR%\syswow64\cfgmgrzp.dll
- %WINDIR%\syswow64\~glh0010.tmp в %WINDIR%\syswow64\gcdb.dsn
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0012.tmp
- %WINDIR%\syswow64\~glh0012.tmp в %WINDIR%\syswow64\vbar332.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0015.tmp
- %WINDIR%\syswow64\~glh0015.tmp в %WINDIR%\syswow64\msstdfmt.dll
- %WINDIR%\syswow64\~glh0016.tmp в %WINDIR%\syswow64\msdev4.dll
- %WINDIR%\syswow64\~glh0018.tmp в %WINDIR%\syswow64\spols.exe
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001a.tmp
- %WINDIR%\syswow64\~glh001a.tmp в %WINDIR%\syswow64\msbind.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001c.tmp
- %WINDIR%\syswow64\~glh001c.tmp в %WINDIR%\syswow64\dbgrid32.ocx
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh001e.tmp
- %WINDIR%\syswow64\~glh001e.tmp в %WINDIR%\syswow64\comdlg32.ocx
- %WINDIR%\syswow64\~glh001f.tmp в %WINDIR%\syswow64\msconfl.dll
- %WINDIR%\syswow64\~glh0020.tmp в %WINDIR%\syswow64\xcdzpocx.lic
- %WINDIR%\syswow64\~glh0021.tmp в %WINDIR%\syswow64\xceedzip.ocx
- %WINDIR%\syswow64\~glh0022.tmp в %WINDIR%\syswow64\winhlp.dll
- %WINDIR%\syswow64\~glh0023.tmp в %WINDIR%\syswow64\dskpart.exe
- %WINDIR%\syswow64\~glh0024.tmp в %WINDIR%\syswow64\msvbvm5.dat
- %WINDIR%\syswow64\~glh0025.tmp в %WINDIR%\syswow64\winsocks.dsn
- %WINDIR%\syswow64\~glh0026.tmp в %WINDIR%\syswow64\getscreenjpg.dll
- %WINDIR%\syswow64\~glh0027.tmp в %WINDIR%\syswow64\xvidcoer.dll
- %WINDIR%\syswow64\~glh0028.tmp в %WINDIR%\syswow64\expiorer.ocx
- %WINDIR%\syswow64\~glh0029.tmp в %WINDIR%\syswow64\temp.dat
- %WINDIR%\syswow64\~glh002a.tmp в %WINDIR%\syswow64\comnctt.xdc
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh002c.tmp
- %WINDIR%\syswow64\~glh002c.tmp в %WINDIR%\syswow64\msado26.tlb
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh002e.tmp
- %WINDIR%\syswow64\~glh002e.tmp в %WINDIR%\syswow64\winskchs.dll
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0031.tmp
- %WINDIR%\syswow64\~glh0031.tmp в %WINDIR%\syswow64\mswinsck.ocx
- %WINDIR%\syswow64\~glh0033.tmp в %WINDIR%\syswow64\svh0st.exe
- %WINDIR%\syswow64\temp.000 в %WINDIR%\syswow64\~glh0035.tmp
- %WINDIR%\syswow64\~glh0035.tmp в %WINDIR%\syswow64\scrrnchs.dll
Подменяет следующие файлы
- %WINDIR%\syswow64\temp.000
Сетевая активность
Подключается к
- '<LOCALNET>.0.6':8151
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\dskpart.exe' -install
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\mfc42.dll
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\olepro32.dll
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\Richtx32.ocx
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\NTSVC.ocx
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\MSCOMCTL.OCX
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\Dbgrid32.ocx
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\comdlg32.ocx
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\msconfl.dll
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\XCEEDZIP.OCX
- '%TEMP%\glj5f67.tmp' <SYSTEM32>\MSWinSck.ocx
- '%WINDIR%\syswow64\svh0st.exe'
- '%WINDIR%\syswow64\spols.exe'
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\syswow64\svh0st.exe"
- '%WINDIR%\syswow64\spols.exe' (со скрытым окном)
