Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Network Adapter Events] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\msphqghu.exe' -j:22060
- '<SYSTEM32>\msphqghu.exe' -j:22052
- '<SYSTEM32>\msphqghu.exe' -j:22076
- '<SYSTEM32>\msphqghu.exe' -j:22068
- '<SYSTEM32>\msphqghu.exe' -j:21388
- '<SYSTEM32>\msphqghu.exe' -j:21364
- '<SYSTEM32>\msphqghu.exe' -j:21404
- '<SYSTEM32>\msphqghu.exe' -j:21444
- '<SYSTEM32>\msphqghu.exe' -j:22124
- '<SYSTEM32>\msphqghu.exe' -j:22116
- '<SYSTEM32>\msphqghu.exe' -j:22140
- '<SYSTEM32>\msphqghu.exe' -j:22132
- '<SYSTEM32>\msphqghu.exe' -j:22092
- '<SYSTEM32>\msphqghu.exe' -j:22084
- '<SYSTEM32>\msphqghu.exe' -j:22108
- '<SYSTEM32>\msphqghu.exe' -j:22100
- '<SYSTEM32>\msphqghu.exe' -j:21360
- '<SYSTEM32>\msphqghu.exe' -j:21148
- '<SYSTEM32>\msphqghu.exe' -j:21084
- '<SYSTEM32>\msphqghu.exe' -j:21192
- '<SYSTEM32>\msphqghu.exe' -j:21176
- '<SYSTEM32>\msphqghu.exe' -j:21040
- '<SYSTEM32>\msphqghu.exe' -j:2932
- '<SYSTEM32>\msphqghu.exe' -j:21124
- '<SYSTEM32>\msphqghu.exe' -j:21120
- '<SYSTEM32>\msphqghu.exe' -j:21320
- '<SYSTEM32>\msphqghu.exe' -j:21312
- '<SYSTEM32>\msphqghu.exe' -j:21344
- '<SYSTEM32>\msphqghu.exe' -j:21304
- '<SYSTEM32>\msphqghu.exe' -j:21204
- '<SYSTEM32>\msphqghu.exe' -j:21196
- '<SYSTEM32>\msphqghu.exe' -j:21240
- '<SYSTEM32>\msphqghu.exe' -j:21264
- '<SYSTEM32>\msphqghu.exe' -j:22148
- '<SYSTEM32>\msphqghu.exe' -j:22420
- '<SYSTEM32>\msphqghu.exe' -j:22412
- '<SYSTEM32>\msphqghu.exe' -j:22436
- '<SYSTEM32>\msphqghu.exe' -j:22428
- '<SYSTEM32>\msphqghu.exe' -j:22388
- '<SYSTEM32>\msphqghu.exe' -j:22380
- '<SYSTEM32>\msphqghu.exe' -j:22404
- '<SYSTEM32>\msphqghu.exe' -j:22396
- '<SYSTEM32>\msphqghu.exe' -j:22692
- '<SYSTEM32>\msphqghu.exe' -j:22676
- '<SYSTEM32>\msphqghu.exe' -j:22792
- '<SYSTEM32>\msphqghu.exe' -j:22732
- '<SYSTEM32>\msphqghu.exe' -j:22452
- '<SYSTEM32>\msphqghu.exe' -j:22444
- '<SYSTEM32>\msphqghu.exe' -j:22532
- '<SYSTEM32>\msphqghu.exe' -j:22460
- '<SYSTEM32>\msphqghu.exe' -j:22372
- '<SYSTEM32>\msphqghu.exe' -j:22216
- '<SYSTEM32>\msphqghu.exe' -j:22188
- '<SYSTEM32>\msphqghu.exe' -j:22264
- '<SYSTEM32>\msphqghu.exe' -j:22252
- '<SYSTEM32>\msphqghu.exe' -j:22164
- '<SYSTEM32>\msphqghu.exe' -j:22156
- '<SYSTEM32>\msphqghu.exe' -j:22180
- '<SYSTEM32>\msphqghu.exe' -j:22172
- '<SYSTEM32>\msphqghu.exe' -j:22348
- '<SYSTEM32>\msphqghu.exe' -j:22340
- '<SYSTEM32>\msphqghu.exe' -j:22364
- '<SYSTEM32>\msphqghu.exe' -j:22356
- '<SYSTEM32>\msphqghu.exe' -j:22316
- '<SYSTEM32>\msphqghu.exe' -j:22308
- '<SYSTEM32>\msphqghu.exe' -j:22332
- '<SYSTEM32>\msphqghu.exe' -j:22324
- '<SYSTEM32>\msphqghu.exe' -j:21752
- '<SYSTEM32>\msphqghu.exe' -j:21744
- '<SYSTEM32>\msphqghu.exe' -j:21772
- '<SYSTEM32>\msphqghu.exe' -j:21760
- '<SYSTEM32>\msphqghu.exe' -j:21692
- '<SYSTEM32>\msphqghu.exe' -j:21640
- '<SYSTEM32>\msphqghu.exe' -j:21736
- '<SYSTEM32>\msphqghu.exe' -j:21724
- '<SYSTEM32>\msphqghu.exe' -j:21896
- '<SYSTEM32>\msphqghu.exe' -j:21348
- '<SYSTEM32>\msphqghu.exe' -j:21920
- '<SYSTEM32>\msphqghu.exe' -j:21912
- '<SYSTEM32>\msphqghu.exe' -j:21800
- '<SYSTEM32>\msphqghu.exe' -j:21784
- '<SYSTEM32>\msphqghu.exe' -j:21824
- '<SYSTEM32>\msphqghu.exe' -j:21636
- '<SYSTEM32>\msphqghu.exe' -j:21688
- '<SYSTEM32>\msphqghu.exe' -j:21508
- '<SYSTEM32>\msphqghu.exe' -j:21496
- '<SYSTEM32>\msphqghu.exe' -j:21528
- '<SYSTEM32>\msphqghu.exe' -j:21520
- '<SYSTEM32>\msphqghu.exe' -j:2604
- '<SYSTEM32>\msphqghu.exe' /service
- '<SYSTEM32>\msphqghu.exe' -j:21644
- '<SYSTEM32>\msphqghu.exe' -j:21420
- '<SYSTEM32>\msphqghu.exe' -j:21664
- '<SYSTEM32>\msphqghu.exe' -j:2852
- '<SYSTEM32>\msphqghu.exe' -j:21680
- '<SYSTEM32>\msphqghu.exe' -j:21672
- '<SYSTEM32>\msphqghu.exe' -j:21616
- '<SYSTEM32>\msphqghu.exe' -j:21604
- '<SYSTEM32>\msphqghu.exe' -j:2928
- '<SYSTEM32>\msphqghu.exe' -j:2948
- '<SYSTEM32>\msphqghu.exe' -j:21932
- '<SYSTEM32>\msphqghu.exe' -j:2460
- '<SYSTEM32>\msphqghu.exe' -j:2472
- '<SYSTEM32>\msphqghu.exe' -j:2664
- '<SYSTEM32>\msphqghu.exe' -j:2584
- '<SYSTEM32>\msphqghu.exe' -j:2444
- '<SYSTEM32>\msphqghu.exe' -j:2440
- '<SYSTEM32>\msphqghu.exe' -j:2468
- '<SYSTEM32>\msphqghu.exe' -j:2452
- '<SYSTEM32>\msphqghu.exe' -j:2888
- '<SYSTEM32>\msphqghu.exe' -j:2884
- '<SYSTEM32>\msphqghu.exe' -j:2908
- '<SYSTEM32>\msphqghu.exe' -j:2900
- '<SYSTEM32>\msphqghu.exe' -j:2740
- '<SYSTEM32>\msphqghu.exe' -j:2624
- '<SYSTEM32>\msphqghu.exe' -j:2876
- '<SYSTEM32>\msphqghu.exe' -j:2792
- '<SYSTEM32>\msphqghu.exe' -j:2308
- '<SYSTEM32>\msphqghu.exe' -j:21924
- '<SYSTEM32>\msphqghu.exe' -j:21996
- '<SYSTEM32>\msphqghu.exe' -j:21908
- '<SYSTEM32>\msphqghu.exe' -j:2132
- '<SYSTEM32>\msphqghu.exe' -j:21952
- '<SYSTEM32>\msphqghu.exe' -j:21936
- '<SYSTEM32>\msphqghu.exe' -j:21864
- '<SYSTEM32>\msphqghu.exe' -j:21900
- '<SYSTEM32>\msphqghu.exe' -j:2380
- '<SYSTEM32>\msphqghu.exe' -j:2368
- '<SYSTEM32>\msphqghu.exe' -j:2420
- '<SYSTEM32>\msphqghu.exe' -j:2408
- '<SYSTEM32>\msphqghu.exe' -j:21884
- '<SYSTEM32>\msphqghu.exe' -j:21972
- '<SYSTEM32>\msphqghu.exe' -j:21764
- '<SYSTEM32>\msphqghu.exe' -j:2732
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Завершает или пытается завершить
большое количество пользовательских процессов.
Скрывает следующие процессы:
- <SYSTEM32>\msphqghu.exe
- <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\System\wlp.dat
- %TEMP%\1378777299.cmd
- <SYSTEM32>\msphqghu.exe
Удаляет следующие файлы:
- %TEMP%\1378777299.cmd
Самоудаляется.
Сетевая активность:
UDP:
- DNS ASK www.google.com
- DNS ASK www.li##.com
- DNS ASK www.microsoft.com
- DNS ASK wi###wsupda.com
Другое:
Ищет следующие окна:
- ClassName: 'weporehyldjfslkgjlfg' WindowName: '(null)'
