Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Network Adapter Events] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\msphqghu.exe' -j:21392
- '<SYSTEM32>\msphqghu.exe' -j:2364
- '<SYSTEM32>\msphqghu.exe' -j:22052
- '<SYSTEM32>\msphqghu.exe' -j:21508
- '<SYSTEM32>\msphqghu.exe' -j:21372
- '<SYSTEM32>\msphqghu.exe' -j:21344
- '<SYSTEM32>\msphqghu.exe' -j:21440
- '<SYSTEM32>\msphqghu.exe' -j:21400
- '<SYSTEM32>\msphqghu.exe' -j:22100
- '<SYSTEM32>\msphqghu.exe' -j:22092
- '<SYSTEM32>\msphqghu.exe' -j:22116
- '<SYSTEM32>\msphqghu.exe' -j:22108
- '<SYSTEM32>\msphqghu.exe' -j:22068
- '<SYSTEM32>\msphqghu.exe' -j:22060
- '<SYSTEM32>\msphqghu.exe' -j:22084
- '<SYSTEM32>\msphqghu.exe' -j:22076
- '<SYSTEM32>\msphqghu.exe' -j:21340
- '<SYSTEM32>\msphqghu.exe' -j:21168
- '<SYSTEM32>\msphqghu.exe' -j:2716
- '<SYSTEM32>\msphqghu.exe' -j:21204
- '<SYSTEM32>\msphqghu.exe' -j:21180
- '<SYSTEM32>\msphqghu.exe' -j:21056
- '<SYSTEM32>\msphqghu.exe' -j:21008
- '<SYSTEM32>\msphqghu.exe' -j:21060
- '<SYSTEM32>\msphqghu.exe' -j:21084
- '<SYSTEM32>\msphqghu.exe' -j:21284
- '<SYSTEM32>\msphqghu.exe' -j:21300
- '<SYSTEM32>\msphqghu.exe' -j:21320
- '<SYSTEM32>\msphqghu.exe' -j:21220
- '<SYSTEM32>\msphqghu.exe' -j:21156
- '<SYSTEM32>\msphqghu.exe' -j:21232
- '<SYSTEM32>\msphqghu.exe' -j:21264
- '<SYSTEM32>\msphqghu.exe' -j:21252
- '<SYSTEM32>\msphqghu.exe' -j:22124
- '<SYSTEM32>\msphqghu.exe' -j:22332
- '<SYSTEM32>\msphqghu.exe' -j:22324
- '<SYSTEM32>\msphqghu.exe' -j:22348
- '<SYSTEM32>\msphqghu.exe' -j:22340
- '<SYSTEM32>\msphqghu.exe' -j:22300
- '<SYSTEM32>\msphqghu.exe' -j:22292
- '<SYSTEM32>\msphqghu.exe' -j:22316
- '<SYSTEM32>\msphqghu.exe' -j:22308
- '<SYSTEM32>\msphqghu.exe' -j:22696
- '<SYSTEM32>\msphqghu.exe' -j:22444
- '<SYSTEM32>\msphqghu.exe' -j:22748
- '<SYSTEM32>\msphqghu.exe' -j:22712
- '<SYSTEM32>\msphqghu.exe' -j:22364
- '<SYSTEM32>\msphqghu.exe' -j:22356
- '<SYSTEM32>\msphqghu.exe' -j:22380
- '<SYSTEM32>\msphqghu.exe' -j:22372
- '<SYSTEM32>\msphqghu.exe' -j:22284
- '<SYSTEM32>\msphqghu.exe' -j:22196
- '<SYSTEM32>\msphqghu.exe' -j:22188
- '<SYSTEM32>\msphqghu.exe' -j:22212
- '<SYSTEM32>\msphqghu.exe' -j:22204
- '<SYSTEM32>\msphqghu.exe' -j:22140
- '<SYSTEM32>\msphqghu.exe' -j:22132
- '<SYSTEM32>\msphqghu.exe' -j:22180
- '<SYSTEM32>\msphqghu.exe' -j:22172
- '<SYSTEM32>\msphqghu.exe' -j:22260
- '<SYSTEM32>\msphqghu.exe' -j:22252
- '<SYSTEM32>\msphqghu.exe' -j:22276
- '<SYSTEM32>\msphqghu.exe' -j:22268
- '<SYSTEM32>\msphqghu.exe' -j:22228
- '<SYSTEM32>\msphqghu.exe' -j:22220
- '<SYSTEM32>\msphqghu.exe' -j:22244
- '<SYSTEM32>\msphqghu.exe' -j:22236
- '<SYSTEM32>\msphqghu.exe' -j:2996
- '<SYSTEM32>\msphqghu.exe' -j:21748
- '<SYSTEM32>\msphqghu.exe' -j:21732
- '<SYSTEM32>\msphqghu.exe' -j:21780
- '<SYSTEM32>\msphqghu.exe' -j:21768
- '<SYSTEM32>\msphqghu.exe' -j:21660
- '<SYSTEM32>\msphqghu.exe' -j:21672
- '<SYSTEM32>\msphqghu.exe' -j:21744
- '<SYSTEM32>\msphqghu.exe' -j:21724
- '<SYSTEM32>\msphqghu.exe' -j:21640
- '<SYSTEM32>\msphqghu.exe' -j:21836
- '<SYSTEM32>\msphqghu.exe' -j:21920
- '<SYSTEM32>\msphqghu.exe' -j:21884
- '<SYSTEM32>\msphqghu.exe' -j:21800
- '<SYSTEM32>\msphqghu.exe' -j:21792
- '<SYSTEM32>\msphqghu.exe' -j:21824
- '<SYSTEM32>\msphqghu.exe' -j:21812
- '<SYSTEM32>\msphqghu.exe' -j:21700
- '<SYSTEM32>\msphqghu.exe' -j:21756
- '<SYSTEM32>\msphqghu.exe' -j:21648
- '<SYSTEM32>\msphqghu.exe' -j:21528
- '<SYSTEM32>\msphqghu.exe' -j:21520
- '<SYSTEM32>\msphqghu.exe' /service
- '%TEMP%\swf1.tmp'
- '<SYSTEM32>\msphqghu.exe' -j:21412
- '<SYSTEM32>\msphqghu.exe' -j:2604
- '<SYSTEM32>\msphqghu.exe' -j:21644
- '<SYSTEM32>\msphqghu.exe' -j:2848
- '<SYSTEM32>\msphqghu.exe' -j:21692
- '<SYSTEM32>\msphqghu.exe' -j:21684
- '<SYSTEM32>\msphqghu.exe' -j:21608
- '<SYSTEM32>\msphqghu.exe' -j:21624
- '<SYSTEM32>\msphqghu.exe' -j:2924
- '<SYSTEM32>\msphqghu.exe' -j:2948
- '<SYSTEM32>\msphqghu.exe' -j:21956
- '<SYSTEM32>\msphqghu.exe' -j:2524
- '<SYSTEM32>\msphqghu.exe' -j:2396
- '<SYSTEM32>\msphqghu.exe' -j:2552
- '<SYSTEM32>\msphqghu.exe' -j:2532
- '<SYSTEM32>\msphqghu.exe' -j:2372
- '<SYSTEM32>\msphqghu.exe' -j:2448
- '<SYSTEM32>\msphqghu.exe' -j:2456
- '<SYSTEM32>\msphqghu.exe' -j:2480
- '<SYSTEM32>\msphqghu.exe' -j:2876
- '<SYSTEM32>\msphqghu.exe' -j:2868
- '<SYSTEM32>\msphqghu.exe' -j:2896
- '<SYSTEM32>\msphqghu.exe' -j:2884
- '<SYSTEM32>\msphqghu.exe' -j:2788
- '<SYSTEM32>\msphqghu.exe' -j:2556
- '<SYSTEM32>\msphqghu.exe' -j:2664
- '<SYSTEM32>\msphqghu.exe' -j:2780
- '<SYSTEM32>\msphqghu.exe' -j:2408
- '<SYSTEM32>\msphqghu.exe' -j:22000
- '<SYSTEM32>\msphqghu.exe' -j:21992
- '<SYSTEM32>\msphqghu.exe' -j:21936
- '<SYSTEM32>\msphqghu.exe' -j:21928
- '<SYSTEM32>\msphqghu.exe' -j:21968
- '<SYSTEM32>\msphqghu.exe' -j:21964
- '<SYSTEM32>\msphqghu.exe' -j:21984
- '<SYSTEM32>\msphqghu.exe' -j:21976
- '<SYSTEM32>\msphqghu.exe' -j:21912
- '<SYSTEM32>\msphqghu.exe' -j:21948
- '<SYSTEM32>\msphqghu.exe' -j:21804
- '<SYSTEM32>\msphqghu.exe' -j:2740
- '<SYSTEM32>\msphqghu.exe' -j:21932
- '<SYSTEM32>\msphqghu.exe' -j:2184
- '<SYSTEM32>\msphqghu.exe' -j:21940
- '<SYSTEM32>\msphqghu.exe' -j:21216
Запускает на исполнение:
- '<SYSTEM32>\alg.exe' -j:22428
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\alg.exe
- <SYSTEM32>\cscript.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1387856455.cmd
- <SYSTEM32>\msphqghu.exe
- %TEMP%\swf1.tmp
Удаляет следующие файлы:
- %TEMP%\1387856455.cmd
- %TEMP%\swf1.tmp
Сетевая активность:
Подключается к:
- 'es###2eset.com':80
- '20#.#6.232.182':80
TCP:
Запросы HTTP POST:
- es###2eset.com/qqq.php
UDP:
- DNS ASK es###2eset.com
- DNS ASK www.microsoft.com
