Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Network Adapter Events] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\msphqghu.exe' -j:22084
- '<SYSTEM32>\msphqghu.exe' -j:22076
- '<SYSTEM32>\msphqghu.exe' -j:22100
- '<SYSTEM32>\msphqghu.exe' -j:22092
- '<SYSTEM32>\msphqghu.exe' -j:22052
- '<SYSTEM32>\msphqghu.exe' -j:21532
- '<SYSTEM32>\msphqghu.exe' -j:22068
- '<SYSTEM32>\msphqghu.exe' -j:22060
- '<SYSTEM32>\msphqghu.exe' -j:22108
- '<SYSTEM32>\msphqghu.exe' -j:22156
- '<SYSTEM32>\msphqghu.exe' -j:22148
- '<SYSTEM32>\msphqghu.exe' -j:22172
- '<SYSTEM32>\msphqghu.exe' -j:22164
- '<SYSTEM32>\msphqghu.exe' -j:22124
- '<SYSTEM32>\msphqghu.exe' -j:22116
- '<SYSTEM32>\msphqghu.exe' -j:22140
- '<SYSTEM32>\msphqghu.exe' -j:22132
- '<SYSTEM32>\msphqghu.exe' -j:21252
- '<SYSTEM32>\msphqghu.exe' -j:21212
- '<SYSTEM32>\msphqghu.exe' -j:21260
- '<SYSTEM32>\msphqghu.exe' -j:21228
- '<SYSTEM32>\msphqghu.exe' -j:21120
- '<SYSTEM32>\msphqghu.exe' -j:21104
- '<SYSTEM32>\msphqghu.exe' -j:21200
- '<SYSTEM32>\msphqghu.exe' -j:21192
- '<SYSTEM32>\msphqghu.exe' -j:21276
- '<SYSTEM32>\msphqghu.exe' -j:21504
- '<SYSTEM32>\msphqghu.exe' -j:21456
- '<SYSTEM32>\msphqghu.exe' -j:21208
- '<SYSTEM32>\msphqghu.exe' -j:21516
- '<SYSTEM32>\msphqghu.exe' -j:21400
- '<SYSTEM32>\msphqghu.exe' -j:21292
- '<SYSTEM32>\msphqghu.exe' -j:21448
- '<SYSTEM32>\msphqghu.exe' -j:2720
- '<SYSTEM32>\msphqghu.exe' -j:22356
- '<SYSTEM32>\msphqghu.exe' -j:22348
- '<SYSTEM32>\msphqghu.exe' -j:22404
- '<SYSTEM32>\msphqghu.exe' -j:22364
- '<SYSTEM32>\msphqghu.exe' -j:22324
- '<SYSTEM32>\msphqghu.exe' -j:22316
- '<SYSTEM32>\msphqghu.exe' -j:22340
- '<SYSTEM32>\msphqghu.exe' -j:22332
- '<SYSTEM32>\msphqghu.exe' -j:22432
- '<SYSTEM32>\msphqghu.exe' -j:22736
- '<SYSTEM32>\msphqghu.exe' -j:22720
- '<SYSTEM32>\msphqghu.exe' /windows
- '<SYSTEM32>\msphqghu.exe' -j:22772
- '<SYSTEM32>\msphqghu.exe' -j:22484
- '<SYSTEM32>\msphqghu.exe' -j:22456
- '<SYSTEM32>\msphqghu.exe' -j:22548
- '<SYSTEM32>\msphqghu.exe' -j:22528
- '<SYSTEM32>\msphqghu.exe' -j:22220
- '<SYSTEM32>\msphqghu.exe' -j:22212
- '<SYSTEM32>\msphqghu.exe' -j:22236
- '<SYSTEM32>\msphqghu.exe' -j:22228
- '<SYSTEM32>\msphqghu.exe' -j:22188
- '<SYSTEM32>\msphqghu.exe' -j:22180
- '<SYSTEM32>\msphqghu.exe' -j:22204
- '<SYSTEM32>\msphqghu.exe' -j:22196
- '<SYSTEM32>\msphqghu.exe' -j:22244
- '<SYSTEM32>\msphqghu.exe' -j:22292
- '<SYSTEM32>\msphqghu.exe' -j:22284
- '<SYSTEM32>\msphqghu.exe' -j:22308
- '<SYSTEM32>\msphqghu.exe' -j:22300
- '<SYSTEM32>\msphqghu.exe' -j:22260
- '<SYSTEM32>\msphqghu.exe' -j:22252
- '<SYSTEM32>\msphqghu.exe' -j:22276
- '<SYSTEM32>\msphqghu.exe' -j:22268
- '<SYSTEM32>\msphqghu.exe' -j:21060
- '<SYSTEM32>\msphqghu.exe' -j:21772
- '<SYSTEM32>\msphqghu.exe' -j:21748
- '<SYSTEM32>\msphqghu.exe' -j:21792
- '<SYSTEM32>\msphqghu.exe' -j:21784
- '<SYSTEM32>\msphqghu.exe' -j:21744
- '<SYSTEM32>\msphqghu.exe' -j:21736
- '<SYSTEM32>\msphqghu.exe' -j:21760
- '<SYSTEM32>\msphqghu.exe' -j:21752
- '<SYSTEM32>\msphqghu.exe' -j:21800
- '<SYSTEM32>\msphqghu.exe' -j:21964
- '<SYSTEM32>\msphqghu.exe' -j:21932
- '<SYSTEM32>\msphqghu.exe' -j:21980
- '<SYSTEM32>\msphqghu.exe' -j:21976
- '<SYSTEM32>\msphqghu.exe' -j:21840
- '<SYSTEM32>\msphqghu.exe' -j:21824
- '<SYSTEM32>\msphqghu.exe' -j:21872
- '<SYSTEM32>\msphqghu.exe' -j:21820
- '<SYSTEM32>\msphqghu.exe' -j:21764
- '<SYSTEM32>\msphqghu.exe' -j:21656
- '<SYSTEM32>\msphqghu.exe' -j:21608
- '<SYSTEM32>\msphqghu.exe' -j:21624
- '<SYSTEM32>\msphqghu.exe' /service
- '%TEMP%\swf1.tmp'
- '<SYSTEM32>\msphqghu.exe' -j:21424
- '<SYSTEM32>\msphqghu.exe' -j:2604
- '<SYSTEM32>\msphqghu.exe' -j:2948
- '<SYSTEM32>\msphqghu.exe' -j:21704
- '<SYSTEM32>\msphqghu.exe' -j:21696
- '<SYSTEM32>\msphqghu.exe' -j:21672
- '<SYSTEM32>\msphqghu.exe' -j:21680
- '<SYSTEM32>\msphqghu.exe' -j:2856
- '<SYSTEM32>\msphqghu.exe' -j:2940
- '<SYSTEM32>\msphqghu.exe' -j:21688
- '<SYSTEM32>\msphqghu.exe' -j:2848
- '<SYSTEM32>\msphqghu.exe' -j:2552
- '<SYSTEM32>\msphqghu.exe' -j:2532
- '<SYSTEM32>\msphqghu.exe' -j:2740
- '<SYSTEM32>\msphqghu.exe' -j:2624
- '<SYSTEM32>\msphqghu.exe' -j:2408
- '<SYSTEM32>\msphqghu.exe' -j:2440
- '<SYSTEM32>\msphqghu.exe' -j:2472
- '<SYSTEM32>\msphqghu.exe' -j:2456
- '<SYSTEM32>\msphqghu.exe' -j:2664
- '<SYSTEM32>\msphqghu.exe' -j:21020
- '<SYSTEM32>\msphqghu.exe' -j:21012
- '<SYSTEM32>\msphqghu.exe' -j:21044
- '<SYSTEM32>\msphqghu.exe' -j:21036
- '<SYSTEM32>\msphqghu.exe' -j:2876
- '<SYSTEM32>\msphqghu.exe' -j:2808
- '<SYSTEM32>\msphqghu.exe' -j:2996
- '<SYSTEM32>\msphqghu.exe' -j:2388
- '<SYSTEM32>\msphqghu.exe' -j:22020
- '<SYSTEM32>\msphqghu.exe' -j:22016
- '<SYSTEM32>\msphqghu.exe' -j:21948
- '<SYSTEM32>\msphqghu.exe' -j:21896
- '<SYSTEM32>\msphqghu.exe' -j:21996
- '<SYSTEM32>\msphqghu.exe' -j:21988
- '<SYSTEM32>\msphqghu.exe' -j:21336
- '<SYSTEM32>\msphqghu.exe' -j:22004
- '<SYSTEM32>\msphqghu.exe' -j:2188
- '<SYSTEM32>\msphqghu.exe' -j:2412
- '<SYSTEM32>\msphqghu.exe' -j:21808
- '<SYSTEM32>\msphqghu.exe' -j:2428
- '<SYSTEM32>\msphqghu.exe' -j:2420
- '<SYSTEM32>\msphqghu.exe' -j:21952
- '<SYSTEM32>\msphqghu.exe' -j:2240
- '<SYSTEM32>\msphqghu.exe' -j:2652
- '<SYSTEM32>\msphqghu.exe' -j:2184
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1388170452.cmd
- <SYSTEM32>\msphqghu.exe
- %TEMP%\swf1.tmp
Удаляет следующие файлы:
- %TEMP%\1388170452.cmd
- %TEMP%\swf1.tmp
Сетевая активность:
Подключается к:
- 'es###2eset.com':80
- '20#.#6.232.182':80
TCP:
Запросы HTTP POST:
- es###2eset.com/qqq.php
UDP:
- DNS ASK es###2eset.com
- DNS ASK www.microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'DCOM_CV32' WindowName: 'CV'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
