Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Network Adapter Events] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\msphqghu.exe' -j:22204
- '<SYSTEM32>\msphqghu.exe' -j:22196
- '<SYSTEM32>\msphqghu.exe' -j:22220
- '<SYSTEM32>\msphqghu.exe' -j:22212
- '<SYSTEM32>\msphqghu.exe' -j:22172
- '<SYSTEM32>\msphqghu.exe' -j:22164
- '<SYSTEM32>\msphqghu.exe' -j:22188
- '<SYSTEM32>\msphqghu.exe' -j:22180
- '<SYSTEM32>\msphqghu.exe' -j:22228
- '<SYSTEM32>\msphqghu.exe' -j:22276
- '<SYSTEM32>\msphqghu.exe' -j:22268
- '<SYSTEM32>\msphqghu.exe' -j:22292
- '<SYSTEM32>\msphqghu.exe' -j:22284
- '<SYSTEM32>\msphqghu.exe' -j:22244
- '<SYSTEM32>\msphqghu.exe' -j:22236
- '<SYSTEM32>\msphqghu.exe' -j:22260
- '<SYSTEM32>\msphqghu.exe' -j:22252
- '<SYSTEM32>\msphqghu.exe' -j:21504
- '<SYSTEM32>\msphqghu.exe' -j:21436
- '<SYSTEM32>\msphqghu.exe' -j:21520
- '<SYSTEM32>\msphqghu.exe' -j:21508
- '<SYSTEM32>\msphqghu.exe' -j:21356
- '<SYSTEM32>\msphqghu.exe' -j:21304
- '<SYSTEM32>\msphqghu.exe' -j:21408
- '<SYSTEM32>\msphqghu.exe' -j:2400
- '<SYSTEM32>\msphqghu.exe' -j:21528
- '<SYSTEM32>\msphqghu.exe' -j:22100
- '<SYSTEM32>\msphqghu.exe' -j:21664
- '<SYSTEM32>\msphqghu.exe' -j:22156
- '<SYSTEM32>\msphqghu.exe' -j:22128
- '<SYSTEM32>\msphqghu.exe' -j:21636
- '<SYSTEM32>\msphqghu.exe' -j:21580
- '<SYSTEM32>\msphqghu.exe' -j:2856
- '<SYSTEM32>\msphqghu.exe' -j:2952
- '<SYSTEM32>\msphqghu.exe' -j:22300
- '<SYSTEM32>\msphqghu.exe' -j:22488
- '<SYSTEM32>\msphqghu.exe' -j:22480
- '<SYSTEM32>\msphqghu.exe' -j:22504
- '<SYSTEM32>\msphqghu.exe' -j:22496
- '<SYSTEM32>\msphqghu.exe' -j:22456
- '<SYSTEM32>\msphqghu.exe' -j:22448
- '<SYSTEM32>\msphqghu.exe' -j:22472
- '<SYSTEM32>\msphqghu.exe' -j:22464
- '<SYSTEM32>\msphqghu.exe' -j:22512
- '<SYSTEM32>\msphqghu.exe' -j:22880
- '<SYSTEM32>\msphqghu.exe' -j:22816
- '<SYSTEM32>\msphqghu.exe' /windows
- '<SYSTEM32>\msphqghu.exe' -Embedding
- '<SYSTEM32>\msphqghu.exe' -j:22576
- '<SYSTEM32>\msphqghu.exe' -j:22556
- '<SYSTEM32>\msphqghu.exe' -j:22780
- '<SYSTEM32>\msphqghu.exe' -j:22764
- '<SYSTEM32>\msphqghu.exe' -j:22348
- '<SYSTEM32>\msphqghu.exe' -j:22340
- '<SYSTEM32>\msphqghu.exe' -j:22364
- '<SYSTEM32>\msphqghu.exe' -j:22356
- '<SYSTEM32>\msphqghu.exe' -j:22316
- '<SYSTEM32>\msphqghu.exe' -j:22308
- '<SYSTEM32>\msphqghu.exe' -j:22332
- '<SYSTEM32>\msphqghu.exe' -j:22324
- '<SYSTEM32>\msphqghu.exe' -j:22372
- '<SYSTEM32>\msphqghu.exe' -j:22424
- '<SYSTEM32>\msphqghu.exe' -j:22416
- '<SYSTEM32>\msphqghu.exe' -j:22440
- '<SYSTEM32>\msphqghu.exe' -j:22432
- '<SYSTEM32>\msphqghu.exe' -j:22392
- '<SYSTEM32>\msphqghu.exe' -j:22380
- '<SYSTEM32>\msphqghu.exe' -j:22408
- '<SYSTEM32>\msphqghu.exe' -j:22400
- '<SYSTEM32>\msphqghu.exe' -j:21348
- '<SYSTEM32>\msphqghu.exe' -j:21108
- '<SYSTEM32>\msphqghu.exe' -j:21960
- '<SYSTEM32>\msphqghu.exe' -j:21896
- '<SYSTEM32>\msphqghu.exe' -j:21808
- '<SYSTEM32>\msphqghu.exe' -j:21788
- '<SYSTEM32>\msphqghu.exe' -j:21756
- '<SYSTEM32>\msphqghu.exe' -j:21832
- '<SYSTEM32>\msphqghu.exe' -j:21972
- '<SYSTEM32>\msphqghu.exe' -j:22020
- '<SYSTEM32>\msphqghu.exe' -j:22016
- '<SYSTEM32>\msphqghu.exe' -j:21228
- '<SYSTEM32>\msphqghu.exe' -j:21900
- '<SYSTEM32>\msphqghu.exe' -j:21988
- '<SYSTEM32>\msphqghu.exe' -j:21940
- '<SYSTEM32>\msphqghu.exe' -j:22008
- '<SYSTEM32>\msphqghu.exe' -j:22000
- '<SYSTEM32>\msphqghu.exe' -j:21216
- '<SYSTEM32>\msphqghu.exe' -j:21760
- '<SYSTEM32>\msphqghu.exe' -j:21652
- '<SYSTEM32>\msphqghu.exe' -j:21676
- '<SYSTEM32>\msphqghu.exe' -j:2612
- '<SYSTEM32>\msphqghu.exe' /service
- '<SYSTEM32>\msphqghu.exe' -j:21644
- '<SYSTEM32>\msphqghu.exe' -j:21420
- '<SYSTEM32>\msphqghu.exe' -j:2792
- '<SYSTEM32>\msphqghu.exe' -j:21772
- '<SYSTEM32>\msphqghu.exe' -j:21744
- '<SYSTEM32>\msphqghu.exe' -j:21796
- '<SYSTEM32>\msphqghu.exe' -j:21784
- '<SYSTEM32>\msphqghu.exe' -j:21720
- '<SYSTEM32>\msphqghu.exe' -j:21688
- '<SYSTEM32>\msphqghu.exe' -j:21728
- '<SYSTEM32>\msphqghu.exe' -j:21740
- '<SYSTEM32>\msphqghu.exe' -j:2208
- '<SYSTEM32>\msphqghu.exe' -j:21016
- '<SYSTEM32>\msphqghu.exe' -j:21008
- '<SYSTEM32>\msphqghu.exe' -j:21036
- '<SYSTEM32>\msphqghu.exe' -j:21024
- '<SYSTEM32>\msphqghu.exe' -j:2892
- '<SYSTEM32>\msphqghu.exe' -j:2884
- '<SYSTEM32>\msphqghu.exe' -j:21000
- '<SYSTEM32>\msphqghu.exe' -j:2904
- '<SYSTEM32>\msphqghu.exe' -j:21044
- '<SYSTEM32>\msphqghu.exe' -j:21296
- '<SYSTEM32>\msphqghu.exe' -j:21292
- '<SYSTEM32>\msphqghu.exe' -j:21316
- '<SYSTEM32>\msphqghu.exe' -j:21312
- '<SYSTEM32>\msphqghu.exe' -j:21252
- '<SYSTEM32>\msphqghu.exe' -j:21244
- '<SYSTEM32>\msphqghu.exe' -j:21276
- '<SYSTEM32>\msphqghu.exe' -j:21256
- '<SYSTEM32>\msphqghu.exe' -j:2444
- '<SYSTEM32>\msphqghu.exe' -j:21828
- '<SYSTEM32>\msphqghu.exe' -j:2424
- '<SYSTEM32>\msphqghu.exe' -j:2472
- '<SYSTEM32>\msphqghu.exe' -j:21968
- '<SYSTEM32>\msphqghu.exe' -j:2188
- '<SYSTEM32>\msphqghu.exe' -j:2660
- '<SYSTEM32>\msphqghu.exe' -j:2164
- '<SYSTEM32>\msphqghu.exe' -j:2460
- '<SYSTEM32>\msphqghu.exe' -j:2596
- '<SYSTEM32>\msphqghu.exe' -j:2280
- '<SYSTEM32>\msphqghu.exe' -j:2876
- '<SYSTEM32>\msphqghu.exe' -j:2672
- '<SYSTEM32>\msphqghu.exe' -j:2488
- '<SYSTEM32>\msphqghu.exe' -j:2524
- '<SYSTEM32>\msphqghu.exe' -j:2556
- '<SYSTEM32>\msphqghu.exe' -j:2548
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- <SYSTEM32>\ctfmon.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\winlogon.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1396721330.cmd
- <SYSTEM32>\msphqghu.exe
Удаляет следующие файлы:
- %TEMP%\1396721330.cmd
Самоудаляется.
Сетевая активность:
Подключается к:
- 'go####092334.info':80
- '20#.#6.232.182':80
TCP:
Запросы HTTP POST:
- go####092334.info/query2.php
UDP:
- DNS ASK go####092334.info
- DNS ASK www.microsoft.com
Другое:
Ищет следующие окна:
- ClassName: 'DCOM_CV32' WindowName: 'CV'
