Trojan.Crossrider.16114

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\Gooclic_fr 0.1-firefoxinstaller.job
%WINDIR%\Tasks\Gooclic_fr 0.1-chromeinstaller.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Gooclic_fr 0.1\Gooclic_fr 0.1-firefoxinstaller.exe' /installxpi /agentregpath='Gooclic_fr 0.1' /extensionfilepath='%PROGRAM_FILES%\Gooclic_fr 0.1\31056.xpi' /appid=31056 /srcid='000704' /subid='0' /zdata='0' /bic=692EA2002EBF462D89DCB2D838EF2E78IE /verifier=5ffac8cc2711defe40ebbaaf1d001078 /installerversion=1_34_2_13 /installerfullversion=1.34.2.13 /installationtime=1398213357 /statsdomain=http://st###.#rvstatsdata.com /errorsdomain=http://er####.srvstatsdata.com /waitforbrowser=300 /extensionid=05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com /extensionversion=0.93 /prefsbranch=a05068be5f0414fb7af19159a8a1c1f6c879be7c8785e4c7eaa82354f387099b9com31056 /updateurl=https://w9u6a2p6.ssl.hwcdn.net/plugin/ff/update/31056.rdf /extensionname='Gooclic_fr 0.1' /extensiondesc='Gooclic' /publishername='Media Corporation' /defbro=ie /allusers /allprofiles /checkfflist /autoupdateulr='http://up####.srvstatsdata.com/ff_agent_updates/{CAMP_ID}/update.json' /showthankyoupage /runfrom='installer' /externallog='%TEMP%\Gooclic_fr 0.1Installer_1398213357.log'
'%PROGRAM_FILES%\Gooclic_fr 0.1\Gooclic_fr 0.1-chromeinstaller.exe' /agentregpath='Gooclic_fr 0.1' /extensionfilepath='%PROGRAM_FILES%\Gooclic_fr 0.1\31056.crx' /appid=31056 /srcid='000704' /subid='0' /zdata='0' /bic=692EA2002EBF462D89DCB2D838EF2E78IE /verifier=5ffac8cc2711defe40ebbaaf1d001078 /installerversion=1_34_2_13 /installerfullversion=1.34.2.13 /installationtime=1398213357 /statsdomain=http://st###.#rvstatsdata.com /errorsdomain=http://er####.srvstatsdata.com /waitforbrowser=300 /defbro=ie /installcrx /allusers /allprofiles /extensionid=kadoljojjcophhnjmjfnbnlcccjlmlhh /extensionversion=1.26.290 /extensionpublickey=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDb2Nek9eVKXpdFwdmXIy4DGHA4++GdG8kxHfSbH0UlSllgpV7pFLTDHavNGB4mfK+6WZTOZgGmv6Lez15mHnnrgatWs8ds8naucl4qQzajdxtRWOLFBQ6tOwsrHFaPn8lZs8PZgM4Wgu3xSRMaADy82NlBPH4bIRZvEo/21wNFtwIDAQAB /autoupdateulr='http://up####.srvstatsdata.com/validator/{CAMP_ID}/update.json' /crxinstalltype=1 /showthankyoupage /runfrom='installer' /externallog='%TEMP%\Gooclic_fr 0.1Installer_1398213357.log'

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe
opera.exe
iexplore.exe
firefox.exe

Изменения в файловой системе:

Создает следующие файлы:

%PROGRAM_FILES%\Gooclic_fr 0.1\31056.xpi
%PROGRAM_FILES%\Gooclic_fr 0.1\Gooclic_fr 0.1-firefoxinstaller.exe
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\install.rdf
%TEMP%\nsf3.tmp\ExecDos.dll
%PROGRAM_FILES%\Gooclic_fr 0.1\Uninstall.exe
%PROGRAM_FILES%\Gooclic_fr 0.1\31056.crx
%PROGRAM_FILES%\Gooclic_fr 0.1\Gooclic_fr 0.1-chromeinstaller.exe
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\locale\en-US\translations.dtd
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\extensionData\plugins\78_CrossriderInfo.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\extensionData\plugins\16_FFAppAPIWrapper.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\extensionData\plugins\14_CrossriderUtils.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\extensionData\manifest.xml
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\defaults\preferences\prefs.js
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\chrome.manifest
%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\05068be5-f041-4fb7-af19-159a8a1c1f6c@879be7c8-785e-4c7e-aa82-354f387099b9.com\extensionData\plugins.json
%TEMP%\nsf3.tmp\temp_file_after.tmp
%TEMP%\Gooclic_fr 0.1Installer_1398213357.log
%TEMP%\nsf3.tmp\InstallerUtils2.dll
%TEMP%\nsf3.tmp\nsisos.dll
%TEMP%\nsf3.tmp\nsislog.dll
%TEMP%\nsf2.tmp
%TEMP%\nsf3.tmp\StdUtils.dll
%TEMP%\nsf3.tmp\System.dll
%TEMP%\nsf3.tmp\md5dll.dll
%TEMP%\nsf3.tmp\InstallerUtils.dll
%PROGRAM_FILES%\Gooclic_fr 0.1\utils.exe
%TEMP%\nsf3.tmp\temp_file_before.tmp
%TEMP%\nsf3.tmp\update.json
%TEMP%\nsf3.tmp\UserInfo.dll
%TEMP%\nsf3.tmp\inetc.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json