Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\globalUpdateUpdateTaskMachineCore.job
- %WINDIR%\Tasks\globalUpdateUpdateTaskMachineUA.job
- %WINDIR%\Tasks\54a35567-a82b-4072-8674-bce9a19e5959-3.job
- %WINDIR%\Tasks\54a35567-a82b-4072-8674-bce9a19e5959-11.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\globalUpdate] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe' /regsvc
- '%PROGRAM_FILES%\Free Video Grabber 6.6\54a35567-a82b-4072-8674-bce9a19e5959-11.exe' /oiPMR=D6a73MZfzmvyqzEm/foWBN/r3mN2nOVHh5p6wwMZrntJOdJLJzgZqL2ATh1n+UTe/lFmiHwCqKhI8bTIs92bB8BJbktE/nZyF9Udb64MYUoHC0nEtX9mmuEydEJBntGiJz/rj+YCK2pR6IPi7ERn4NZ1moDGk1iyLJGfRaJ2LWVcYd8c/hYxdNWDRnn38AsnEoDrYTbXvheYiOztFfatGu9BnT8GQMnKSp1c/xaP5s12rOCZi6XT5KhQ002mIv8aAjL1B31Ie0zQxdOrJiEZ0YyYbyXpVJlClod6ZYUzT/28HgX49MVyAoxKle+NL8euJfBZoVQ8yHu64TEaT0yOhHNKxcZ7gcRhugXd1S3FSiko63ePmAjX9IJk8juiBgdF0xtsDvqUPx9MK32rrIDG71wdVw/aNAQzrzx28CbyE6US9HNY5rX+1M8rWAXd6AnTOMtQXAVyQ5seIt1lcvu6Ej6s6T7Z4i/XEB2iBzOk0MSsoqfX0cVqZdEs9osXlr6pEnbUsWfmN1k2iMyBih6/EOV0jse4933pPHJM5dx7zUIr7ou8YQ68byzSTARKy8c/zElFoT5qB54L6VPIkO2rMisbhNvrntpqh6bztqr5eSUAqg7x6wRysQyTLFU9HCSk+n7O1B3Iq1Bm0WIovSx0v7UNGEmmiH8AA2WCz0Mi8MQGB/v243CcHzoTP2crWS0e7IxDBl0l5Ik8O0BtAqAvnV9cedCgLobzW8Aw+DbtJg4l4C7e/CzvPebx9Yv5gBTK+DMk+8OL2eEj4QTtXZPInIeprLuW/FY8LjLclB3isfgv1JN0KuFgj12waJD2Ucwp5faLcds9UpvETAYi0Wnzr6K4eW2xK9r1zw2HEKgywCRGR8hVKxoMcEmYzjijz/XXrRB063OzeM5PM5CrUfVlcqoMzq3U0XnU3miaFVA+65Hf743Nr1vvv9U+SqLr5m0OPo7ajIvd6zSpBnCO6aRCEKphAeccS+WGefyHkIiiflg0jB0hIRrxV9gcBZxFm5cCVbXguk3VhKvbc35RfRY5oIwJLY6IpW47RyAm/sdz3x8E60Q9Pbaj77EiWRPvGGMZRNHNcPaQmWuy6k+QPplVGy6kEHijgPPNpN65IOzpCjb4f0nyJDWk8XontGfDlbOStxZLhHnDA+TzRA0BvdirxvfDeE0SqPG0U4/iyGmjQpNl9mIxFb8X5MRm6px67M5f2sB6mh0pJQYsaXXPlD9cKa5/BUdZtM/LtCwDfs7ES8rXRP71Ky3CzbZTGLCNWSaR2hwEgqbuyTOj4lSqyZNSKDee3vO4GRucX1Z6ylmAQGKuKcChDIzmZfugxgSboFbJE2LAqHlVFu/kvdsapiDzQQ4Ud29vdiGDlEJQtmkh9oej6scxe6gbnl/T1/7zd4skQCcCPl56UfcQBh9jgDI3VW6DZbo7PRJt4Ft4nQ7lovOC/uUdmfty8JNPk9nterWfi3aFUn7o59zGbDROe5h1lquC4+qqt9Bpv3buNCdUQmk/noKHKU1b85nxmEvMcY1EeLG7UPwDs7Ok+Cr3GktdLRwGVMQJgo3W80d9+lHMM43aRw9vIDJvi/GAtpbqSvGcedHDoZLyUnjxligOYmbOkBSeUUim5RnInwMlddpNfnodH4+KwLXlMVNS1zTU6C+ozTR77r8tpwSqVM5/Yint9dpepOdu+Yt5u4Hja9IMclqU3eUmQRfo0BSnRgaLYa5uXru1Fftg61VT+9rYFf61rnNahoQMqB/P9fLenPJUZOR25k9U40/n9eAn6+kaPw67Cqy4PlETK7afjS0gtx579Ef9XpnrDQmS3IKUTQ2YIy915um9HfELvWGH9NAK6miJcpYjAc3/0BKAFxq139wxOQ==
- '%PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe' /regserver
- '%TEMP%\nsj3.tmp\Wjmymz.exe'
- '%TEMP%\comh.306264\GoogleUpdate.exe' /silent /install "appguid={d62802fd-4afd-4c3a-aad9-d0d339ddd0d1}&appname=f186ff1a-9ce1-4b81-8703-978cc95bf670&needsadmin=True&lang=en"
- '%PROGRAM_FILES%\Free Video Grabber 6.6\54a35567-a82b-4072-8674-bce9a19e5959-3.exe' /oiPMR=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
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\msiexec.exe' /V
Завершает или пытается завершить
следующие пользовательские процессы:
- chrome.exe
- opera.exe
- iexplore.exe
- firefox.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\8BD11C4A2318EC8E5A82462092971DEA
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
- %TEMP%\nsz6.tmp\ExecDos.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8BD11C4A2318EC8E5A82462092971DEA
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdateres_en.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateHelper.msi
- %TEMP%\Cab9.tmp
- %TEMP%\CabB.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
- %TEMP%\Cab7.tmp
- %PROGRAM_FILES%\Free Video Grabber 6.6\54a35567-a82b-4072-8674-bce9a19e5959-3.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psuser.dll
- %WINDIR%\Installer\422d8.ipi
- %TEMP%\~DF4A6E.tmp
- %PROGRAM_FILES%\Free Video Grabber 6.6\54a35567-a82b-4072-8674-bce9a19e5959-11.exe
- %WINDIR%\Installer\422d6.msi
- %TEMP%\MSI4338f.LOG
- %TEMP%\~DF77C9.tmp
- %WINDIR%\Installer\MSID.tmp
- C:\Config.Msi\422d9.rbs
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateBroker.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psmachine.dll
- %PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe
- %PROGRAM_FILES%\Free Video Grabber 6.6\360-57250.crx
- %PROGRAM_FILES%\Free Video Grabber 6.6\54a35567-a82b-4072-8674-bce9a19e5959.crx
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateOnDemand.exe
- %PROGRAM_FILES%\Free Video Grabber 6.6\1293297481.mxaddon
- %TEMP%\nsz6.tmp\InstallerUtils2.dll
- %TEMP%\nsz6.tmp\nsisos.dll
- %TEMP%\nsz6.tmp\System.dll
- %TEMP%\nsz6.tmp\InstallerUtils.dll
- %TEMP%\nsz6.tmp\inetc.dll
- %TEMP%\nsz6.tmp\update.json
- %TEMP%\nsz6.tmp\md5dll.dll
- %TEMP%\nsz6.tmp\UserInfo.dll
- %TEMP%\nsj3.tmp\Vtjixdcxre.tmp
- %TEMP%\nsj3.tmp\WrapperUtils.dll
- %TEMP%\nst2.tmp
- %TEMP%\nsj3.tmp\System.dll
- %TEMP%\nsj5.tmp
- %TEMP%\nsz6.tmp\StdUtils.dll
- %TEMP%\nsj3.tmp\Wjmymz.exe
- %TEMP%\nsj3.tmp\StdUtils.dll
- %PROGRAM_FILES%\Free Video Grabber 6.6\utils.exe
- %TEMP%\comh.306264\npGoogleUpdate4.dll
- %TEMP%\comh.306264\psmachine.dll
- %TEMP%\comh.306264\goopdate.dll
- %TEMP%\comh.306264\goopdateres_en.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
- %PROGRAM_FILES%\Free Video Grabber 6.6\57250.crx
- %TEMP%\comh.306264\psuser.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
- %PROGRAM_FILES%\Free Video Grabber 6.6\Uninstall.exe
- %TEMP%\comh.306264\GoogleCrashHandler.exe
- %TEMP%\nsz6.tmp\258052
- %TEMP%\nsz6.tmp\268552
- %TEMP%\comh.306264\GoogleUpdateHelper.msi
- %TEMP%\comh.306264\GoogleUpdateOnDemand.exe
- %TEMP%\comh.306264\GoogleUpdate.exe
- %TEMP%\comh.306264\GoogleUpdateBroker.exe
Удаляет следующие файлы:
- %WINDIR%\Installer\422d6.msi
- C:\Config.Msi\422d9.rbs
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %WINDIR%\Installer\422d8.ipi
- %WINDIR%\Installer\MSID.tmp
- %TEMP%\Cab7.tmp
- %TEMP%\nsz6.tmp\268552
- %TEMP%\CabB.tmp
- %TEMP%\Cab9.tmp
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'cr#.#hawte.com':80
- 'ts####.ws.symantec.com':80
- 'lo##.##moclientnet.com':80
- 'up####.#emoclientnet.com':80
- 'er####.#emoclientnet.com':80
- 'st###.#emoclientnet.com':80
TCP:
Запросы HTTP GET:
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- ts####.ws.symantec.com/tss-ca-g2.crl
- cr#.#hawte.com/ThawteTimestampingCA.crl
- er####.#emoclientnet.com/installer-error.gif?ac########################################################################################################################################################################################################################################################################################################################################################################################################
- up####.#emoclientnet.com/installer_updates/001527/update.json
- lo##.##moclientnet.com/monetization.gif?ev#############################################################################################################################################################################################################################################################################################################################################################################
- st###.#emoclientnet.com/installer.gif?ac####################################################################################################################################################################################################################################################################################################################################################################################################################################
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK cr#.#hawte.com
- DNS ASK ts####.ws.symantec.com
- DNS ASK lo##.##moclientnet.com
- DNS ASK up####.#emoclientnet.com
- DNS ASK er####.#emoclientnet.com
- DNS ASK st###.#emoclientnet.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
