Trojan.Revizer.129

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e-4.job
%WINDIR%\Tasks\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e-11.job
%WINDIR%\Tasks\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e-3.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\asd24343\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e-11.exe' /upiif=Gky++M1KOs6Q7gfmLOQIB+sC8Ml5yghyA5x4RAwQDAhSnM0WaYnAS2nGgTyT+L1+P5w8VuqAn7pJJ/nSgpNLu+mlwynvkOp9dRLk8MiCxkx5d5HDR6eQNvDtN8CpyOMkCnBPnJibwMTQ/UaXXoytlgjs62HFNNXQCaCgGLIrE4qKRqy8uFK8xGvdEc8XkIGmaYVsBrrrlqas1Jov/x8nvTGG5xPJ8f0BjWbmHjdpHhKuywV3oJYwFIWU+BE1xMiQ7FheI+TQkVoNU4jRXQsihTZ36Ud2DpbpGhGyDN7ipQxVGvsi6K0gG9XO6yii5JH45NKTEqcyLSAU+wMYizoYZ0j9BTaIFjPFdtZ3F5cEGpgHtlcUYTAb6204u0mT0vTTC6Ykgpb2MwbeqX/+JtgzWrdu+cNckzz1lAr6k2aDLOW5+lRypD+JNFQwzEP7eK/aJCbVKOIcy4u/DqjfSSyQwFiEXU9wAyxFPQB3cGu6JEK6hEmzMWYx/mefSqhST4x6MxnbfOy30lUpAljTYgUeuJQySEMx5b20ZIW96bwwSv/sYlNLcI5xpcPO1o+ib2+0vx2yH86n4Oeh01XIBZH+K0yU9z1V15wX3E5ry01KvwLEgj0qtNqmORr/hV48X/zJCz7BG/oxQGTGFSzA57OwCzvWseqoYRxM/7+Ws6QuKNs0ix59qBF/dIOXhGakY4nHLcVYlfLjeVLZdCFuL2z2pdxidSswEmb14oYyGBL+xVHeMg19NfvwmIqh9fDJ11UC3OL/K2lXFOpNLbgFJU3y9Q6iYKQjcOWeH0Y7NLyrbElVH1VigOPFU6gNGce4rZChOzmcKrGsbWKTPx5QHEpjk4jVmanRayQQ+mx9i+JAQJMeiauFS01tqM4KbQ4cIj6yb5VZbLJXEJem6Z5rC3/gRt7v8Xv40uKXbZ0hlS+BaRZCcyWXxLJt4B0Qb07F/UJFehrLB63OZUVpDXS/zyafZq8jGkJAYiqh5oD0KKiEWtKP4fdHqaGm+s+3LgcEV6NbisQZwgJcxaxN/uNXnpeEWWHfzv3D+amAx/3+PnE3kN5YkIcmyu0AI1QJ0KO+fz8f6pPXYxb52LCggaoR+yGoYWsMLvxdpuhaE8WR/iW46xs5SvmDrpcbO9cs1iD1wyMZ7UAdidaiio/0AcbH38lpNqbHiXWlXI0XCbAwp212VJrGtVHrf8OgRN2XQSqlYeLZ6JRgKy03OdJemC3fvDMj63gYlpf9AG5ndtuzDFViN/KMceP2x9iKQxApG2YTYh4TkNWKnBnXgizTGblYFtTQLPS7M3TWydy+FXDeUs21i5unpfrrc0Hw+UEB3GP57fxSwMATHfYndc7APU0Vlbp3+6wP8Lqm41VXYSg/86hx4ZA6sKWojdjWvUVjrB7Wf0Z6B0Ayl8OMEIoNGMv1EX0rphG/j0es9qHjwB3di5VgcuwXXUqmJhQWHt4VIOq7fKaWoAisXR80TTNBVPZ1+4GsHjtgIejMuXqZYTp++CoqinpH/wmtnfnYFuwlsTiAcPahWtgY7xj+BdXoCEy74tSa29W3JO9f/aWTWPAoopHzOrLc+reDrLQAEoKterq5MkHWPdyffH9LpM3cZSmDmaC10VLnwxYdrDOL+JniP6Mv7zPRF61PMQXvFkLM/7qXMephkVANoMoLTCt/l2ySsO+07EsTDAoT/o4lIE4X9XYObiY=
'%TEMP%\comh.35378\GoogleUpdate.exe' /silent /install "appguid={57bc8578-67de-4ae2-9b8a-83a2447c6859}&appname=b4ab563f-5809-4bd1-b833-2c91f66b83ea&needsadmin=True&lang=en"
'%TEMP%\nsi2.tmp\Xgzlowte.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
firefox.exe
iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\asd24343\72943f19-573e-46ae-a6c8-ddb526720cc6.crx
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\asd24343\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e-3.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\comh.35378\npGoogleUpdate4.dll
%TEMP%\comh.35378\goopdateres_en.dll
%TEMP%\comh.35378\goopdate.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%TEMP%\comh.35378\psuser.dll
%TEMP%\comh.35378\psmachine.dll
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8BD11C4A2318EC8E5A82462092971DEA
%TEMP%\nss5.tmp\ExecDos.dll
%PROGRAM_FILES%\asd24343\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e-11.exe
%TEMP%\Cab8.tmp
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\8BD11C4A2318EC8E5A82462092971DEA
%PROGRAM_FILES%\asd24343\9cf0899e-8b83-46d9-8d2b-a84cae2061d7.crx
%PROGRAM_FILES%\asd24343\1293297481.mxaddon
%TEMP%\Cab6.tmp
%PROGRAM_FILES%\asd24343\5e2575d1-ad9a-4dfb-bf35-dcf3613b709e.crx
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
%TEMP%\nss5.tmp\InstallerUtils.dll
%TEMP%\nss5.tmp\System.dll
%TEMP%\nss5.tmp\StdUtils.dll
%TEMP%\nss5.tmp\md5dll.dll
%TEMP%\nss5.tmp\nsisos.dll
%TEMP%\nss5.tmp\InstallerUtils2.dll
%TEMP%\nsi2.tmp\WrapperUtils.dll
%TEMP%\nsi2.tmp\Qtolrnog.tmp
%TEMP%\nsi2.tmp\System.dll
%TEMP%\nsc4.tmp
%TEMP%\nsi2.tmp\StdUtils.dll
%TEMP%\nsi2.tmp\Xgzlowte.exe
%TEMP%\nss5.tmp\UserInfo.dll
%TEMP%\comh.35378\GoogleUpdate.exe
%TEMP%\comh.35378\GoogleCrashHandler.exe
%PROGRAM_FILES%\asd24343\Uninstall.exe
%TEMP%\comh.35378\GoogleUpdateOnDemand.exe
%TEMP%\comh.35378\GoogleUpdateHelper.msi
%TEMP%\comh.35378\GoogleUpdateBroker.exe
%TEMP%\nss5.tmp\update.json
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%TEMP%\nss5.tmp\inetc.dll
%TEMP%\nss5.tmp\261345
%TEMP%\nss5.tmp\493977
%PROGRAM_FILES%\asd24343\utils.exe

Удаляет следующие файлы:

%TEMP%\Cab8.tmp
%TEMP%\Cab6.tmp
%TEMP%\nss5.tmp\261345

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'cr#.#hawte.com':80
'ts####.ws.symantec.com':80
'lo##.##fostatsserv.com':80
'up####.#nfostatsserv.com':80
'er####.#nfostatsserv.com':80
'st###.#nfostatsserv.com':80

TCP:

Запросы HTTP GET:

cr#.#hawte.com/ThawteTimestampingCA.crl
ts####.ws.symantec.com/tss-ca-g2.crl
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
up####.#nfostatsserv.com/installer_updates/001847/update.json
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: