Trojan.Crossrider.25917

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\10ce4fcd-a524-49f0-a95e-84030f6e9613-11.job
%WINDIR%\Tasks\10ce4fcd-a524-49f0-a95e-84030f6e9613-3.job

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\comh.448342\GoogleUpdate.exe' /silent /install "appguid={fe72c4e4-0a6a-44f2-a36f-57de2f572f13}&appname=b978f4eb-36b8-481b-b2a4-81a4b166db48&needsadmin=True&lang=en"
'%TEMP%\nsr3.tmp\Xxorzdmkujz.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
firefox.exe
iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\comh.448342\psuser.dll
%TEMP%\comh.448342\psmachine.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%PROGRAM_FILES%\SmartSaver1+ 12\3a175c11-9e8a-4821-8996-00a0211025fd.crx
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%TEMP%\comh.448342\npGoogleUpdate4.dll
%TEMP%\comh.448342\GoogleUpdateHelper.msi
%TEMP%\comh.448342\GoogleUpdateBroker.exe
%TEMP%\comh.448342\GoogleUpdateOnDemand.exe
%TEMP%\comh.448342\goopdateres_en.dll
%TEMP%\comh.448342\goopdate.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
%PROGRAM_FILES%\SmartSaver1+ 12\1293297481.mxaddon
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
%PROGRAM_FILES%\SmartSaver1+ 12\10ce4fcd-a524-49f0-a95e-84030f6e9613.crx
%PROGRAM_FILES%\SmartSaver1+ 12\6c16c164-4ab1-4435-ac45-006af491699a.crx
%TEMP%\Cab7.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\SmartSaver1+ 12\10ce4fcd-a524-49f0-a95e-84030f6e9613-3.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\comh.448342\GoogleUpdate.exe
%TEMP%\nsj6.tmp\StdUtils.dll
%TEMP%\nst5.tmp
%TEMP%\nsj6.tmp\System.dll
%TEMP%\nsj6.tmp\InstallerUtils2.dll
%TEMP%\nsj6.tmp\InstallerUtils.dll
%TEMP%\nsr3.tmp\StdUtils.dll
%TEMP%\nsr3.tmp\System.dll
%TEMP%\nsq2.tmp
%TEMP%\nsr3.tmp\Cfqaxr.tmp
%TEMP%\nsr3.tmp\Xxorzdmkujz.exe
%TEMP%\nsr3.tmp\WrapperUtils.dll
%TEMP%\nsj6.tmp\20021
%PROGRAM_FILES%\SmartSaver1+ 12\utils.exe
%TEMP%\nsj6.tmp\2324
%TEMP%\comh.448342\GoogleCrashHandler.exe
%PROGRAM_FILES%\SmartSaver1+ 12\Uninstall.exe
%TEMP%\nsj6.tmp\update.json
%TEMP%\nsj6.tmp\md5dll.dll
%TEMP%\nsj6.tmp\nsisos.dll
%TEMP%\nsj6.tmp\UserInfo.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%TEMP%\nsj6.tmp\inetc.dll

Удаляет следующие файлы:

%TEMP%\Cab7.tmp
%TEMP%\nsj6.tmp\2324

Сетевая активность:

Подключается к:

'lo##.##nstatsnet.com':80
'www.download.windowsupdate.com':80
'cr#.#hawte.com':80
'up####.genstatsnet.com':80
'er####.genstatsnet.com':80
'st###.#enstatsnet.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
cr#.#hawte.com/ThawteTimestampingCA.crl
up####.genstatsnet.com/installer_updates/001631/update.json
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: