Trojan.Crossrider.25981

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\55efda46-06eb-4260-be07-285551ed08f4-3.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\Free Video Grabber 6.6\55efda46-06eb-4260-be07-285551ed08f4-3.exe' /XyRGXMs=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
'%TEMP%\comh.120814\GoogleUpdate.exe' /silent /install "appguid={d62802fd-4afd-4c3a-aad9-d0d339ddd0d1}&appname=8b3130bc-4f8f-49c5-9596-8b3f5bf2f138&needsadmin=True&lang=en"
'%TEMP%\nsc3.tmp\Ezudihn.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe
opera.exe
iexplore.exe
firefox.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\comh.120814\psmachine.dll
%TEMP%\comh.120814\npGoogleUpdate4.dll
%TEMP%\comh.120814\psuser.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%TEMP%\comh.120814\goopdateres_en.dll
%TEMP%\comh.120814\GoogleUpdateBroker.exe
%TEMP%\comh.120814\GoogleUpdate.exe
%TEMP%\comh.120814\GoogleUpdateHelper.msi
%TEMP%\comh.120814\goopdate.dll
%TEMP%\comh.120814\GoogleUpdateOnDemand.exe
%TEMP%\nsp6.tmp\ExecDos.dll
%TEMP%\Cab7.tmp
%TEMP%\Free Video Grabber 6.6Installer_1402531007.log
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\Free Video Grabber 6.6\57250.crx
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\Free Video Grabber 6.6\55efda46-06eb-4260-be07-285551ed08f4-3.exe
%TEMP%\nsp6.tmp\StdUtils.dll
%TEMP%\nsp5.tmp
%TEMP%\nsp6.tmp\System.dll
%TEMP%\nsp6.tmp\InstallerUtils2.dll
%TEMP%\nsp6.tmp\InstallerUtils.dll
%TEMP%\nsc3.tmp\StdUtils.dll
%TEMP%\nsc3.tmp\System.dll
%TEMP%\nsm2.tmp
%TEMP%\nsc3.tmp\Dzuscavlgytd.tmp
%TEMP%\nsc3.tmp\Ezudihn.exe
%TEMP%\nsc3.tmp\WrapperUtils.dll
%TEMP%\nsp6.tmp\252429
%PROGRAM_FILES%\Free Video Grabber 6.6\utils.exe
%TEMP%\nsp6.tmp\223878
%TEMP%\comh.120814\GoogleCrashHandler.exe
%PROGRAM_FILES%\Free Video Grabber 6.6\Uninstall.exe
%TEMP%\nsp6.tmp\update.json
%TEMP%\nsp6.tmp\md5dll.dll
%TEMP%\nsp6.tmp\nsisos.dll
%TEMP%\nsp6.tmp\UserInfo.dll
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%TEMP%\nsp6.tmp\inetc.dll

Удаляет следующие файлы:

%TEMP%\Cab7.tmp
%TEMP%\nsp6.tmp\223878

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'cr#.#hawte.com':80
'ts####.ws.symantec.com':80
'lo##.##tagenserv.com':80
'up####.datagenserv.com':80
'er####.datagenserv.com':80
'st###.#atagenserv.com':80

TCP:

Запросы HTTP GET:

cr#.#hawte.com/ThawteTimestampingCA.crl
ts####.ws.symantec.com/tss-ca-g2.crl
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
up####.datagenserv.com/installer_updates/001527/update.json
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: