Trojan.Crossrider.24543

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\35ba4c5e-4b02-40ff-b25d-146c8099420c-3.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\HQ-Quality-v1.1\35ba4c5e-4b02-40ff-b25d-146c8099420c-3.exe' /fazRMXi=qvXnY8J2kbICiksyZ79Brw8zUFfncmtCacxijErxfJaIy++o+0/Cq1r+Ck8f6TDIlHHzudXuoMP2lvTWPyJdx8KAd6it+AsByGEst3yXP7fIR8yieM4PdaGvAkxe+dYGURyUc+YOlsn4AXsrpb29SsJ5ZL10No0u0Dsevh3lSrptsquiJ/z8M+ggkQa9YZpmKdrFS9fPgPeiWiv/BnAvDdnpttkAmycCtF+RlTrwu7gJiypKg1s/9vWqF0bj725kqm2yx1TXerlt0RXj21Gh0OSDvIpdFTcyXhKXaf36d3gTkpSFVdra1uz6UlhmIaDCqRSzKHE7lXWjEbEoIeTrZB5KM3qpUqVLRz1Xq/DanfqtdGxzcXGH+Cm0dg91DEZLAqw1RmfX9qvL0yC7ouYBoRtSOQXi+w1C0AAR87HMeNxwzVgPlTCahUln1PCGZmwJU8u7eqOYx5VXc2GIqtUKqWdJd51GXuYtxwpp4hRqS94BtZTW+VW3vFRE1ko+WbTIizt/SPM2wKFtL74SZj4j4C+nVJE4KyAxAFQRSRwj2r2/Ag5wHrT8b8D5R5J+MhI6kycjAMHq7AMLZNSCOiGMQ2OHfAPyXQDVEV4BwnztY9jHcETCO6jlGRMmRscCi41yEEXyrh+yKBvPnLwohEK0Ds3gSwuM61k9as3YZor6PgcCXw78wC5sWLfJkveDyMu3pELMW0iCmol22UTnrN46Cm9G93Z3YRK2ZyJWzJ9U6e77HBbPbLrf1aIj1Ka2L5rNfCKcNd8nESTN2UJev+U4MOL1bvLlGxwEKuFzcFi3mMg1nont3F3eDva2heeAhuqSzcT2WgIf0mY0TnGos8cR0JoVXNi42u0Zr8CEoRrcVkE0PUGu7GIp3URx1RZaivxSWgr3vE6C5NlHZGbdGugIRg21/hYZQKAv9RRumykd3NzQDJjkdhiROMpN8kxMETvwCJpTrj3840vGe0hAtyo52BCWCaWR8sKclChhkHJ8eIywXk+wMsAPSXCsgXKRKOhiOFAfgtWYfBr1JePrtrXKmvTFaKnOtwm64LxwnRqGg2C6g05Ic5iE/rjv6JvpWNAiFZdWs6b8MMD8kBBWviIDqE8wtzcJtQstzZlmk7eEW5hRPZirEAQLHQbSvinUL8OK+nGAGKkF6XEnxyuTNGCp3ICa5wV4QLobCA4GOXaONyefb1CzmJV9sDElYqLsJoM9YnAPOi36j7JfGI2xGpDKrSj58MVsJtjWjYbResi7T8WqNWyWn1EPr5IjDq7bhg3CbAL2MomUb6gzBE4a296eWgzU/fr8/ooDtAqhvFbUMftCKDlHmIT1kno571KJkPLHg8Dw29EA6WRTQTKEtzEBIg==
'%TEMP%\comh.264068\GoogleUpdate.exe' /silent /install "appguid={eb33ccb2-2b25-4279-8983-a13494f41bce}&appname=c9d81296-9f1b-4039-a069-85c609cd8f3c&needsadmin=True&lang=en"
'%TEMP%\nsy3.tmp\Iihcrgby.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe
opera.exe
iexplore.exe
firefox.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\comh.264068\goopdateres_en.dll
%TEMP%\comh.264068\goopdate.dll
%TEMP%\comh.264068\npGoogleUpdate4.dll
%TEMP%\comh.264068\psuser.dll
%TEMP%\comh.264068\psmachine.dll
%TEMP%\comh.264068\GoogleUpdate.exe
%TEMP%\comh.264068\GoogleCrashHandler.exe
%TEMP%\comh.264068\GoogleUpdateBroker.exe
%TEMP%\comh.264068\GoogleUpdateOnDemand.exe
%TEMP%\comh.264068\GoogleUpdateHelper.msi
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\HQ-Quality-v1.1\35ba4c5e-4b02-40ff-b25d-146c8099420c-3.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\nsc6.tmp\ExecDos.dll
%TEMP%\Cab7.tmp
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%PROGRAM_FILES%\HQ-Quality-v1.1\59564.crx
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\HQ-Quality-v1.1\Uninstall.exe
%TEMP%\nsr5.tmp
%TEMP%\nsy3.tmp\StdUtils.dll
%TEMP%\nsc6.tmp\StdUtils.dll
%TEMP%\nsc6.tmp\InstallerUtils.dll
%TEMP%\nsc6.tmp\System.dll
%TEMP%\nsy3.tmp\System.dll
%TEMP%\nst2.tmp
%TEMP%\nsy3.tmp\Estomyajq.tmp
%TEMP%\nsy3.tmp\Iihcrgby.exe
%TEMP%\nsy3.tmp\WrapperUtils.dll
%TEMP%\nsc6.tmp\update.json
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%PROGRAM_FILES%\HQ-Quality-v1.1\utils.exe
%TEMP%\nsc6.tmp\134293
%TEMP%\nsc6.tmp\439828
%TEMP%\nsc6.tmp\nsisos.dll
%TEMP%\nsc6.tmp\InstallerUtils2.dll
%TEMP%\nsc6.tmp\md5dll.dll
%TEMP%\nsc6.tmp\inetc.dll
%TEMP%\nsc6.tmp\UserInfo.dll

Удаляет следующие файлы:

%TEMP%\Cab7.tmp
%TEMP%\nsc6.tmp\134293

Сетевая активность:

Подключается к:

'lo##.#emogensrv.com':80
'www.download.windowsupdate.com':80
'cr#.#hawte.com':80
'up####.demogensrv.com':80
'er####.demogensrv.com':80
'st###.#emogensrv.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
cr#.#hawte.com/ThawteTimestampingCA.crl
up####.demogensrv.com/installer_updates/001703/update.json
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: