Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\gusvc] 'ImagePath' = '"%ProgramFiles%\Google\Common\Google Updater\GoogleUpdaterService.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- '%ProgramFiles%\Google\Common\Google Updater\GoogleUpdaterService.exe' /Service
- '%ProgramFiles%\Google\Google Toolbar\Component\SearchWithGoogleUpdate_6805C127AD7DF030.exe' ietb GGLL
- '%ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbarManager_6447DDAF760F41DD.exe' /install /sid:S-1-5-21-2052111302-484763869-725345543-1003 /e:asknot /expon:HTOL /l:en /d:asknot /h:asknot /r:GGLL /installwindow:262198
- '%ProgramFiles%\Google\Google Toolbar\Component\GoogleUpdaterService_5898FABCFA121C11.exe' /install /appid=tbie
Запускает на исполнение:
- '<SYSTEM32>\msiexec.exe' /V
Изменения в файловой системе:
Создает следующие файлы:
- %ProgramFiles%\Google\Google Toolbar\GoogleToolbarHelperPatch_signed.msp
- %WINDIR%\Installer\24452.msi
- %WINDIR%\Installer\24454.ipi
- %ProgramFiles%\Google\Google Toolbar\GoogleToolbar_32.dll
- %ProgramFiles%\Google\Google Toolbar\GoogleToolbarUser_32.exe
- %ProgramFiles%\Google\Google Toolbar\GoogleToolbarHelper_signed.msi
- %WINDIR%\Installer\24456.msi
- %TEMP%\~DF383C.tmp
- %ProgramFiles%\Google\Common\Google Updater\GoogleUpdaterService.exe
- %TEMP%\~DF20D1.tmp
- %WINDIR%\Installer\MSI4.tmp
- C:\Config.Msi\24455.rbs
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbarDynamic_32_EF2274E9A49AB598.dll
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbarManager_6447DDAF760F41DD.exe
- %TEMP%\GoogleToolbarInstaller2.log
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbar.6.5.621.1538.manifest.xml
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbar_32_7FDCDD5F6812E480.dll
- %ProgramFiles%\Google\Google Toolbar\Component\cmp2.tmp
- %ProgramFiles%\Google\Google Toolbar\Component\cmp3.tmp
- %TEMP%\GoogleToolbarInstaller1.log
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleToolbarUser_32_F03D4F8602D7A00B.exe
- %ProgramFiles%\Google\Google Toolbar\Component\GoogleUpdaterService_5898FABCFA121C11.exe
- %ProgramFiles%\Google\Google Toolbar\Component\SearchWithGoogleUpdate_6805C127AD7DF030.exe
Удаляет следующие файлы:
- C:\Config.Msi\24455.rbs
- %WINDIR%\Installer\24452.msi
- %WINDIR%\Installer\24454.ipi
- %WINDIR%\Installer\MSI4.tmp
- %ProgramFiles%\Google\Google Toolbar\Component\cmp2.tmp
- %ProgramFiles%\Google\Google Toolbar\Component\cmp3.tmp
- %TEMP%\Google Toolbar\gt1.tmp
Сетевая активность:
Подключается к:
- 'crl.verisign.com':80
- 'csc3-2009-2-crl.verisign.com':80
- 'wp#d':80
- 'localhost':1038
- '74.##5.232.51':80
TCP:
Запросы HTTP GET:
- http://csc3-2009-2-crl.verisign.com/CSC3-2009-2.crl
- http://crl.verisign.com/pca3.crl
- http://crl.verisign.com/tss-ca.crl
- http://crl.verisign.com/ThawteTimestampingCA.crl
- http://11#.#11.111.1/wpad.dat via wp#d
- http://cache.pack.google.com/edgedl/toolbar/components/GoogleUpdateSetup_08959B9F76147231.exe via 74.##5.232.51
- http://cache.pack.google.com/edgedl/toolbar/components/GoogleUpdateSetup_08959B9F76147231.exe.lz via 74.##5.232.51
- http://cache.pack.google.com/edgedl/toolbar/components/GoogleUpdateSetup_08959B9F76147231.exe?zx###### via 74.##5.232.51
- http://cache.pack.google.com/edgedl/toolbar/components/GoogleUpdateSetup_08959B9F76147231.exe.lz?zx###### via 74.##5.232.51
UDP:
- DNS ASK crl.verisign.com
- DNS ASK csc3-2009-2-crl.verisign.com
- DNS ASK cache.pack.google.com
- DNS ASK wp#d
