Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Active Setup\Installed Components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}] 'StubPath' = '<Полный путь к файлу>'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM GoogleUpdate.exe
Изменения в файловой системе:
Создает следующие файлы:
- %HOMEPATH%\Appdata\Google\Updater\0528134113\setting.inf
- %HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy\GPT.INI
- %HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy\Machine\Registry.pol
- %HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy\User\Registry.pol
- <SYSTEM32>\GroupPolicy\GPT.INI
- <SYSTEM32>\GroupPolicy\Machine\Registry.pol
- <SYSTEM32>\GroupPolicy\User\Registry.pol
- %WINDIR%\SysWow64\GroupPolicy\GPT.INI
- %WINDIR%\SysWow64\GroupPolicy\Machine\Registry.pol
- %WINDIR%\SysWow64\GroupPolicy\User\Registry.pol
- %HOMEPATH%\ntuser.pol
- %ALLUSERSPROFILE%\ntuser.pol
Удаляет следующие файлы:
- %HOMEPATH%\Appdata\Google\Updater\0528134113\setting.inf
Сетевая активность:
Подключается к:
- 'se######.#ustomers.unix-host.net':80
TCP:
Запросы HTTP POST:
- http://se######.#ustomers.unix-host.net/poster.php
UDP:
- DNS ASK se######.#ustomers.unix-host.net
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'Chrome_WidgetWin_1' WindowName: ''
Запускает на исполнение:
- '<SYSTEM32>\schtasks.exe' /delete /f /tn "GoogleUpdateTaskMachineCore"
- '<SYSTEM32>\xcopy.exe' "%HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy" <SYSTEM32>\GroupPolicy /E /I /R /Y /H
- '<SYSTEM32>\cmd.exe' /c xcopy "%HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy" %WINDIR%\SysWow64\GroupPolicy /E /I /R /Y /H
- '<SYSTEM32>\cmd.exe' /c xcopy "%HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy" <SYSTEM32>\GroupPolicy /E /I /R /Y /H
- '<SYSTEM32>\cacls.exe' takeown /F %WINDIR%\SysWow64\GroupPolicy
- '<SYSTEM32>\cacls.exe' %WINDIR%\SysWow64\GroupPolicy /t /e /g %USERNAME%:f
- '<SYSTEM32>\cacls.exe' takeown /F <SYSTEM32>\GroupPolicy
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\GroupPolicy /t /e /g %USERNAME%:f
- '<SYSTEM32>\cmd.exe' /c takeown /F %WINDIR%\SysWow64\GroupPolicy
- '<SYSTEM32>\cmd.exe' /c cacls %WINDIR%\SysWow64\GroupPolicy /t /e /g %USERNAME%:f
- '<SYSTEM32>\cmd.exe' /c takeown /F <SYSTEM32>\GroupPolicy
- '<SYSTEM32>\cmd.exe' /c cacls <SYSTEM32>\GroupPolicy /t /e /g %USERNAME%:f
- '<SYSTEM32>\cmd.exe' /c icacls "<LS_APPDATA>\Google\Chrome\User Data\Default\Extensions\ejgmabanlnkenmmaoicldnedjejmdkmo" /grant %USERNAME%:(CI)(OI)(WD,AD,DE) /grant %USERNAME%:(CI)(OI)(RX)
- '<SYSTEM32>\findstr.exe' Google
- '<SYSTEM32>\schtasks.exe' /query
- '<SYSTEM32>\cmd.exe' /c schtasks /query | findstr Google
- '<SYSTEM32>\cmd.exe' /c icacls "<LS_APPDATA>\Google\\Chrome\User Data\Crashpad" /deny %USERNAME%:(CI)(OI)WRX
- '<SYSTEM32>\cmd.exe' /c icacls "<LS_APPDATA>\Google\\CrashReports" /deny %USERNAME%:(CI)(OI)WRX
- '<SYSTEM32>\cmd.exe' /c for /f %x in ('schtasks /query ^| findstr Google') do schtasks /delete /tn %x /f
- '<SYSTEM32>\schtasks.exe' /delete /f /tn "GoogleUpdateTaskMachineUA"
- '<SYSTEM32>\xcopy.exe' "%HOMEPATH%\Appdata\Google\Updater\0528134113\GroupPolicy" %WINDIR%\SysWow64\GroupPolicy /E /I /R /Y /H
- '<SYSTEM32>\gpupdate.exe' /force
