Adware.Boxore.5

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\e5658fe1-9b25-45a0-8a47-b0b779956f4a-3.job
%WINDIR%\Tasks\e5658fe1-9b25-45a0-8a47-b0b779956f4a-11.job
%WINDIR%\Tasks\globalUpdateUpdateTaskMachineCore.job
%WINDIR%\Tasks\globalUpdateUpdateTaskMachineUA.job

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\globalUpdate] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\globalUpdate] 'ImagePath' = '%ProgramFiles%\globalUpdate\Update\GoogleUpdate.exe /svc'
[<HKLM>\SYSTEM\ControlSet001\Services\globalUpdatem] 'ImagePath' = '%ProgramFiles%\globalUpdate\Update\GoogleUpdate.exe /medsvc'

Вредоносные функции:

Завершает или пытается завершить

следующие пользовательские процессы:

iexplore.exe
firefox.exe
opera.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\nsi2.tmp\System.dll
%ProgramFiles%\globalUpdate\Update\1.3.25.0\goopdate.dll
%ProgramFiles%\HD+v2.1\29e097b4-e931-4bdc-9be2-5da752b5d9b3.crx
%TEMP%\Cab6.tmp
%ProgramFiles%\HD+v2.1\e5658fe1-9b25-45a0-8a47-b0b779956f4a-3.exe
%ProgramFiles%\HD+v2.1\1293297481.mxaddon
%ProgramFiles%\HD+v2.1\71d565d5-5027-421e-9676-64dd6b0fd66f.crx
%ProgramFiles%\HD+v2.1\e5658fe1-9b25-45a0-8a47-b0b779956f4a.crx
%ProgramFiles%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
%TEMP%\Cab8.tmp
%TEMP%\CabA.tmp
%TEMP%\comh.200561\psuser.dll
%ProgramFiles%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%ProgramFiles%\globalUpdate\Update\1.3.25.0\goopdateres_en.dll
%ProgramFiles%\globalUpdate\Update\1.3.25.0\psmachine.dll
%ProgramFiles%\globalUpdate\Update\GoogleUpdate.exe
%ProgramFiles%\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll
%ProgramFiles%\globalUpdate\Update\1.3.25.0\GoogleUpdateBroker.exe
%ProgramFiles%\globalUpdate\Update\1.3.25.0\GoogleUpdateOnDemand.exe
%ProgramFiles%\HD+v2.1\e5658fe1-9b25-45a0-8a47-b0b779956f4a-11.exe
%TEMP%\nsb5.tmp\ExecDos.dll
%WINDIR%\Installer\40c70.msi
%WINDIR%\Installer\40c72.ipi
%WINDIR%\Installer\MSIC.tmp
%ProgramFiles%\globalUpdate\Update\1.3.25.0\GoogleUpdateHelper.msi
%ProgramFiles%\globalUpdate\Update\1.3.25.0\psuser.dll
%TEMP%\comh.200561\psmachine.dll
%TEMP%\comh.200561\npGoogleUpdate4.dll
%TEMP%\comh.200561\goopdateres_en.dll
%TEMP%\nsi2.tmp\WrapperUtils.dll
%TEMP%\nsi2.tmp\Trghxcb.exe
%TEMP%\nsi2.tmp\StdUtils.dll
%TEMP%\nsf4.tmp
%TEMP%\nsb5.tmp\StdUtils.dll
%TEMP%\nsb5.tmp\System.dll
%TEMP%\nsb5.tmp\InstallerUtils.dll
%TEMP%\nsb5.tmp\InstallerUtils2.dll
%TEMP%\nsb5.tmp\nsisos.dll
%TEMP%\nsb5.tmp\md5dll.dll
%TEMP%\nsb5.tmp\UserInfo.dll
%TEMP%\nsi2.tmp\Cufyfjkkxjsjz.tmp
%TEMP%\nsb5.tmp\inetc.dll
%TEMP%\nsb5.tmp\update.json
%ProgramFiles%\HD+v2.1\utils.exe
%TEMP%\nsb5.tmp\7742
%TEMP%\nsb5.tmp\202303
%ProgramFiles%\HD+v2.1\Uninstall.exe
%TEMP%\comh.200561\GoogleCrashHandler.exe
%TEMP%\comh.200561\GoogleUpdate.exe
%TEMP%\comh.200561\GoogleUpdateBroker.exe
%TEMP%\comh.200561\GoogleUpdateHelper.msi
%TEMP%\comh.200561\GoogleUpdateOnDemand.exe
%TEMP%\comh.200561\goopdate.dll
%HOMEPATH%\Local Settings\<INETFILES>\Content.IE5\KHMHGZ4F\update[1].json
C:\Config.Msi\40c73.rbs
%TEMP%\MSI4151a.LOG

Удаляет следующие файлы:

%TEMP%\nsb5.tmp\202303
%TEMP%\Cab6.tmp
%TEMP%\Cab8.tmp
%TEMP%\CabA.tmp
%WINDIR%\Installer\MSIC.tmp
C:\Config.Msi\40c73.rbs
%WINDIR%\Installer\40c70.msi
%WINDIR%\Installer\40c72.ipi

Подменяет следующие файлы:

%TEMP%\nsb5.tmp\202303

Сетевая активность:

Подключается к:

'up####.#nfostatsserv.com':80
'er####.#nfostatsserv.com':80
'st###.#nfostatsserv.com':80
'lo##.##fostatsserv.com':80
'download.windowsupdate.com':80
'cr#.#hawte.com':80
'ts####.ws.symantec.com':80

TCP:

Запросы HTTP GET:

http://up####.#nfostatsserv.com/installer_updates/001965/update.json
http://er####.#nfostatsserv.com/installer-error.gif?ac###########################################################################################################################################...
http://st###.#nfostatsserv.com/installer.gif?ac##################################################################################################################################################...
http://lo##.##fostatsserv.com/monetization.gif?ev################################################################################################################################################...
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
http://cr#.#hawte.com/ThawteTimestampingCA.crl
http://ts####.ws.symantec.com/tss-ca-g2.crl

UDP:

DNS ASK up####.#nfostatsserv.com
DNS ASK er####.#nfostatsserv.com
DNS ASK st###.#nfostatsserv.com
DNS ASK lo##.##fostatsserv.com
DNS ASK www.download.windowsupdate.com
DNS ASK cr#.#hawte.com
DNS ASK ts####.ws.symantec.com

Другое:

Создает и запускает на исполнение:

'%TEMP%\nsi2.tmp\Trghxcb.exe'
'%TEMP%\comh.200561\GoogleUpdate.exe' /silent /install "appguid={2cad79ff-c4fa-4058-b9b4-8182dd6a7212}&appname=379ddacf-7195-42cf-bc14-49b367d99ba2&needsadmin=True&lang=en"
'%ProgramFiles%\globalUpdate\Update\GoogleUpdate.exe' /regsvc
'%ProgramFiles%\HD+v2.1\e5658fe1-9b25-45a0-8a47-b0b779956f4a-11.exe' /qsyeLZ=uvwVgurtCKi1uPnyEfym01zhUNpccQdWxSpf73OPJVq8JxPwcjZgClVGhhArkivektGNhxXMVvBQACd/XVofTMWQZFrpYtZE515GMEP0Of9CgZS9+tkUzWcMDWFJSXj8+1a+fHa2epzApiWEmHJuOC24s/8RX7cPkcCVKIdJK3YQHXs4cycPx2IZY...
'%ProgramFiles%\globalUpdate\Update\GoogleUpdate.exe' /regserver

Запускает на исполнение: