Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\google update
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im AppsUpd4ter.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\updinstaller.exe
- %TEMP%\nsrd70e.tmp\nsexec.dll
- %TEMP%\nsrd70e.tmp\system.dll
- %TEMP%\nsrd70e.tmp\nsurl.dll
- %ProgramFiles(x86)%\softwareupdater\config.xml
- %ProgramFiles(x86)%\softwareupdater\appsupd4ter.exe.config
- %ProgramFiles(x86)%\softwareupdater\interop.shell32.dll
- %ProgramFiles(x86)%\softwareupdater\translations.xml
- %TEMP%\update.zip
- %TEMP%\nsrd70e.tmp\nsisunz.dll
- %ProgramFiles(x86)%\softwareupdater\appsupd4ter.exe
- %ProgramFiles(x86)%\softwareupdater\upd4tersrv.exe
- %TEMP%\upr.zip
- %WINDIR%\upr.exe
- %TEMP%\vcredist2012.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://up#.#pd4ter.com/update/version
- http://cd##.upsa1a.com/tgtudp.exe
- http://cd##.upsa1a.com/tdtjpd.exe
- http://up#.#pd4ter.com/software_stats/?ac########################################################################################################################################################...
- http://up#.#pd4ter.com/installer_stats/?ac#######################################################################################################################################################...
- http://up#.#pd4ter.com/update/update.zip
- http://up#.#pd4ter.com/update/upr.zip
- http://download.microsoft.com/download/1/6/B/16B06F60-3B20-4FF2-B699-5E9B7962F9AE/VSU_4/vcredist_x86.exe
UDP
- DNS ASK up#.#pd4ter.com
- DNS ASK cd##.upsa1a.com
- DNS ASK download.microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\updinstaller.exe' /partner=UPDATER /prot=1
- '%TEMP%\updinstaller.exe' /partner=UPDATER /prot=1' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' /namespace:\\root\cimv2 PATH Win32_BIOS Get Version, SerialNumber /FORMAT:textvaluelist.xsl' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' /namespace:\\root\cimv2 PATH Win32_ComputerSystem Get Model, Manufacturer /FORMAT:textvaluelist.xsl' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop SrvUpdater' (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete SrvUpdater' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im AppsUpd4ter.exe' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Delete /tn "Google Update" /F' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' /namespace:\\root\SecurityCenter2 PATH AntiVirusProduct Get displayName /FORMAT:textvaluelist.xsl' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC ONSTART /DELAY 0030:00 /TR "%WINDIR%\upr.exe" /tn "Google Update" /rl HIGHEST' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wbem\wmic.exe' /namespace:\\root\cimv2 PATH Win32_BIOS Get Version, SerialNumber /FORMAT:textvaluelist.xsl
- '%WINDIR%\syswow64\wbem\wmic.exe' /namespace:\\root\cimv2 PATH Win32_ComputerSystem Get Model, Manufacturer /FORMAT:textvaluelist.xsl
- '%WINDIR%\syswow64\sc.exe' stop SrvUpdater
- '%WINDIR%\syswow64\sc.exe' delete SrvUpdater
- '%WINDIR%\syswow64\schtasks.exe' /Delete /tn "Google Update" /F
- '%WINDIR%\syswow64\wbem\wmic.exe' /namespace:\\root\SecurityCenter2 PATH AntiVirusProduct Get displayName /FORMAT:textvaluelist.xsl
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC ONSTART /DELAY 0030:00 /TR "%WINDIR%\upr.exe" /tn "Google Update" /rl HIGHEST
