Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Spokn Update' = '"<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe" /c'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\SpoknUpdateTaskUserS-1-5-21-2052111302-484763869-725345543-1003UA.job
- %WINDIR%\Tasks\SpoknUpdateTaskUserS-1-5-21-2052111302-484763869-725345543-1003Core.job
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB2ZXJzaW9uPSIxLjMuNjcuMCIgaXNtYWNoaW5lPSIwIiBzZXNzaW9uaWQ9Ins3OEVDNjIzNi0yODU4LTQxRjUtQjkxRS0xNUY1QUJENzMwMjd9IiBpbnN0YWxsc291cmNlPSJ0YWdnZWRtaSIgdGVzdHNvdXJjZT0iYXV0byIgcmVxdWVzdGlkPSJ7ODRDODkzMDktOTYxMC00RUYxLTkzQTMtNEYzQjg0MjM0MUQ4fSI-PG9zIHBsYXRmb3JtPSJ3aW4iIHZlcnNpb249IjUuMSIgc3A9IlNlcnZpY2UgUGFjayAyIiBhcmNoPSJ4ODYiLz48YXBwIGFwcGlkPSJ7NjNGNEJGMTctNzhGQi00MjAwLUE1RjYtQ0U3QzAxRDYyODIzfSIgdmVyc2lvbj0iIiBuZXh0dmVyc2lvbj0iIiBsYW5nPSJlbiIgYnJhbmQ9IiIgY2xpZW50PSIiIGluc3RhbGxhZ2U9Ii0xIj48ZXZlbnQgZXZlbnR0eXBlPSIyIiBldmVudHJlc3VsdD0iMCIgZXJyb3Jjb2RlPSItMjE0NzAxMjg5MSIgZXh0cmFjb2RlMT0iMjY4NDM1NDU5Ii8-PC9hcHA-PC9yZXF1ZXN0Pg
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /report "<LS_APPDATA>\Spokn\CrashReports\63be8524-9e04-4c61-a588-fe7e4042b587.dmp"
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /report "<LS_APPDATA>\Spokn\CrashReports\0df2c6e7-2e83-49c6-8b8a-c0f4a28061fc.dmp"
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /report "<LS_APPDATA>\Spokn\CrashReports\0119e36a-2031-4aba-9ad7-f5632451186a.dmp"
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' -Embedding
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /regserver
- '%TEMP%\GUM1.tmp\GoogleUpdate.exe' /installsource taggedmi /install "appguid={63F4BF17-78FB-4200-A5F6-CE7C01D62823}&appname=Spokn&needsadmin=False&lang=en"
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /handoff "appguid={63F4BF17-78FB-4200-A5F6-CE7C01D62823}&appname=Spokn&needsadmin=False&lang=en" /installsource taggedmi /sessionid "{78EC6236-2858-41F5-B91E-15F5ABD73027}"
- '<LS_APPDATA>\Spokn\Update\GoogleUpdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB2ZXJzaW9uPSIxLjMuNjcuMCIgaXNtYWNoaW5lPSIwIiBzZXNzaW9uaWQ9Ins3OEVDNjIzNi0yODU4LTQxRjUtQjkxRS0xNUY1QUJENzMwMjd9IiBpbnN0YWxsc291cmNlPSJ0YWdnZWRtaSIgdGVzdHNvdXJjZT0iYXV0byIgcmVxdWVzdGlkPSJ7NjJCRTBBQUEtRDJDNy00NjkwLTlDQjUtMjUzN0E3RUYzRUNCfSI-PG9zIHBsYXRmb3JtPSJ3aW4iIHZlcnNpb249IjUuMSIgc3A9IlNlcnZpY2UgUGFjayAyIiBhcmNoPSJ4ODYiLz48YXBwIGFwcGlkPSJ7MUQ4QTJEQTgtMUY0Ri00Q0YyLTlENTItRTY0NzI2NEJDODhGfSIgdmVyc2lvbj0iIiBuZXh0dmVyc2lvbj0iMS4zLjY3LjAiIGxhbmc9ImVuIiBicmFuZD0iIiBjbGllbnQ9IiI-PGV2ZW50IGV2ZW50dHlwZT0iMiIgZXZlbnRyZXN1bHQ9IjEiIGVycm9yY29kZT0iMCIgZXh0cmFjb2RlMT0iMCIvPjwvYXBwPjwvcmVxdWVzdD4
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_hu.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_hr.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_is.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_id.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_fr.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_fil.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_hi.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_gu.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_lt.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ko.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ml.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_lv.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_iw.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_it.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_kn.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ja.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_fi.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ca.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_bn.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_da.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_cs.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_am.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\GoogleCrashHandler.exe
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_bg.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ar.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_es-419.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_es.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_fa.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_et.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_el.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_de.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_en-GB.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_en.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_mr.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\GoogleUpdateHelper.msi
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_zh-TW.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\psmachine.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\psuser.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ur.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_uk.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_zh-CN.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_vi.dll
- <LS_APPDATA>\Spokn\CrashReports\Update2-last.dmp
- <LS_APPDATA>\Spokn\CrashReports\63be8524-9e04-4c61-a588-fe7e4042b587.dmp
- <LS_APPDATA>\Spokn\CrashReports\0df2c6e7-2e83-49c6-8b8a-c0f4a28061fc.dmp
- <LS_APPDATA>\Spokn\CrashReports\0119e36a-2031-4aba-9ad7-f5632451186a.dmp
- <LS_APPDATA>\Spokn\Update\1.3.67.0\npGoogleUpdate3.dll
- <LS_APPDATA>\Spokn\Update\GoogleUpdate.exe
- <LS_APPDATA>\Spokn\Update\1.3.67.0\GoogleUpdateOnDemand.exe
- <LS_APPDATA>\Spokn\Update\1.3.67.0\GoogleUpdateBroker.exe
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_tr.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_pt-PT.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_pt-BR.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ru.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ro.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_nl.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ms.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_pl.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_no.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_ta.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_sw.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_th.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_te.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_sl.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_sk.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_sv.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdateres_sr.dll
- %TEMP%\GUM1.tmp\goopdateres_es-419.dll
- %TEMP%\GUM1.tmp\goopdateres_es.dll
- %TEMP%\GUM1.tmp\goopdateres_fa.dll
- %TEMP%\GUM1.tmp\goopdateres_et.dll
- %TEMP%\GUM1.tmp\goopdateres_el.dll
- %TEMP%\GUM1.tmp\goopdateres_de.dll
- %TEMP%\GUM1.tmp\goopdateres_en-GB.dll
- %TEMP%\GUM1.tmp\goopdateres_en.dll
- %TEMP%\GUM1.tmp\goopdateres_hr.dll
- %TEMP%\GUM1.tmp\goopdateres_hi.dll
- %TEMP%\GUM1.tmp\goopdateres_id.dll
- %TEMP%\GUM1.tmp\goopdateres_hu.dll
- %TEMP%\GUM1.tmp\goopdateres_fil.dll
- %TEMP%\GUM1.tmp\goopdateres_fi.dll
- %TEMP%\GUM1.tmp\goopdateres_gu.dll
- %TEMP%\GUM1.tmp\goopdateres_fr.dll
- %TEMP%\GUM1.tmp\goopdateres_da.dll
- %TEMP%\GUM1.tmp\GoogleUpdateHelper.msi
- %TEMP%\GUM1.tmp\npGoogleUpdate3.dll
- %TEMP%\GUM1.tmp\GoogleUpdateOnDemand.exe
- %TEMP%\GUM1.tmp\GoogleUpdateBroker.exe
- %TEMP%\GUM1.tmp\GoogleUpdate.exe
- %TEMP%\GUT2.tmp
- %TEMP%\GUM1.tmp\goopdate.dll
- %TEMP%\GUM1.tmp\GoogleCrashHandler.exe
- %TEMP%\GUM1.tmp\goopdateres_bn.dll
- %TEMP%\GUM1.tmp\goopdateres_bg.dll
- %TEMP%\GUM1.tmp\goopdateres_cs.dll
- %TEMP%\GUM1.tmp\goopdateres_ca.dll
- %TEMP%\GUM1.tmp\psuser.dll
- %TEMP%\GUM1.tmp\psmachine.dll
- %TEMP%\GUM1.tmp\goopdateres_ar.dll
- %TEMP%\GUM1.tmp\goopdateres_am.dll
- %TEMP%\GUM1.tmp\goopdateres_is.dll
- %TEMP%\GUM1.tmp\goopdateres_ta.dll
- %TEMP%\GUM1.tmp\goopdateres_sw.dll
- %TEMP%\GUM1.tmp\goopdateres_th.dll
- %TEMP%\GUM1.tmp\goopdateres_te.dll
- %TEMP%\GUM1.tmp\goopdateres_sl.dll
- %TEMP%\GUM1.tmp\goopdateres_sk.dll
- %TEMP%\GUM1.tmp\goopdateres_sv.dll
- %TEMP%\GUM1.tmp\goopdateres_sr.dll
- %TEMP%\GUM1.tmp\goopdateres_zh-TW.dll
- %TEMP%\GUM1.tmp\goopdateres_zh-CN.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\goopdate.dll
- <LS_APPDATA>\Spokn\Update\1.3.67.0\GoogleUpdate.exe
- %TEMP%\GUM1.tmp\goopdateres_uk.dll
- %TEMP%\GUM1.tmp\goopdateres_tr.dll
- %TEMP%\GUM1.tmp\goopdateres_vi.dll
- %TEMP%\GUM1.tmp\goopdateres_ur.dll
- %TEMP%\GUM1.tmp\goopdateres_ru.dll
- %TEMP%\GUM1.tmp\goopdateres_lt.dll
- %TEMP%\GUM1.tmp\goopdateres_ko.dll
- %TEMP%\GUM1.tmp\goopdateres_ml.dll
- %TEMP%\GUM1.tmp\goopdateres_lv.dll
- %TEMP%\GUM1.tmp\goopdateres_iw.dll
- %TEMP%\GUM1.tmp\goopdateres_it.dll
- %TEMP%\GUM1.tmp\goopdateres_kn.dll
- %TEMP%\GUM1.tmp\goopdateres_ja.dll
- %TEMP%\GUM1.tmp\goopdateres_pt-BR.dll
- %TEMP%\GUM1.tmp\goopdateres_pl.dll
- %TEMP%\GUM1.tmp\goopdateres_ro.dll
- %TEMP%\GUM1.tmp\goopdateres_pt-PT.dll
- %TEMP%\GUM1.tmp\goopdateres_ms.dll
- %TEMP%\GUM1.tmp\goopdateres_mr.dll
- %TEMP%\GUM1.tmp\goopdateres_no.dll
- %TEMP%\GUM1.tmp\goopdateres_nl.dll
Удаляет следующие файлы:
- <LS_APPDATA>\Spokn\CrashReports\0df2c6e7-2e83-49c6-8b8a-c0f4a28061fc.dmp
- <LS_APPDATA>\Spokn\CrashReports\0119e36a-2031-4aba-9ad7-f5632451186a.dmp
- <LS_APPDATA>\Spokn\CrashReports\63be8524-9e04-4c61-a588-fe7e4042b587.dmp
Сетевая активность:
Подключается к:
- '74.##5.232.51':443
UDP:
- DNS ASK do##.google.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
