Trojan.Siggen32.5746

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googlesystem\googleupdater\googleupdatertasksystem143.0.7482.0{8fe9784e-b384-4afd-bc94-eaca1f2f6060}

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterInternalService143.0.7482.0] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterInternalService143.0.7482.0] 'ImagePath' = '"%ProgramFiles(x86)%\Google\GoogleUpdater\143.0.7482.0\updater.exe" --system --windows-service -...
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterService143.0.7482.0] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterService143.0.7482.0] 'ImagePath' = '"%ProgramFiles(x86)%\Google\GoogleUpdater\143.0.7482.0\updater.exe" --system --windows-service --service...

Создает следующие сервисы

'GoogleUpdaterInternalService143.0.7482.0' %ProgramFiles(x86)%\Google\GoogleUpdaterc.0.7482.0�pdater.exe" --system --windows-service --service=update-interna
'GoogleUpdaterService143.0.7482.0' %ProgramFiles(x86)%\Google\GoogleUpdaterc.0.7482.0�pdater.exe" --system --windows-service --service=updat

Изменения в файловой системе

Создает следующие файлы

%TEMP%\trojan_loader_debug.log
%TEMP%\app_4213182239\target.exe
%TEMP%\app_4213182239\agent.exe
%TEMP%\agent_debug.log
nul
%ProgramFiles(x86)%\google\googleupdater\updater.log
%TEMP%\google3116_1018468538\updater.packed.7z
%TEMP%\google3116_655354229\updater.7z
%TEMP%\google3116_655354229\bin\uninstall.cmd
%TEMP%\google3116_655354229\bin\updater.exe
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\crashpad\settings.dat
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\uninstall.cmd
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe
%ProgramFiles(x86)%\google\googleupdater\301039ad-dbfa-4402-b133-774c0872dd71.tmp
%ProgramFiles(x86)%\google\update\googleupdate.exe
%ProgramFiles(x86)%\google\googleupdater\b0290118-e359-41f8-a095-4a87d677357c.tmp
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\c28b58d9-8175-411a-9711-259487772ee1.tmp
%ProgramFiles(x86)%\chrome_url_fetcher_5556_1685371904\c7ab18cddd6327a6c5930ed03c2598c5106887a8ac35ff1d9c7b33726d09d83b
%ProgramFiles(x86)%\google\googleupdater\7a530e41-7328-426e-b7f1-cb9c635ddf13.tmp
%ProgramFiles(x86)%\google\googleupdater\crx_cache\8a97e679-072f-44d9-a962-679859b4b051.tmp
%ProgramFiles(x86)%\chrome_url_fetcher_5556_1685371904\decoded_xz

Удаляет файлы, которые сам же создал

%TEMP%\google3116_655354229\updater.7z
%TEMP%\google3116_655354229\bin\uninstall.cmd
%TEMP%\google3116_655354229\bin\updater.exe
%ProgramFiles(x86)%\chrome_url_fetcher_5556_1685371904\c7ab18cddd6327a6c5930ed03c2598c5106887a8ac35ff1d9c7b33726d09d83b

Перемещает следующие файлы

%ProgramFiles(x86)%\google\googleupdater\301039ad-dbfa-4402-b133-774c0872dd71.tmp в %ProgramFiles(x86)%\google\googleupdater\prefs.json
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\c28b58d9-8175-411a-9711-259487772ee1.tmp в %ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\prefs.json
%ProgramFiles(x86)%\google\googleupdater\crx_cache\8a97e679-072f-44d9-a962-679859b4b051.tmp в %ProgramFiles(x86)%\google\googleupdater\crx_cache\metadata.json
%ProgramFiles(x86)%\chrome_url_fetcher_5556_1685371904\decoded_xz в %ProgramFiles(x86)%\google\googleupdater\crx_cache\13d2d00e7c31db83dd552c8f8b3e4fbaccb2ea711a41057d8dde4bc691a53b46

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://ed####.me.gvt1.com/edgedl/diffgen-puffin/%7B8a69d345-d564-463c-aff1-a69d9e530f96%7D/c7ab18cddd6327a6c5930ed03c2598c5106887a8ac35ff1d9c7b33726d09d83b
http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?de##############

Другие

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\app_4213182239\target.exe'
'%TEMP%\app_4213182239\agent.exe' -server http://19#.#68.1.40:8000
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --system --windows-service --service=update-internal
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --crash-handler --system "--database=%ProgramFiles(x86)%\Google\GoogleUpdater\143.0.7482.0\Crashpad" --url=https://clients2.google.com/cr/report --annotation=prod=Update4 --annotation=ver=143.0...
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --system --windows-service --service=update
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --unzip-worker --system --mojo-platform-channel-handle=1884