Trojan.MulDrop33.39708

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googlesystem\googleupdater\googleupdatertasksystem143.0.7482.0{06e38822-dcaa-4a07-90f2-b626c4c487f6}

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterInternalService143.0.7482.0] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterInternalService143.0.7482.0] 'ImagePath' = '"%ProgramFiles(x86)%\Google\GoogleUpdater\143.0.7482.0\updater.exe" --system --windows-service -...
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterService143.0.7482.0] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterService143.0.7482.0] 'ImagePath' = '"%ProgramFiles(x86)%\Google\GoogleUpdater\143.0.7482.0\updater.exe" --system --windows-service --service...

Создает следующие сервисы

'GoogleUpdaterInternalService143.0.7482.0' %ProgramFiles(x86)%\Google\GoogleUpdaterc.0.7482.0�pdater.exe" --system --windows-service --service=update-interna
'GoogleUpdaterService143.0.7482.0' %ProgramFiles(x86)%\Google\GoogleUpdaterc.0.7482.0�pdater.exe" --system --windows-service --service=updat

Изменения в файловой системе

Создает следующие файлы

%TEMP%\trojan_loader_debug.log
%TEMP%\app_98168214\target.exe
%TEMP%\app_98168214\agent.exe
nul
%ProgramFiles(x86)%\google\googleupdater\updater.log
%TEMP%\google2792_1520859916\updater.packed.7z
%TEMP%\google2792_1076612828\updater.7z
%TEMP%\google2792_1076612828\bin\uninstall.cmd
%TEMP%\google2792_1076612828\bin\updater.exe
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\crashpad\settings.dat
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\uninstall.cmd
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe
%ProgramFiles(x86)%\google\googleupdater\a9d35855-81bd-4fa0-b21e-7924fbfd2c4d.tmp
%ProgramFiles(x86)%\google\update\googleupdate.exe
%ProgramFiles(x86)%\google\googleupdater\507fcab8-de29-4b0a-95c8-80f1ee494da4.tmp
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\c83223e1-b67a-456b-9f8b-aba379c4dfa3.tmp
%ProgramFiles(x86)%\google\googleupdater\9b2dbfab-42cd-448e-afb3-fe0b128ddcba.tmp
%ProgramFiles(x86)%\google\googleupdater\crx_cache\b76b398a-3547-4ac9-b535-4392d7a96b91.tmp
%ProgramFiles(x86)%\google\googleupdater\ad9140dd-2485-42af-a48b-2351f37e4921.tmp
%ProgramFiles(x86)%\google\googleupdater\f2dfd254-8a89-4d91-9cae-6075a50f29cf.tmp

Удаляет файлы, которые сам же создал

Перемещает следующие файлы

%ProgramFiles(x86)%\google\googleupdater\a9d35855-81bd-4fa0-b21e-7924fbfd2c4d.tmp в %ProgramFiles(x86)%\google\googleupdater\prefs.json
%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\c83223e1-b67a-456b-9f8b-aba379c4dfa3.tmp в %ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\prefs.json
%ProgramFiles(x86)%\google\googleupdater\crx_cache\b76b398a-3547-4ac9-b535-4392d7a96b91.tmp в %ProgramFiles(x86)%\google\googleupdater\crx_cache\metadata.json

Сетевая активность

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\app_98168214\target.exe'
'%TEMP%\app_98168214\agent.exe' -server http://19#.#68.1.40:8000
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --system --windows-service --service=update-internal
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --crash-handler --system "--database=%ProgramFiles(x86)%\Google\GoogleUpdater\143.0.7482.0\Crashpad" --url=https://clients2.google.com/cr/report --annotation=prod=Update4 --annotation=ver=143.0...
'%ProgramFiles(x86)%\google\googleupdater\143.0.7482.0\updater.exe' --system --windows-service --service=update