Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'PulseBrowserUpdaterTaskUser133.0.6943.175' = '"%LOCALAPPDATA%\PulseSoftware\PulseBrowserUpdater\133.0.6943.175\updater.exe" --wake'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\pulsesoftware\pulsebrowserupdater\pulsebrowserupdatertaskuser133.0.6943.175{393f9261-52cb-46d5-8c2c-3f88a30b8850}
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\pulsesoftware3732_839725061\updater.packed.7z
- %TEMP%\pulsesoftware3732_1885990862\updater.7z
- %TEMP%\pulsesoftware3732_1885990862\bin\uninstall.cmd
- %TEMP%\pulsesoftware3732_1885990862\bin\updater.exe
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\uninstall.cmd
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\updater.exe
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\88b71fc1-2b7a-40cc-8e97-db4f15e8d616.tmp
- %LOCALAPPDATA%\pulsesoftware\update\pulse browserupdate.exe
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\8888181d-b2aa-49a8-8b44-ddcfed7b1b12.tmp
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\d3c21354-6a7b-4763-8938-63d3b5b7c3a1.tmp
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\6bbcda72-2bad-4f09-bb33-721aed2d8051.tmp
- %TEMP%\chrome_url_fetcher_4388_1421420730\pulsebrowser_installer_144.0.7559.67.crx3
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\aff148fe-b2a5-4e60-9ec5-668a1f093525.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\pulsesoftware3732_1885990862\updater.7z
- %TEMP%\pulsesoftware3732_1885990862\bin\uninstall.cmd
- %TEMP%\pulsesoftware3732_1885990862\bin\updater.exe
- %TEMP%\chrome_url_fetcher_4388_1421420730\pulsebrowser_installer_144.0.7559.67.crx3
Перемещает следующие файлы
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\88b71fc1-2b7a-40cc-8e97-db4f15e8d616.tmp в %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\prefs.json
- %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\d3c21354-6a7b-4763-8938-63d3b5b7c3a1.tmp в %LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\prefs.json
Сетевая активность
Подключается к
- 'pu####update.com':443
- 'cd#.###sesupdate.com':443
- '23.##5.2.132':80
- 'oc##.###tg2.amazontrust.com':80
- 'oc##.####ca1.amazontrust.com':80
- 'oc##.###04.amazontrust.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?8d##############
- http://oc##.####ca1.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPWaOUU8%2B5VZ5%2Fa9jFTaU9pkK3FAQUhBjMhTTsvAyUlC4IWZzHshBOCggCEwdzEk8qlS4%2B0YpYvbhdG8DOXyc%3D
- http://oc##.###04.amazontrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTihuFvpmFDw5hOcIp918Jm5B3CQgQUH1KSYVaCVH%2BBZtgdPQqqMlyH3QgCEAgeEXSzMVLGzHOFpBzQfrM%3D
Другие
- 'pu####update.com':443
- 'cd#.###sesupdate.com':443
- 'fi###.#ulsesupdate.com':443
UDP
- DNS ASK pu####update.com
- DNS ASK cd#.###sesupdate.com
- DNS ASK oc##.###tg2.amazontrust.com
- DNS ASK fi###.#ulsesupdate.com
- DNS ASK oc##.####ca1.amazontrust.com
- DNS ASK oc##.###04.amazontrust.com
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\updater.exe' --server --service=update-internal -Embedding
- '%LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\updater.exe' --crash-handler --database=%LOCALAPPDATA%\PulseSoftware\PulseBrowserUpdater\133.0.6943.175\Crashpad --url=https://pulsebrowser.com/ --annotation=prod=PulseBrowserUpdater --annotation=ver=133.0....
- '%LOCALAPPDATA%\pulsesoftware\pulsebrowserupdater\133.0.6943.175\updater.exe' --server --service=update -Embedding
Перезапускает анализируемый образец
