Trojan.Siggen32.54682

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\googlesystem\googleupdater\googleupdatertasksystem149.0.7814.0{d341c5ee-47ea-4543-85f9-53edc841b7fc}

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterInternalService149.0.7814.0] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterInternalService149.0.7814.0] 'ImagePath' = '"%ProgramFiles(x86)%\Google\GoogleUpdater\149.0.7814.0\updater.exe" --system --windows-service -...
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterService149.0.7814.0] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\GoogleUpdaterService149.0.7814.0] 'ImagePath' = '"%ProgramFiles(x86)%\Google\GoogleUpdater\149.0.7814.0\updater.exe" --system --windows-service --service...

Создает следующие сервисы

'GoogleUpdaterInternalService149.0.7814.0' %ProgramFiles(x86)%\Google\GoogleUpdater9.0.7814.0�pdater.exe" --system --windows-service --service=update-interna
'GoogleUpdaterService149.0.7814.0' %ProgramFiles(x86)%\Google\GoogleUpdater9.0.7814.0�pdater.exe" --system --windows-service --service=updat

Изменения в файловой системе

Создает следующие файлы

%TEMP%\a5c3fdda3e73647e.exe
%TEMP%\sbx_000f144a.tmp
%ProgramFiles(x86)%\google\googleupdater\updater.log
%TEMP%\google2824_1881286056\updater.packed.7z
%TEMP%\google2824_1344077583\updater.7z
%TEMP%\google2824_1344077583\bin\uninstall.cmd
%TEMP%\google2824_1344077583\bin\updater.exe
%ProgramFiles(x86)%\google\googleupdater\updater_history.jsonl
%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\crashpad\settings.dat
%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\uninstall.cmd
%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\updater.exe
%ProgramFiles(x86)%\google\googleupdater\6e499c26-e1ca-4211-a618-ed265d938802.tmp
%ProgramFiles(x86)%\google\update\googleupdate.exe
%ProgramFiles(x86)%\google\googleupdater\97afa043-5817-4218-b9b5-efb44889b633.tmp
%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\123f45d4-38ff-4012-ac51-ade79fcf6c54.tmp
%ProgramFiles(x86)%\googleupdater_chrome_url_fetcher_1356_714592743\a93813d5a8d94bb21ecee1002efece2defea7b9a86498584f8017352efcaf104
%ProgramFiles(x86)%\google\googleupdater\dddc2e4f-2882-4efe-a3bf-04cf65d7a81c.tmp
%ProgramFiles(x86)%\google\googleupdater\crx_cache\a6dd24cb-c10f-4e3b-853b-62e046c7afee.tmp
%ProgramFiles(x86)%\googleupdater_chrome_url_fetcher_1356_714592743\decoded_xz

Удаляет файлы, которые сам же создал

Перемещает следующие файлы

%ProgramFiles(x86)%\google\googleupdater\6e499c26-e1ca-4211-a618-ed265d938802.tmp в %ProgramFiles(x86)%\google\googleupdater\prefs.json
%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\123f45d4-38ff-4012-ac51-ade79fcf6c54.tmp в %ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\prefs.json
%ProgramFiles(x86)%\google\googleupdater\crx_cache\a6dd24cb-c10f-4e3b-853b-62e046c7afee.tmp в %ProgramFiles(x86)%\google\googleupdater\crx_cache\metadata.json

Сетевая активность

Подключается к

TCP

Запросы HTTP GET

http://ed####.me.gvt1.com/edgedl/diffgen-puffin/%7B8a69d345-d564-463c-aff1-a69d9e530f96%7D/a93813d5a8d94bb21ecee1002efece2defea7b9a86498584f8017352efcaf104
http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?15##############

Другие

UDP

Другое

Создает и запускает на исполнение

'%TEMP%\a5c3fdda3e73647e.exe'
'%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\updater.exe' --system --windows-service --service=update-internal
'%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\updater.exe' --crash-handler --system "--database=%ProgramFiles(x86)%\Google\GoogleUpdater\149.0.7814.0\Crashpad" --url=https://clients2.google.com/cr/report --annotation=prod=Update4 --annotation=ver=149.0...
'%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\updater.exe' --system --windows-service --service=update
'%ProgramFiles(x86)%\google\googleupdater\149.0.7814.0\updater.exe' --unzip-worker --system --mojo-platform-channel-handle=1392