Trojan.Crossrider.26687

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-4.job
%WINDIR%\Tasks\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-11.job
%WINDIR%\Tasks\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-3.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\SmartSaver+ 10\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-11.exe' /YmAcmROBA=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
'%TEMP%\comh.385158\GoogleUpdate.exe' /silent /install "appguid={daafd69e-8173-407a-b00b-d6fe98181827}&appname=99ccb747-67b7-47eb-96b6-40c4cefeb251&needsadmin=True&lang=en"
'%TEMP%\nso3.tmp\Nbsnhnay.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

opera.exe
firefox.exe
iexplore.exe

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\SmartSaver+ 10\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-3.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\SmartSaver+ 10\1293297481.mxaddon
%TEMP%\Cab7.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\comh.385158\psuser.dll
%TEMP%\comh.385158\psmachine.dll
%TEMP%\comh.385158\npGoogleUpdate4.dll
%PROGRAM_FILES%\SmartSaver+ 10\48918.crx
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%PROGRAM_FILES%\SmartSaver+ 10\360-48918.crx
%PROGRAM_FILES%\SmartSaver+ 10\48918.xpi
%TEMP%\Cab9.tmp
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdateres_en.dll
%TEMP%\CabB.tmp
%PROGRAM_FILES%\SmartSaver+ 10\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-4.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\8BD11C4A2318EC8E5A82462092971DEA
%PROGRAM_FILES%\SmartSaver+ 10\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c.crx
%APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8BD11C4A2318EC8E5A82462092971DEA
%TEMP%\nsn6.tmp\ExecDos.dll
%PROGRAM_FILES%\SmartSaver+ 10\261fb8b9-5924-4f8f-b76f-ec1a0108fd1c-11.exe
%TEMP%\comh.385158\goopdateres_en.dll
%TEMP%\nsn6.tmp\InstallerUtils.dll
%TEMP%\nsn6.tmp\System.dll
%TEMP%\nsn6.tmp\StdUtils.dll
%TEMP%\nsn6.tmp\md5dll.dll
%TEMP%\nsn6.tmp\nsisos.dll
%TEMP%\nsn6.tmp\InstallerUtils2.dll
%TEMP%\nsx5.tmp
%TEMP%\nso3.tmp\Umljgklizg.tmp
%TEMP%\nso3.tmp\System.dll
%TEMP%\nsi2.tmp
%TEMP%\nso3.tmp\StdUtils.dll
%TEMP%\nso3.tmp\Nbsnhnay.exe
%TEMP%\nso3.tmp\WrapperUtils.dll
%TEMP%\nsn6.tmp\UserInfo.dll
%TEMP%\comh.385158\GoogleUpdateBroker.exe
%TEMP%\comh.385158\GoogleUpdate.exe
%TEMP%\comh.385158\GoogleCrashHandler.exe
%TEMP%\comh.385158\goopdate.dll
%TEMP%\comh.385158\GoogleUpdateOnDemand.exe
%TEMP%\comh.385158\GoogleUpdateHelper.msi
%PROGRAM_FILES%\SmartSaver+ 10\Uninstall.exe
%TEMP%\nsn6.tmp\update.json
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%TEMP%\nsn6.tmp\inetc.dll
%TEMP%\nsn6.tmp\484323
%TEMP%\nsn6.tmp\118005
%PROGRAM_FILES%\SmartSaver+ 10\utils.exe

Удаляет следующие файлы:

%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\nsn6.tmp\484323
%TEMP%\Cab7.tmp

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'cr#.#hawte.com':80
'ts####.ws.symantec.com':80
'lo##.#emogensrv.com':80
'up####.demogensrv.com':80
'er####.demogensrv.com':80
'st###.#emogensrv.com':80

TCP:

Запросы HTTP GET:

cr#.#hawte.com/ThawteTimestampingCA.crl
ts####.ws.symantec.com/tss-ca-g2.crl
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
up####.demogensrv.com/installer_updates/001220/update.json
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

UDP: