Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\eefcf6fb-9218-4766-9496-25efde9dfcb8-4.job
- %WINDIR%\Tasks\fcef7c25-d527-415c-ae73-f32fa283cc8b.job
- %WINDIR%\Tasks\eefcf6fb-9218-4766-9496-25efde9dfcb8-3.job
- %WINDIR%\Tasks\eefcf6fb-9218-4766-9496-25efde9dfcb8-11.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\globalUpdate] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-11.exe' /MsHHOKbvr=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
- '%PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe' /regsvc
- '%TEMP%\nsw3.tmp\Wkaqcf.exe'
- '%TEMP%\comh.114265\GoogleUpdate.exe' /silent /install "appguid={89ad9142-09f5-4c41-9caa-5911004057b4}&appname=2bc7136a-521e-4c0d-8b8a-1449004088c7&needsadmin=True&lang=en"
Завершает или пытается завершить
следующие пользовательские процессы:
- opera.exe
- firefox.exe
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8.crx
- %PROGRAM_FILES%\HD-Quality-V1.3\fc150562-239d-47b0-856e-f967c40a1192.crx
- %PROGRAM_FILES%\HD-Quality-V1.3\1293297481.mxaddon
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\C3E814D1CB223AFCD58214D14C3B7EAB
- %TEMP%\nsx6.tmp\ExecDos.dll
- %PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-11.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\C3E814D1CB223AFCD58214D14C3B7EAB
- %TEMP%\Cab7.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %PROGRAM_FILES%\HD-Quality-V1.3\7078c249-dd0d-4977-b453-6060b237821b.crx
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-3.exe
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\8BD11C4A2318EC8E5A82462092971DEA
- %PROGRAM_FILES%\globalUpdate\Update\GoogleUpdate.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psmachine.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psuser.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\npGoogleUpdate4.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateOnDemand.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateBroker.exe
- %PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8-4.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdateHelper.msi
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
- %PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8_.xpi
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\8BD11C4A2318EC8E5A82462092971DEA
- %TEMP%\Cab9.tmp
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdateres_en.dll
- %TEMP%\CabB.tmp
- %PROGRAM_FILES%\HD-Quality-V1.3\eefcf6fb-9218-4766-9496-25efde9dfcb8.xpi
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
- %TEMP%\nsx6.tmp\InstallerUtils2.dll
- %TEMP%\nsx6.tmp\InstallerUtils.dll
- %TEMP%\nsx6.tmp\System.dll
- %TEMP%\nsx6.tmp\nsisos.dll
- %TEMP%\nsx6.tmp\inetc.dll
- %TEMP%\nsx6.tmp\UserInfo.dll
- %TEMP%\nsx6.tmp\md5dll.dll
- %TEMP%\nsx6.tmp\StdUtils.dll
- %TEMP%\nsw3.tmp\Xmbmwboprklb.tmp
- %TEMP%\nsw3.tmp\System.dll
- %TEMP%\nsh2.tmp
- %TEMP%\nsw3.tmp\WrapperUtils.dll
- %TEMP%\nsc5.tmp
- %TEMP%\nsw3.tmp\StdUtils.dll
- %TEMP%\nsw3.tmp\Wkaqcf.exe
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
- %TEMP%\comh.114265\goopdate.dll
- %TEMP%\comh.114265\GoogleUpdateOnDemand.exe
- %TEMP%\comh.114265\GoogleUpdateHelper.msi
- %TEMP%\comh.114265\goopdateres_en.dll
- %TEMP%\comh.114265\psuser.dll
- %TEMP%\comh.114265\psmachine.dll
- %TEMP%\comh.114265\npGoogleUpdate4.dll
- %TEMP%\comh.114265\GoogleUpdateBroker.exe
- %TEMP%\nsx6.tmp\19801
- %PROGRAM_FILES%\HD-Quality-V1.3\utils.exe
- %TEMP%\nsx6.tmp\update.json
- %TEMP%\nsx6.tmp\2449
- %TEMP%\comh.114265\GoogleUpdate.exe
- %TEMP%\comh.114265\GoogleCrashHandler.exe
- %PROGRAM_FILES%\HD-Quality-V1.3\Uninstall.exe
Удаляет следующие файлы:
- %TEMP%\Cab9.tmp
- %TEMP%\CabB.tmp
- %TEMP%\nsx6.tmp\2449
- %TEMP%\Cab7.tmp
Сетевая активность:
Подключается к:
- 'www.download.windowsupdate.com':80
- 'cr#.#hawte.com':80
- 'ts####.ws.symantec.com':80
- 'lo##.##fostatsserv.com':80
- 'up####.#nfostatsserv.com':80
- 'er####.#nfostatsserv.com':80
- 'st###.#nfostatsserv.com':80
TCP:
Запросы HTTP GET:
- cr#.#hawte.com/ThawteTimestampingCA.crl
- ts####.ws.symantec.com/tss-ca-g2.crl
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- up####.#nfostatsserv.com/installer_updates/001669/update.json
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
UDP:
- DNS ASK www.download.windowsupdate.com
- DNS ASK cr#.#hawte.com
- DNS ASK ts####.ws.symantec.com
- DNS ASK lo##.##fostatsserv.com
- DNS ASK up####.#nfostatsserv.com
- DNS ASK er####.#nfostatsserv.com
- DNS ASK st###.#nfostatsserv.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
