Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Conduit Update' = '"<LS_APPDATA>\Conduit\Update\ConduitUpdate.exe" /c'
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\ConduitUpdateTaskUserS-1-5-21-2052111302-484763869-725345543-1003UA.job
- %WINDIR%\Tasks\ConduitUpdateTaskUserS-1-5-21-2052111302-484763869-725345543-1003Core.job
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Conduit\Update\ConduitUpdate.exe' /handoff "uenv=production&appguid={9C7EDCEE-15FB-4115-A80B-A92E57A17FD1}&appname=UBrowser&needsadmin=False&lang=en&usagestats=1&extradata=%7B%0A%20%20%20%22u_environment%22%3A%20%7B%0A%20%20%20%20%20%20%22env_name%22%3A%20%22production%22%0A%20%20%20%7D%0A%7D" /installsource taggedmi /sessionid "{D4C21AED-2405-4FD8-A5BF-D9E0D18EDB3E}"
- '<LS_APPDATA>\Conduit\Update\ConduitUpdate.exe' -Embedding
- '<LS_APPDATA>\Conduit\Update\ConduitUpdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB2ZXJzaW9uPSIxLjMuMjUuMjMiIGlzbWFjaGluZT0iMCIgc2Vzc2lvbmlkPSJ7RDRDMjFBRUQtMjQwNS00RkQ4LUE1QkYtRDlFMEQxOEVEQjNFfSIgdXNlcmlkPSJ7MjNFRTY2OEMtNjA4Qi00NzJELTk0OTAtNjJERDQ1NjkzMjJGfSIgaW5zdGFsbHNvdXJjZT0idGFnZ2VkbWkiIHRlc3Rzb3VyY2U9ImF1dG8iIHJlcXVlc3RpZD0iezZCQUIzN0FBLTNFOTgtNDYzRi1CODgwLTg5NDhGNkREQTNFMn0iPjxvcyBwbGF0Zm9ybT0id2luIiB2ZXJzaW9uPSI1LjEiIHNwPSJTZXJ2aWNlIFBhY2sgMiIgYXJjaD0ieDg2Ii8-PGFwcCBhcHBpZD0iezlDN0VEQ0VFLTE1RkItNDExNS1BODBCLUE5MkU1N0ExN0ZEMX0iIHZlcnNpb249IiIgbmV4dHZlcnNpb249IiIgbGFuZz0iZW4iIGJyYW5kPSIiIGNsaWVudD0iIiBpbnN0YWxsYWdlPSItMSI-PGV2ZW50IGV2ZW50dHlwZT0iMiIgZXZlbnRyZXN1bHQ9IjAiIGVycm9yY29kZT0iLTEwNzI4OTY3NjAiIGV4dHJhY29kZTE9IjI2ODQzNTQ1OSIvPjwvYXBwPjwvcmVxdWVzdD4
- '%TEMP%\GUM1.tmp\ConduitUpdate.exe' /installsource taggedmi /install "uenv=production&appguid={9C7EDCEE-15FB-4115-A80B-A92E57A17FD1}&appname=UBrowser&needsadmin=False&lang=en&usagestats=1&extradata=%7B%0A%20%20%20%22u_environment%22%3A%20%7B%0A%20%20%20%20%20%20%22env_name%22%3A%20%22production%22%0A%20%20%20%7D%0A%7D"
- '<LS_APPDATA>\Conduit\Update\ConduitUpdate.exe' /regserver
- '<LS_APPDATA>\Conduit\Update\ConduitUpdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB2ZXJzaW9uPSIxLjMuMjUuMjMiIGlzbWFjaGluZT0iMCIgc2Vzc2lvbmlkPSJ7RDRDMjFBRUQtMjQwNS00RkQ4LUE1QkYtRDlFMEQxOEVEQjNFfSIgdXNlcmlkPSJ7MjNFRTY2OEMtNjA4Qi00NzJELTk0OTAtNjJERDQ1NjkzMjJGfSIgaW5zdGFsbHNvdXJjZT0idGFnZ2VkbWkiIHRlc3Rzb3VyY2U9ImF1dG8iIHJlcXVlc3RpZD0iezg5QzY0NjFCLTFEMzYtNDU4Ny04NDdFLTg0NzcxQjU5QzM4MH0iPjxvcyBwbGF0Zm9ybT0id2luIiB2ZXJzaW9uPSI1LjEiIHNwPSJTZXJ2aWNlIFBhY2sgMiIgYXJjaD0ieDg2Ii8-PGFwcCBhcHBpZD0iezZENjhENjhCLTZBRDctNDMyRS1CNTc0LUI2NUQ2NDdBODVDQX0iIHZlcnNpb249IiIgbmV4dHZlcnNpb249IjEuMy4yNS4yMyIgbGFuZz0iZW4iIGJyYW5kPSIiIGNsaWVudD0iIj48ZXZlbnQgZXZlbnR0eXBlPSIyIiBldmVudHJlc3VsdD0iMSIgZXJyb3Jjb2RlPSIwIiBleHRyYWNvZGUxPSIwIi8-PC9hcHA-PC9yZXF1ZXN0Pg
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_gu.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_fr.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_hr.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_hi.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_fa.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_et.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_fil.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_fi.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ja.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_iw.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ko.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_kn.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_id.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_hu.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_it.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_is.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_bg.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ar.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ca.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_bn.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condate.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\ConduitUpdate.exe
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_am.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\ConduitCrashHandler.exe
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_en-GB.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_en.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_es-419.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_es.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_da.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_cs.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_el.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_de.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_lt.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ur.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_uk.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_zh-CN.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_vi.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_te.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ta.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_tr.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_th.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\npConduitUpdate3.dll
- <LS_APPDATA>\Conduit\Update\ConduitUpdate.exe
- <LS_APPDATA>\Conduit\Update\1.3.25.23\ConduitUpdateOnDemand.exe
- <LS_APPDATA>\Conduit\Update\1.3.25.23\ConduitUpdateBroker.exe
- <LS_APPDATA>\Conduit\Update\1.3.25.23\ConduitUpdateHelper.msi
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_zh-TW.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\psmachine.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\psuser.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_no.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_nl.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_pt-BR.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_pl.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ml.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_lv.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ms.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_mr.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_sr.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_sl.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_sw.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_sv.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ro.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_pt-PT.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_sk.dll
- <LS_APPDATA>\Conduit\Update\1.3.25.23\condateres_ru.dll
- %TEMP%\GUM1.tmp\condateres_es.dll
- %TEMP%\GUM1.tmp\condateres_en-GB.dll
- %TEMP%\GUM1.tmp\condateres_et.dll
- %TEMP%\GUM1.tmp\condateres_es-419.dll
- %TEMP%\GUM1.tmp\condateres_de.dll
- %TEMP%\GUM1.tmp\condateres_da.dll
- %TEMP%\GUM1.tmp\condateres_en.dll
- %TEMP%\GUM1.tmp\condateres_el.dll
- %TEMP%\GUM1.tmp\condateres_hi.dll
- %TEMP%\GUM1.tmp\condateres_gu.dll
- %TEMP%\GUM1.tmp\condateres_hu.dll
- %TEMP%\GUM1.tmp\condateres_hr.dll
- %TEMP%\GUM1.tmp\condateres_fi.dll
- %TEMP%\GUM1.tmp\condateres_fa.dll
- %TEMP%\GUM1.tmp\condateres_fr.dll
- %TEMP%\GUM1.tmp\condateres_fil.dll
- %TEMP%\GUM1.tmp\ConduitUpdateHelper.msi
- %TEMP%\GUM1.tmp\npConduitUpdate3.dll
- %TEMP%\GUM1.tmp\ConduitUpdateOnDemand.exe
- %TEMP%\GUM1.tmp\ConduitUpdateBroker.exe
- %TEMP%\GUM1.tmp\ConduitUpdate.exe
- %TEMP%\GUT2.tmp
- %TEMP%\GUM1.tmp\condate.dll
- %TEMP%\GUM1.tmp\ConduitCrashHandler.exe
- %TEMP%\GUM1.tmp\condateres_bn.dll
- %TEMP%\GUM1.tmp\condateres_bg.dll
- %TEMP%\GUM1.tmp\condateres_cs.dll
- %TEMP%\GUM1.tmp\condateres_ca.dll
- %TEMP%\GUM1.tmp\psuser.dll
- %TEMP%\GUM1.tmp\psmachine.dll
- %TEMP%\GUM1.tmp\condateres_ar.dll
- %TEMP%\GUM1.tmp\condateres_am.dll
- %TEMP%\GUM1.tmp\condateres_id.dll
- %TEMP%\GUM1.tmp\condateres_sv.dll
- %TEMP%\GUM1.tmp\condateres_sr.dll
- %TEMP%\GUM1.tmp\condateres_ta.dll
- %TEMP%\GUM1.tmp\condateres_sw.dll
- %TEMP%\GUM1.tmp\condateres_ru.dll
- %TEMP%\GUM1.tmp\condateres_ro.dll
- %TEMP%\GUM1.tmp\condateres_sl.dll
- %TEMP%\GUM1.tmp\condateres_sk.dll
- %TEMP%\GUM1.tmp\condateres_vi.dll
- %TEMP%\GUM1.tmp\condateres_ur.dll
- %TEMP%\GUM1.tmp\condateres_zh-TW.dll
- %TEMP%\GUM1.tmp\condateres_zh-CN.dll
- %TEMP%\GUM1.tmp\condateres_th.dll
- %TEMP%\GUM1.tmp\condateres_te.dll
- %TEMP%\GUM1.tmp\condateres_uk.dll
- %TEMP%\GUM1.tmp\condateres_tr.dll
- %TEMP%\GUM1.tmp\condateres_ko.dll
- %TEMP%\GUM1.tmp\condateres_kn.dll
- %TEMP%\GUM1.tmp\condateres_lv.dll
- %TEMP%\GUM1.tmp\condateres_lt.dll
- %TEMP%\GUM1.tmp\condateres_it.dll
- %TEMP%\GUM1.tmp\condateres_is.dll
- %TEMP%\GUM1.tmp\condateres_ja.dll
- %TEMP%\GUM1.tmp\condateres_iw.dll
- %TEMP%\GUM1.tmp\condateres_pl.dll
- %TEMP%\GUM1.tmp\condateres_no.dll
- %TEMP%\GUM1.tmp\condateres_pt-PT.dll
- %TEMP%\GUM1.tmp\condateres_pt-BR.dll
- %TEMP%\GUM1.tmp\condateres_mr.dll
- %TEMP%\GUM1.tmp\condateres_ml.dll
- %TEMP%\GUM1.tmp\condateres_nl.dll
- %TEMP%\GUM1.tmp\condateres_ms.dll
Сетевая активность:
Подключается к:
- 'om###.getu.com':80
- 'localhost':1046
- 'localhost':1043
- 'wp#d':80
- 'localhost':1041
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
Запросы HTTP POST:
- om###.getu.com/service/update2
- om###.getu.com/update2
- om###.getu.com/update2?w=#############################################################################################################################################################################
UDP:
- DNS ASK om###.getu.com
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
