Trojan.Crossrider1.18533

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\0c6075e4-9f3d-416f-830e-8a1155fe71e6-3.job

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\comh.452737\GoogleUpdate.exe' /silent /install "appguid={c9d76707-c026-4d95-a555-fd84632c7493}&appname=11167cb5-345e-4038-90a4-e4a4af29e407&needsadmin=True&lang=en"
'%TEMP%\nsu3.tmp\Julbmlbxikb.exe'

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe
opera.exe
iexplore.exe
firefox.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\comh.452737\npGoogleUpdate4.dll
%TEMP%\comh.452737\goopdateres_en.dll
%TEMP%\comh.452737\psuser.dll
%TEMP%\comh.452737\psmachine.dll
%TEMP%\comh.452737\GoogleUpdateHelper.msi
%TEMP%\comh.452737\GoogleUpdateBroker.exe
%TEMP%\comh.452737\goopdate.dll
%TEMP%\comh.452737\GoogleUpdateOnDemand.exe
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\SmartSaver+ 3\0c6075e4-9f3d-416f-830e-8a1155fe71e6-3.exe
%TEMP%\Cab7.tmp
%PROGRAM_FILES%\SmartSaver+ 3\48922.crx
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\nsc6.tmp\InstallerUtils2.dll
%TEMP%\nsc6.tmp\InstallerUtils.dll
%TEMP%\nsc6.tmp\md5dll.dll
%TEMP%\nsc6.tmp\nsisos.dll
%TEMP%\nsh5.tmp
%TEMP%\nsk2.tmp
%TEMP%\nsc6.tmp\System.dll
%TEMP%\nsc6.tmp\StdUtils.dll
%TEMP%\nsc6.tmp\UserInfo.dll
%PROGRAM_FILES%\SmartSaver+ 3\Uninstall.exe
%TEMP%\nsc6.tmp\134201
%TEMP%\comh.452737\GoogleUpdate.exe
%TEMP%\comh.452737\GoogleCrashHandler.exe
%TEMP%\nsc6.tmp\update.json
%TEMP%\nsc6.tmp\inetc.dll
%TEMP%\nsc6.tmp\223179
%PROGRAM_FILES%\SmartSaver+ 3\utils.exe

Удаляет следующие файлы:

%TEMP%\Cab7.tmp
%TEMP%\nsc6.tmp\134201

Сетевая активность:

Подключается к:

'lo##.##tagenserv.com':80
'www.download.windowsupdate.com':80
'st###.#atagenserv.com':80
'up####.datagenserv.com':80
'er####.datagenserv.com':80

TCP:

Запросы HTTP GET:

lo##.##tagenserv.com/monetization.gif?ev#############################################################################################################################################################################################################################################################################################################################################################################
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
up####.datagenserv.com/installer_updates/000840/update.json
er####.datagenserv.com/installer-error.gif?ac########################################################################################################################################################################################################################################################################################################################################################################################################
st###.#atagenserv.com/installer.gif?ac####################################################################################################################################################################################################################################################################################################################################################################################################################################

UDP: