Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\65d9f5ba-e47c-4aab-89b7-b8c82caec3df-5.job
- %WINDIR%\Tasks\temp_65d9f5ba-e47c-4aab-89b7-b8c82caec3df-10_user.job
- %WINDIR%\Tasks\65d9f5ba-e47c-4aab-89b7-b8c82caec3df-10_user.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\globalUpdate] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\globalUpdate\Update\globalupdate.exe' /regsvc
- '%TEMP%\211343.exe' /boompam=true /camp=002932 /appid=71569 /nf=true
- '%TEMP%\comh.229775\globalupdate.exe' /silent /install "appguid={3c89dd49-d6ac-4060-afdc-7f63d160d5d3}&appname=15da3c21-c6b8-4bc6-8429-f73153a34a37&needsadmin=True&lang=en"
- '%TEMP%\nsn2.tmp\71569-internal-installer.exe'
- '%PROGRAM_FILES%\System NotifierV17.05\65d9f5ba-e47c-4aab-89b7-b8c82caec3df-10.exe' /rawdata=tBtYrZLv2guOo8y9Wd7OTQ7Q/wfNecj3LXPNduY6QIvS3sUbGzED/P3q7RrWPofPF5svcdqeQmUr5LKk2KTH9eP+SLjkR6I55jAlrfkDYNnmpnPv/D9irbwBlxItd00mEObMSr5H41x8fXGimA4lH2jlu2IsOwDJ761DyjdebfF1AM5eZbJKbyfD...
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' 1.2.3.4 -n 1 -w 500
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\211343.exe41.bat" "%TEMP%\211343.exe""
Завершает или пытается завершить
следующие пользовательские процессы:
- opera.exe
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\globalupdate.exe
- %TEMP%\comh.229775\psuser.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdateres_en.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\globalupdateCrashHandler.exe
- %TEMP%\comh.229775\psmachine.dll
- %TEMP%\comh.229775\globalupdateOnDemand.exe
- %TEMP%\comh.229775\globalupdateHelper.msi
- %TEMP%\comh.229775\goopdate.dll
- %TEMP%\comh.229775\npglobalupdateUpdate4.dll
- %TEMP%\comh.229775\goopdateres_en.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\globalupdateHelper.msi
- %TEMP%\211343.exe
- %PROGRAM_FILES%\System NotifierV17.05\65d9f5ba-e47c-4aab-89b7-b8c82caec3df-5.exe
- %TEMP%\nsb7.tmp\StdUtils.dll
- %TEMP%\211343.exe41.bat
- %TEMP%\nsb7.tmp\Info.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\globalupdateOnDemand.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psmachine.dll
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\psuser.dll
- %PROGRAM_FILES%\globalUpdate\Update\globalupdate.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\globalupdateBroker.exe
- %PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\npglobalupdateUpdate4.dll
- %TEMP%\comh.229775\globalupdateBroker.exe
- %TEMP%\nsv5.tmp\nbujzudux.dll
- %TEMP%\nsv5.tmp\smqsr.dll
- %TEMP%\nsv5.tmp\wwknirf.dll
- %TEMP%\nsv5.tmp\bflkgjbea.dll
- %TEMP%\nsv5.tmp\wklvr.dll
- %TEMP%\nsa4.tmp
- %TEMP%\nsn2.tmp\pre-installer.tmp
- %TEMP%\nsn2.tmp\nbujzudux.dll
- %TEMP%\nsn2.tmp\cfvmknskr.dll
- %TEMP%\nsn2.tmp\smqsr.dll
- %TEMP%\nsn2.tmp\71569-internal-installer.exe
- %TEMP%\nsv5.tmp\jrhvjuqw.dll
- %PROGRAM_FILES%\System NotifierV17.05\65d9f5ba-e47c-4aab-89b7-b8c82caec3df-10.exe
- %PROGRAM_FILES%\System NotifierV17.05\UninstallBrw.exe
- %TEMP%\comh.229775\globalupdateCrashHandler.exe
- <SYSTEM32>\029B560A371F4E00AB32838EBC01B9E7
- %TEMP%\comh.229775\globalupdate.exe
- %PROGRAM_FILES%\System NotifierV17.05\Uninstall.exe
- %TEMP%\nsv5.tmp\fyxsupuoe.dll
- %TEMP%\nsv5.tmp\System.dll
- %PROGRAM_FILES%\System NotifierV17.05\utils.exe
- %TEMP%\nsv5.tmp\483153
- %TEMP%\nsv5.tmp\126736
Удаляет следующие файлы:
- %TEMP%\nsb7.tmp\StdUtils.dll
- %TEMP%\211343.exe
- %TEMP%\nsb7.tmp\Info.dll
- %TEMP%\nsv5.tmp\483153
- %WINDIR%\Tasks\temp_65d9f5ba-e47c-4aab-89b7-b8c82caec3df-10_user.job
Сетевая активность:
Подключается к:
- 'lo##.#asememlog.com':80
- 'localhost':1053
- 'no###.#asememlog.com':80
- 'er####.basememlog.com':80
- 'ip###api.com':80
- 'st###.#asememlog.com':80
TCP:
Запросы HTTP GET:
- http://er####.basememlog.com/utility.gif?re###############################################################################
- http://er####.basememlog.com/utility.gif?re#################################################################################
- http://er####.basememlog.com/utility.gif?re##################################################################################
- http://lo##.#asememlog.com/monetization.gif?ev####################################################################################################################################
- http://er####.basememlog.com/utility.gif?re####################################################################################
- http://er####.basememlog.com/utility.gif?ac######################################################################################################################################################...
- http://er####.basememlog.com/utility.gif?re######################################################################################
- http://er####.basememlog.com/utility.gif?re################################################################################
- http://no###.#asememlog.com/notf_sys/index.html?rn######
- http://st###.#asememlog.com/installer.gif?ac#####################################################################################################################################################...
- http://er####.basememlog.com/installer-error.gif?ac##############################################################################################################################################...
- http://er####.basememlog.com/utility.gif?re##########################################################################
- http://ip###api.com/
- http://lo##.#asememlog.com/monetization.gif?ev###################################################################################################################################################...
- http://er####.basememlog.com/utility.gif?re#####################################################################################
- http://er####.basememlog.com/utility.gif?re#########################################################################################
- http://er####.basememlog.com/utility.gif?re########################################################################
- http://er####.basememlog.com/utility.gif?re############################################################################
UDP:
- DNS ASK lo##.#asememlog.com
- DNS ASK no###.#asememlog.com
- DNS ASK st###.#asememlog.com
- DNS ASK er####.basememlog.com
- DNS ASK ip###api.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'F45B9051-20DA-486D-B646-88FDF29D63A0_bg_SystemNotifierV17.05' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
