Trojan.DownLoader11.17964

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%WINDIR%\Tasks\MediaPlayerEnhance-chromiuminstaller.job
%WINDIR%\Tasks\MediaPlayerEnhance-chromeinstaller.job

Вредоносные функции:

Создает и запускает на исполнение:

'%PROGRAM_FILES%\MediaPlayerEnhance\MediaPlayerEnhance-chromeinstaller.exe' /rawdata=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
'%TEMP%\comh.346167\GoogleUpdate.exe' /silent /install "appguid={74f82c19-0e2d-4765-b50b-0ccac824b043}&appname=dc0d1fd9-eec1-4100-9a23-9c8e2b835206&needsadmin=True&lang=en"

Завершает или пытается завершить

следующие пользовательские процессы:

chrome.exe
opera.exe
iexplore.exe
firefox.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\comh.346167\psmachine.dll
%TEMP%\comh.346167\npGoogleUpdate4.dll
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleUpdate.exe
%TEMP%\comh.346167\psuser.dll
%TEMP%\comh.346167\goopdateres_en.dll
%TEMP%\comh.346167\GoogleUpdateHelper.msi
%TEMP%\comh.346167\GoogleUpdateBroker.exe
%TEMP%\comh.346167\goopdate.dll
%TEMP%\comh.346167\GoogleUpdateOnDemand.exe
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\goopdate.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\nsz3.tmp\ExecDos.dll
%TEMP%\Cab4.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%PROGRAM_FILES%\globalUpdate\Update\1.3.25.0\GoogleCrashHandler.exe
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%PROGRAM_FILES%\MediaPlayerEnhance\44150.crx
%PROGRAM_FILES%\MediaPlayerEnhance\MediaPlayerEnhance-chromeinstaller.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\nsz3.tmp\InstallerUtils2.dll
%TEMP%\nsz3.tmp\InstallerUtils.dll
%TEMP%\nsz3.tmp\md5dll.dll
%TEMP%\nsz3.tmp\nsisos.dll
%TEMP%\MediaPlayerEnhanceInstaller_1402016122.log
%TEMP%\nsz3.tmp\StdUtils.dll
%TEMP%\nsj2.tmp
%TEMP%\nsz3.tmp\nsislog.dll
%TEMP%\nsz3.tmp\System.dll
%TEMP%\nsz3.tmp\UserInfo.dll
%PROGRAM_FILES%\MediaPlayerEnhance\Uninstall.exe
%TEMP%\nsz3.tmp\313549
%TEMP%\comh.346167\GoogleUpdate.exe
%TEMP%\comh.346167\GoogleCrashHandler.exe
%TEMP%\nsz3.tmp\285543
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\update[1].json
%TEMP%\nsz3.tmp\inetc.dll
%PROGRAM_FILES%\MediaPlayerEnhance\utils.exe
%TEMP%\nsz3.tmp\update.json

Удаляет следующие файлы:

%TEMP%\Cab4.tmp
%TEMP%\nsz3.tmp\313549

Сетевая активность:

Подключается к:

'lo##.##tagenserv.com':80
'www.download.windowsupdate.com':80
'st###.#atagenserv.com':80
'up####.datagenserv.com':80
'er####.datagenserv.com':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
up####.datagenserv.com/installer_updates/000555/update.json

UDP: