BackDoor.Zbot.254

Technical Information

To ensure autorun and distribution

Creates or modifies the following files

<SYSTEM32>\tasks\googleupdatetaskmachinecore{042a3ff7-f892-414a-b3a5-7e5f908bb429}
<SYSTEM32>\tasks\googleupdatetaskmachineua{0ead3858-8f40-45b2-abf3-0820e11b3f55}

Sets the following service settings

[HKLM\SYSTEM\CurrentControlSet\Services\gupdate] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\gupdate] 'ImagePath' = '"%ProgramFiles(x86)%\Google\Update\GoogleUpdate.exe" /svc'
[HKLM\SYSTEM\CurrentControlSet\Services\gupdatem] 'ImagePath' = '"%ProgramFiles(x86)%\Google\Update\GoogleUpdate.exe" /medsvc'

Creates the following services

'gupdate' "%ProgramFiles(x86)%\Google\Update\GoogleUpdate.exe" /svc
'gupdatem' "%ProgramFiles(x86)%\Google\Update\GoogleUpdate.exe" /medsvc

Modifies file system

Creates the following files

%TEMP%\tmp255b.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_et.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_fa.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_fi.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_fil.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_fr.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_gu.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_hr.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_es.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_hu.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_id.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_is.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_it.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_iw.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ja.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_es-419.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_en-gb.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ko.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\googlecrashhandler64.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdatecomregistershell64.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_am.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ar.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_kn.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdatecore.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_hi.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_bg.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_da.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_de.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_el.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_en.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_bn.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ca.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_cs.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_lt.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_lt.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_tr.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_uk.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ur.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_vi.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_zh-cn.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_zh-tw.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_th.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdate.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_te.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\psmachine_64.dll
%ProgramFiles(x86)%\google\update\googleupdate.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdatesetup.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdatebroker.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdateondemand.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\psuser_64.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\psuser.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\googlecrashhandler.exe
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_sw.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ro.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_mr.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ms.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_nl.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_no.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_pl.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ta.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_lv.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ml.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_ru.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_sk.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_sl.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_sr.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_sv.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_pt-pt.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\goopdateres_pt-br.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdate.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdatesetup.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_zh-tw.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_da.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_de.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_el.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_en.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_bn.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdatecomregistershell64.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_cs.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_en-gb.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_fa.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_fi.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_fil.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_fr.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_es.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_es-419.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_et.dll
%TEMP%\bit3ae2.tmp
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_gu.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_am.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdatecore.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googlecrashhandler64.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\psuser_64.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\psuser.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\psmachine_64.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\psmachine.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_bg.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdateondemand.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdatebroker.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdate.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googlecrashhandler.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdate.exe
%ProgramFiles(x86)%\google\temp\gut572a.tmp
%TEMP%\tmp276f.exe
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ar.dll
%ProgramFiles(x86)%\google\update\1.3.36.212\psmachine.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_hi.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_id.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_sk.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_sl.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_sr.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_sv.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_sw.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_hr.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ru.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ro.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_tr.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_uk.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ur.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_vi.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_zh-cn.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ta.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_th.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_hu.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_te.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ca.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_is.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_it.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_iw.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ja.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_kn.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_pl.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_pt-pt.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_pt-br.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ml.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_mr.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ms.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_nl.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_no.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_ko.dll
%ProgramFiles(x86)%\google\temp\gum5729.tmp\goopdateres_lv.dll
%ProgramFiles(x86)%\google\update\download\{8a69d345-d564-463c-aff1-a69d9e530f96}\115.0.5790.171\115.0.5790.171_chrome_installer.exe

Sets the 'hidden' attribute to the following files

%TEMP%\tmp276f.exe
%TEMP%\bit3ae2.tmp

Moves the following files

from %TEMP%\bit3ae2.tmp to %TEMP%\{0084a5a8-2602-443b-ac96-e6d5d7419666}-115.0.5790.171_chrome_installer.exe

Network activity

Connects to

'up####.googleapis.com':443
'dl.google.com':443
'localhost':5985
'ed####.me.gvt1.com':80

TCP

HTTP GET requests

http://ed####.me.gvt1.com/edgedl/release2/chrome/ma5ldr6fahw7lv2y2h4yf6xeem_115.0.5790.171/115.0.5790.171_chrome_installer.exe

Other

'up####.googleapis.com':443
'dl.google.com':443

UDP

DNS ASK up####.googleapis.com
DNS ASK dl.google.com
DNS ASK ed####.me.gvt1.com

Miscellaneous

Searches for the following windows

ClassName: 'OleMainThreadWndClass' WindowName: ''

Creates and executes the following

'%TEMP%\tmp255b.exe'
'%TEMP%\tmp276f.exe'
'%ProgramFiles(x86)%\google\temp\gum5729.tmp\googleupdate.exe' /installsource taggedmi /install "appguid={8A69D345-D564-463C-AFF1-A69D9E530F96}&iid={A1D9A9EF-97D3-6ECC-2BF2-52C8008B288B}&lang=ru&browser=4&usagestats=1&appname=Google%20Chrome&needsadmin=pre...
'%ProgramFiles(x86)%\google\update\googleupdate.exe' /regsvc
'%ProgramFiles(x86)%\google\update\googleupdate.exe' /regserver
'%ProgramFiles(x86)%\google\update\1.3.36.212\googleupdatecomregistershell64.exe'
'%ProgramFiles(x86)%\google\update\googleupdate.exe' /ping PD94bWwgdmVyc2lvbj0iMS4wIiBlbmNvZGluZz0iVVRGLTgiPz48cmVxdWVzdCBwcm90b2NvbD0iMy4wIiB1cGRhdGVyPSJPbWFoYSIgdXBkYXRlcnZlcnNpb249IjEuMy4zNi4yMTIiIHNoZWxsX3ZlcnNpb249IjEuMy4zNi4yMTEiIGlzbWFjaGl...
'%ProgramFiles(x86)%\google\update\googleupdate.exe' /handoff "appguid={8A69D345-D564-463C-AFF1-A69D9E530F96}&iid={A1D9A9EF-97D3-6ECC-2BF2-52C8008B288B}&lang=ru&browser=4&usagestats=1&appname=Google%20Chrome&needsadmin=prefers&ap=x64-stable-stats...
'%ProgramFiles(x86)%\google\update\googleupdate.exe' /svc

Technologies

Terminology

Training and education

Myths

Technical Information

Curing recommendations

Free trial