Trojan.Carberp.1833

Техническая информация

Для обеспечения автозапуска и распространения:

Создает или изменяет следующие файлы:

%HOMEPATH%\Start Menu\Programs\Startup\inpixo.exe

Вредоносные функции:

Создает и запускает на исполнение:

'' (загружен из сети Интернет)

Внедряет код в

следующие системные процессы:

%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Theme\Dialog.inf
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Theme\Button.png
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Theme\NewUI.thm
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Theme\Dialog.png
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Images\Thumbs.db
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Images\Background.jpg
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\lang\Thumbs.db
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\lang\Loader_eng.txt
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Theme\Thumbs.db
%HOMEPATH%\Start Menu\Programs\Avanquest\InPixio Photo Clip 7\Uninstall InPixio Photo Clip 7.lnk
%HOMEPATH%\Start Menu\Programs\Avanquest\InPixio Photo Clip 7\InPixio Photo Clip 7.lnk
%TEMP%\38FED.dmp
%TEMP%\dw.log
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\InPixioPhotoClip7.ini
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\InPixioPhotoClip7.exe
%HOMEPATH%\Desktop\InPixio Photo Clip 7.lnk
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\NewUI.dll
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\English.001
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\Binary.tmp
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\{bc46f6da-417c-4168-A743-547D4E911038}\FCW88F6.001
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\English.lng
%ALLUSERSPROFILE%\Application Data\InPixio_PhotoClip_UK_FT.exe
<Текущая директория>:{50004900-4800-4D00-5200-520036006400}
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\setup.cfg
%HOMEPATH%\My Documents\My Videos\Desktop.ini
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\{7B28E39C-883C-4f49-ABFB-5D16796F2DD9}\Data.cab
%APPDATA%\Avanquest Software\SetupAQ\{84AC98D2-ED9C-417b-BB6B-598FBCBE253C}\SetupAQ.exe
%APPDATA%\Avanquest Software\SetupAQ\SetupAQ.exe
%TEMP%\Avanquest_Message_2.exe
%APPDATA%\Avanquest Software\SetupAQ\{84AC98D2-ED9C-417b-BB6B-598FBCBE253C}\SetupAQ.ini
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\{7B28E39C-883C-4f49-ABFB-5D16796F2DD9}\SetupAQ.ini
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\{7B28E39C-883C-4f49-ABFB-5D16796F2DD9}\SetupAQ.exe
%TEMP%\inpixo.txt
%ALLUSERSPROFILE%\Application Data\Isolated Storage\{50004900-4800-4D00-5200-520036006400}

Присваивает атрибут 'скрытый' для следующих файлов:

<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\lang\Thumbs.db
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Theme\Thumbs.db
%HOMEPATH%\My Documents\My Videos\Desktop.ini
<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\Images\Thumbs.db

Удаляет следующие файлы:

%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\{bc46f6da-417c-4168-A743-547D4E911038}\FCW88F6.001
%TEMP%\Avanquest_Message_2.exe
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\English.001
%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\Binary.tmp

Сетевая активность:

Подключается к:

'we#####s.avanquest.com':80
'we######ller.avanquest.com':80
'20#.#6.232.182':80

TCP:

Запросы HTTP GET:

http://we######ller.avanquest.com/LiveUpdate/WebInstaller/AvanquestMessage/Avanquest_Message_2.exe

Запросы HTTP POST:

http://we#####s.avanquest.com/redirect.cfm?re######################################

UDP:

DNS ASK we#####s.avanquest.com
DNS ASK we######ller.avanquest.com
DNS ASK www.microsoft.com

Другое:

Ищет следующие окна:

ClassName: 'Dbs' WindowName: ''
ClassName: 'TMonitor' WindowName: ''
ClassName: '' WindowName: 'TMonitor'

Создает и запускает на исполнение:

'%TEMP%\Avanquest_Message_2.exe'
'<LS_APPDATA>\Avanquest\InPixio Photo Clip 7\InPixioPhotoClip7.exe'
'%TEMP%\{48e7a85b-3e1d-4c1a-9EDC-3E2B79EA4961}\{7B28E39C-883C-4f49-ABFB-5D16796F2DD9}\SetupAQ.exe'
'%ALLUSERSPROFILE%\Application Data\InPixio_PhotoClip_UK_FT.exe'
'%HOMEPATH%\Start Menu\Programs\Startup\inpixo.exe'

Запускает на исполнение:

'%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe'
'%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 372
'<SYSTEM32>\cmd.exe'
'<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /f /v "inpixo" /d "cmd /c type "%TEMP%\inpixo.txt" | cmd"