Trojan.Carberp.2052

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'update' = '%APPDATA%\335C.exe'
[<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'update' = '%APPDATA%\335C.exe'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
<SYSTEM32>\tasks\update

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Внедряет код в

следующие системные процессы:

%WINDIR%\syswow64\explorer.exe
%WINDIR%\explorer.exe

следующие пользовательские процессы:

svhost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\d47f.tmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\plugins\0\customui.dll
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\packagedb
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\languages
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\maindb
%ProgramFiles(x86)%\anyplace control\anyplace-control.ini
%PROGRAMDATA%\anyplace control 4\anyplace-control.ini
%APPDATA%\anyplace control 4\anyplace-control.ini
%PROGRAMDATA%\anyplace control 4\installerpath.txt
%ProgramFiles(x86)%\anyplace control\installerpath.txt
%APPDATA%\anyplace control 4\installerpath.txt
%ProgramFiles(x86)%\anyplace control\anyplace control.chm
%TEMP%\f47c.exe
%ProgramFiles(x86)%\anyplace control\libspeexdsp.dll
%ProgramFiles(x86)%\anyplace control\apc_admin.exe
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.ntv.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.deu.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.rus.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.fra.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.esn.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.ita.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.ptb.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.plk.lng
%ProgramFiles(x86)%\anyplace control\languages\apc_admin.ara.lng
%ProgramFiles(x86)%\anyplace control\apc_hostconfig.exe
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\unwatermark.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\maintenance.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\unbanner.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\butt_que.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\butt_inf.bmp
%APPDATA%\biurjii
%TEMP%\335c.exe
%TEMP%\4f52.exe
%TEMP%\svhost.exe
%APPDATA%\335c.exe
%APPDATA%\secureex\j.js
%APPDATA%\secureex\p.js
%APPDATA%\secureex\manifest.json
%APPDATA%\secureex\background.js
%APPDATA%\secureex\icon16.png
%APPDATA%\secureex\icon64.png
%ProgramFiles(x86)%\anyplace control\apc_host.exe
%ProgramFiles(x86)%\anyplace control\libspeex.dll
%APPDATA%\secureex\icon128.png
%TEMP%\temp-itezoc4ymdeumtk4ljiwnye=.exe
%PROGRAMDATA%\anyplace control corporate\apc-server.ini
%PROGRAMDATA%\anyplace control corporate\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=.exe
C:\temp\0546sdu3\unpack.dll
C:\temp\0546sdu3\comregc.exe
C:\temp\0546sdu3\resume.exe
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\license.txt
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\banner.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\watermark.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\butt_warn.bmp
C:\temp\0546sdu3\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=\presetup\butt_cancel.bmp
%APPDATA%\vavevsu
%TEMP%\fd76.exe
%ProgramFiles(x86)%\anyplace control\languages\apc_hostconfig.ntv.lng

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\vavevsu
%APPDATA%\biurjii

Самоудаляется.

Сетевая активность

TCP

Запросы HTTP GET

http://px#####xmail19mn.xyz/zel/zel777.exe
http://px#####xmail19mn.xyz/lkx999.exe
http://px#####xmail19mn.xyz/ald.exe
http://px#####xmail19mn.xyz/host999.exe
http://px#####xmail19mn.xyz/mtx999.exe

Запросы HTTP POST

http://re###at35.club/statweb77/
http://bl###erv17.xyz/gate/cfg/?po############################

'ap#.#yip.com':443

UDP

DNS ASK re###at35.club
DNS ASK px#####xmail19mn.xyz
DNS ASK ap#.#yip.com
DNS ASK bl###erv17.xyz

Другое

Ищет следующие окна

ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\335c.exe'
'%TEMP%\4f52.exe'
'%TEMP%\svhost.exe'
'%TEMP%\f47c.exe'
'%TEMP%\fd76.exe'
'%TEMP%\temp-itezoc4ymdeumtk4ljiwnye=.exe' /password=
'%PROGRAMDATA%\anyplace control corporate\quicksupportintall_tmp-itezoc4ymdeumtk4ljiwnye=.exe' /password=
'%ProgramFiles(x86)%\anyplace control\apc_hostconfig.exe' /setup /password=

Запускает на исполнение

'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --load-extension="%APPDATA%\SecureEx" --silent-launch
'%WINDIR%\syswow64\wbem\wmic.exe' SHADOWCOPY /nointeractive
'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\explorer.exe'
'%ProgramFiles(x86)%\google\chrome\application\chrome.exe' --type=gpu-process --channel="3008.0.1878245731\1458606758" --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-device-id=0x0000 --gpu-driver-vendor --g...