Trojan.Carberp.2159

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '"%LOCALAPPDATA%\1ecee756-c435-423c-bd1d-9bcc63be089a\538.tmp.exe" --AutoStart'

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\avjvabji.lnk
<SYSTEM32>\tasks\opera scheduled autoupdate 711520318
<SYSTEM32>\tasks\time trigger task

Вредоносные функции

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\cookies
%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%APPDATA%\opera software\opera stable\login data

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\microsoft\windows\avjvabji\rttvtvce.exe
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\history-shm
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\history\history_mozilla firefox_gn7ryp3k.default.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\ld
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\historych
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\wd
%LOCALAPPDATA%low\ecckedlhhief.chb
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%TEMP%\config.ini
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\6686.tmp.exe
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\cookie_list.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\information.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\files\default.zip
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\nl_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee5141123171.zip
%TEMP%\tbquhfoo.exe
%LOCALAPPDATA%\0c0f6e80-53c4-4a4a-beb8-4ca7912ab7e6\5.exe
%PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\history
%LOCALAPPDATA%\0c0f6e80-53c4-4a4a-beb8-4ca7912ab7e6\updatewin1.exe
%TEMP%\538.tmp.exe
%LOCALAPPDATA%\1ecee756-c435-423c-bd1d-9bcc63be089a\538.tmp.exe
%TEMP%\1a86.tmp.exe
%TEMP%\2da2.tmp.exe
%PROGRAMDATA%\freebl3.dll
%PROGRAMDATA%\mozglue.dll
%PROGRAMDATA%\msvcp140.dll
%LOCALAPPDATA%\bowsakkdestx.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\c-shm
%PROGRAMDATA%\nss3.dll
%TEMP%\4978.tmp.exe
C:\systemid\personalid.txt
%LOCALAPPDATA%\0c0f6e80-53c4-4a4a-beb8-4ca7912ab7e6\updatewin2.exe
%PROGRAMDATA%\softokn3.dll
%PROGRAMDATA%\vcruntime140.dll
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\c
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\cookies\cookies_mozilla firefox_gn7ryp3k.default.txt
%TEMP%\logo.png

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\microsoft\windows\avjvabji\rttvtvce.exe

Удаляет следующие файлы

<SYSTEM32>\tasks\time trigger task
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\history\history_mozilla firefox_gn7ryp3k.default.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\files\default.zip
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\cookie_list.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\cookies\cookies_mozilla firefox_gn7ryp3k.default.txt
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\c
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\historych
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\history
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\files\information.txt
%PROGRAMDATA%\vcruntime140.dll
%PROGRAMDATA%\nss3.dll
%PROGRAMDATA%\msvcp140.dll
%PROGRAMDATA%\mozglue.dll
%PROGRAMDATA%\freebl3.dll
%LOCALAPPDATA%low\ecckedlhhief.chb
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\history-shm
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\c-shm
%PROGRAMDATA%\softokn3.dll
%PROGRAMDATA%\g83bgsq71s9en9fh5d8tq83fs\nl_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee5141123171.zip

Подменяет следующие файлы

%LOCALAPPDATA%low\ecckedlhhief.chb

Самоудаляется.

Сетевая активность

Подключается к

'ip##pi.com':80

TCP

Запросы HTTP GET

http://www.ms###csi.com/ncsi.txt
http://la####cemaths.com/freebl3.dll
http://la####cemaths.com/mozglue.dll
http://la####cemaths.com/msvcp140.dll
http://la####cemaths.com/nss3.dll
http://do####video1.xyz/down/id9.exe
http://cj##.top/files/penelop/updatewin1.exe
http://cj##.top/sgfjsgdfgsgddagdpen4/get.php?pi#############################################
http://la####cemaths.com/softokn3.dll
http://cj##.top/files/penelop/updatewin2.exe
http://la####cemaths.com/vcruntime140.dll
http://cj##.top/files/penelop/updatewin.exe
http://cj##.top/files/penelop/3.exe
http://cj##.top/files/penelop/4.exe
http://cj##.top/files/penelop/5.exe
http://37.##.127.236/2.php

Запросы HTTP POST

http://gh###8kjhb.net/
http://do###n2222.com/cfg/?da###########################################
http://cl####leankkl.net/
http://do###n2222.com/log/

'ap#.2ip.ua':443

UDP

DNS ASK gh###8kjhb.net
DNS ASK cl####leankkl.net
DNS ASK ap#.2ip.ua
DNS ASK la####cemaths.com
DNS ASK cj##.top
DNS ASK do####video1.xyz
DNS ASK do###n2222.com
DNS ASK ip##pi.com

Другое

Создает и запускает на исполнение

'%TEMP%\538.tmp.exe'
'%TEMP%\538.tmp.exe' --Admin IsNotAutoStart IsNotTask
'%TEMP%\1a86.tmp.exe'
'%TEMP%\2da2.tmp.exe'
'%TEMP%\4978.tmp.exe'
'%LOCALAPPDATA%\0c0f6e80-53c4-4a4a-beb8-4ca7912ab7e6\updatewin1.exe'
'%LOCALAPPDATA%\0c0f6e80-53c4-4a4a-beb8-4ca7912ab7e6\updatewin2.exe'
'%LOCALAPPDATA%\0c0f6e80-53c4-4a4a-beb8-4ca7912ab7e6\5.exe'
'%TEMP%\6686.tmp.exe'
'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\1ecee756-c435-423c-bd1d-9bcc63be089a" /deny *S-1-1-0:(OI)(CI)(DE,DC)' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im 1A86.tmp.exe /f & erase %TEMP%\1A86.tmp.exe & exit' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\opmavzab\' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\1ecee756-c435-423c-bd1d-9bcc63be089a" /deny *S-1-1-0:(OI)(CI)(DE,DC)
'%WINDIR%\syswow64\cmd.exe' /c taskkill /im 1A86.tmp.exe /f & erase %TEMP%\1A86.tmp.exe & exit
'%WINDIR%\syswow64\cmd.exe' /C mkdir %WINDIR%\SysWOW64\opmavzab\