Trojan.Carberp.2677

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\nvngxupdatecheckdaily_{78821544-1544-1544-1544-788215441544}

Вредоносные функции

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

следующие пользовательские процессы:

iexplore.exe

Перехватывает функции

в браузерах

Процесс firefox.exe, модуль nss3.dll
Процесс iexplore.exe, модуль wininet.dll

Завершает или пытается завершить

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe

Ищет ветки реестра, отвечающие за хранение паролей сторонними программами

[<HKCU>\Software\Martin Prikryl]
[<HKLM>\Software\Wow6432Node\Martin Prikryl]

Читает файлы, отвечающие за хранение паролей сторонними программами

%LOCALAPPDATA%\google\chrome\user data\default\login data
%LOCALAPPDATA%\google\chrome\user data\default\web data
%LOCALAPPDATA%\google\chrome\user data\default\cookies
%APPDATA%\opera software\opera stable\login data
%APPDATA%\mozilla\firefox\profiles.ini
%APPDATA%\thunderbird\profiles.ini

Изменения в файловой системе

Создает следующие файлы

%TEMP%\4dd3.tmp
%TEMP%\ab1d.tmp-shm
%TEMP%\ab3d.tmp
%TEMP%\ac47.tmp
%TEMP%\ac48.tmp
%TEMP%\ac59.tmp
%TEMP%\ac5a.tmp
%TEMP%\acf7.tmp
%TEMP%\ad27.tmp
%LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
%TEMP%\ab1d.tmp
%TEMP%\ad37.tmp
%TEMP%\ad4a.tmp
%TEMP%\ad4b.tmp
%TEMP%\ad5c.tmp
%TEMP%\ad8b.tmp
%TEMP%\ad8b.tmp-shm
%LOCALAPPDATA%low\pf2qc1gg7yh8hi1o\ih7oe4ur9pw5zj0o.zip
%LOCALAPPDATA%low\machineinfo.txt
%LOCALAPPDATA%low\ecscpporsdk.zip
%TEMP%\ad38.tmp
%TEMP%\ad49.tmp
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
%ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
%APPDATA%\tuegjew
%TEMP%\e39a.tmp.exe
%TEMP%\f1ed.tmp.exe
%TEMP%\677.tmp.exe
%LOCALAPPDATA%low\sqlite3.dll
%TEMP%\2ed0.tmp.exe
%TEMP%\625e.tmp.exe
%TEMP%\712e.tmp.exe
%LOCALAPPDATA%low\fraqbc8wsa
%APPDATA%\ravviuh
%LOCALAPPDATA%low\1xvpfvjcrg
%TEMP%\83c5.tmp.exe
%LOCALAPPDATA%low\rqf69azbla
%APPDATA%\edgecp\microsoftedgecps.exe
%LOCALAPPDATA%low\x3cf3ednhm
%LOCALAPPDATA%low\3solbph71y
%LOCALAPPDATA%low\exuieaoeii
%LOCALAPPDATA%low\gxix4a2dre
%LOCALAPPDATA%low\bbsqwy6yhk
%TEMP%\8d77.tmp.exe
%LOCALAPPDATA%low\rywtiizs2t
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\microsoftedgecps.lnk
%APPDATA%\edgecp\id.conf

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\ravviuh
%APPDATA%\tuegjew

Удаляет следующие файлы

%LOCALAPPDATA%low\fraqbc8wsa
%LOCALAPPDATA%low\ecscpporsdk.zip
%LOCALAPPDATA%low\pf2qc1gg7yh8hi1o\ih7oe4ur9pw5zj0o.zip
%TEMP%\ad8b.tmp
%TEMP%\ad8b.tmp-shm
%TEMP%\ad5c.tmp
%TEMP%\ad4b.tmp
%TEMP%\ad4a.tmp
%TEMP%\ad49.tmp
%TEMP%\ad38.tmp
%TEMP%\ad37.tmp
%TEMP%\ad27.tmp
%TEMP%\acf7.tmp
%TEMP%\ac5a.tmp
%TEMP%\ac59.tmp
%TEMP%\ac48.tmp
%TEMP%\ac47.tmp
%TEMP%\ab3d.tmp
%TEMP%\ab1d.tmp
%TEMP%\ab1d.tmp-shm
%LOCALAPPDATA%low\bbsqwy6yhk
%LOCALAPPDATA%low\gxix4a2dre
%LOCALAPPDATA%low\exuieaoeii
%LOCALAPPDATA%low\3solbph71y
%LOCALAPPDATA%low\x3cf3ednhm
%LOCALAPPDATA%low\rqf69azbla
%LOCALAPPDATA%low\rywtiizs2t
%LOCALAPPDATA%low\1xvpfvjcrg
%LOCALAPPDATA%low\machineinfo.txt
%LOCALAPPDATA%low\sqlite3.dll

Подменяет следующие файлы

%LOCALAPPDATA%low\pf2qc1gg7yh8hi1o\ih7oe4ur9pw5zj0o.zip

Самоудаляется.

Сетевая активность

Подключается к

'si####salabim.top':443
'a.###ganfor.ru':443
'80.##.245.80':80
'17#.#0.40.83':81
'sk#.#huua.ru':443
'94.##3.94.198':3214
'ap#.ip.sb':443
'18#.#93.88.150':80
'10############6831-service1002012510022020.space':80
'3x##.oradza.ru':443
'wh###.iana.org':43
'WH###.RIPE.NET':43

TCP

Запросы HTTP GET

http://10############6831-service1002012510022020.space/raccon.exe

Запросы HTTP POST

http://10###########lder1002002131-service1002.space/
http://10##########older33417-01242510022020.space/
http://17#.#0.40.83:81/ via 17#.#0.40.83
http://94.###.94.198:3214/ via 94.##3.94.198
http://10############6831-service1002012510022020.space/

'te##te.in':443

'si####salabim.top':443

'a.###ganfor.ru':443

'ap#.ip.sb':443

'wh###.iana.org':43

'WH###.RIPE.NET':43

UDP

DNS ASK 10###########lder1002002131-service1002.space
DNS ASK 10###########lder1002002231-service1002.space
DNS ASK 10##########older3100231-service1002.space
DNS ASK 10###########lder1002002431-service1002.space
DNS ASK 10###########lder1002002531-service1002.space
DNS ASK 10##########older33417-01242510022020.space
DNS ASK 10############5831-service1002012510022020.space
DNS ASK 10############6831-service1002012510022020.space
DNS ASK te##te.in
DNS ASK si####salabim.top
DNS ASK a.###ganfor.ru
DNS ASK sk#.#huua.ru
DNS ASK ap#.ip.sb
DNS ASK 3x##.oradza.ru
DNS ASK wh###.iana.org
DNS ASK WH###.RIPE.NET

Другое

Создает и запускает на исполнение

'%TEMP%\e39a.tmp.exe'
'%TEMP%\f1ed.tmp.exe'
'%TEMP%\677.tmp.exe'
'%TEMP%\2ed0.tmp.exe'
'%TEMP%\625e.tmp.exe'
'%TEMP%\712e.tmp.exe'
'%TEMP%\83c5.tmp.exe'
'%TEMP%\8d77.tmp.exe'
'%APPDATA%\edgecp\microsoftedgecps.exe'
'%APPDATA%\edgecp\microsoftedgecps.exe' ' (со скрытым окном)
'%WINDIR%\syswow64\wbem\wmic.exe' /Node:localhost /Namespace:\\root\SecurityCenter2 path AntiVirusProduct get DisplayName /FORMAT:List' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\explorer.exe'
'%WINDIR%\explorer.exe'
'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
'%WINDIR%\syswow64\wbem\wmic.exe' /Node:localhost /Namespace:\\root\SecurityCenter2 path AntiVirusProduct get DisplayName /FORMAT:List