PUA.Win32.Installbrain.AK

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\{Random}\{Random}
• %User Temp%\{Random}\gui\ajax-loader.gif
• %User Temp%\{Random}\gui\ajax-loader2.gif
• %User Temp%\{Random}\gui\ib\arrow.gif
• %User Temp%\{Random}\gui\ib\b-bg.gif
• %User Temp%\{Random}\gui\ib\b3.gif
• %User Temp%\{Random}\gui\ib\b4.gif
• %User Temp%\{Random}\gui\ib\lbg-bottom.gif
• %User Temp%\{Random}\gui\ib\lbg-top.gif
• %User Temp%\{Random}\gui\ib\lbg.gif
• %User Temp%\{Random}\gui\ib\trust.gif
• %User Temp%\{Random}\gui\ib\center2.jpg
• %User Temp%\{Random}\gui\check.jpg
• %User Temp%\{Random}\gui\ib\mid.jpg
• %User Temp%\{Random}\gui\pb-bg-left.jpg
• %User Temp%\{Random}\gui\pb-bg-right.jpg
• %User Temp%\{Random}\gui\pb-bg.jpg
• %User Temp%\{Random}\gui\red-pb-act-left.jpg
• %User Temp%\{Random}\gui\red-pb-act-right.jpg
• %User Temp%\{Random}\gui\red-pb-act.jpg
• %User Temp%\{Random}\gui\ib\arrow.png
• %User Temp%\{Random}\gui\ib\btn.png
• %User Temp%\{Random}\gui\ib\btn2.png
• %User Temp%\{Random}\gui\ib\corn1.png
• %User Temp%\{Random}\gui\ib\corn2.png
• %User Temp%\{Random}\gui\ib\corn3.png
• %User Temp%\{Random}\gui\ib\corn4.png
• %User Temp%\{Random}\gui\page_3979_attr_3.png
• %User Temp%\{Random}\gui\page_3980_attr_3.png
• %User Temp%\{Random}\gui\page_3980_feature_.png
• %User Temp%\{Random}\gui\page_3981_attr_3.png
• %User Temp%\{Random}\gui\page_3982_attr_3.png
• %User Temp%\{Random}\gui\page_3982_feature_835.png
• %User Temp%\{Random}\gui\page_3984_attr_3.png
• %User Temp%\{Random}\gui\page_3985_attr_3.png
• %User Temp%\{Random}\gui\page_3986_attr_3.png
• %User Temp%\{Random}\gui\page_3987_attr_3.png
• %User Temp%\{Random}\gui\page_3988_attr_3.png
• %User Temp%\{Random}\gui\page_3989_attr_3.png
• %User Temp%\{Random}\gui\page_4074_attr_3.png
• %User Temp%\{Random}\gui\template_40.png
• %User Temp%\{Random}\gui\page_3979_attr_46.bmp
• %User Temp%\{Random}\gui\page_3980_attr_46.bmp
• %User Temp%\{Random}\gui\page_3981_attr_46.bmp
• %User Temp%\{Random}\gui\page_3982_attr_46.bmp
• %User Temp%\{Random}\gui\page_3984_attr_46.bmp
• %User Temp%\{Random}\gui\page_3985_attr_46.bmp
• %User Temp%\{Random}\gui\page_3986_attr_46.bmp
• %User Temp%\{Random}\gui\page_3987_attr_46.bmp
• %User Temp%\{Random}\gui\page_3988_attr_46.bmp
• %User Temp%\{Random}\gui\page_3989_attr_46.bmp
• %User Temp%\{Random}\gui\page_4074_attr_46.bmp
• %User Temp%\{Random}\gui\speedanalysis.ico
• %User Temp%\{Random}\wizard.xml
• %User Temp%\{Random}\gui\3979.html
• %User Temp%\{Random}\gui\3980.html
• %User Temp%\{Random}\gui\3981.html
• %User Temp%\{Random}\gui\3982.html
• %User Temp%\{Random}\gui\3984.html
• %User Temp%\{Random}\gui\3985.html
• %User Temp%\{Random}\gui\3986.html
• %User Temp%\{Random}\gui\3987.html
• %User Temp%\{Random}\gui\3988.html
• %User Temp%\{Random}\gui\3989.html
• %User Temp%\{Random}\gui\4074.html
• %User Temp%\{Random}\gui\ib\main - копия.css
• %User Temp%\{Random}\gui\ib\main.css
• %User Temp%\{Random}\gui\conditions\conditions.js
• %User Temp%\{Random}\gui\js\config.js
• %User Temp%\{Random}\gui\events\events.js
• %User Temp%\{Random}\gui\js\jquery-1.7.min.js
• %User Temp%\{Random}\gui\js\jquery.noselect.min.js
• %User Temp%\{Random}\gui\js\smart.js
• %User Temp%\{Random}\gui\js\utils.js
• %User Temp%\{Random}\app_6055.part
• %User Temp%\{Random}\app_3873.part
• %User Temp%\{Random}\intallLog
• %User Temp%\{Random}\SearchProtectInstaller
• %User Temp%\{Random}\ZulaGamesSetup
• %User Temp%\{Random}\app_{Random}.part
• %User Temp%\{Random}\app_{Random}.decrpt
• %User Temp%\{Random}\PCPerformerSetup
• %User Temp%\{Random}\SpeedanAlysisSetup
• %User Temp%\{Random}\unZIPExpressSetup
• %User Temp%\UnZipExpress{Random}.exe
• %User Temp%\{Random}.bat

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

• cmd /c %User Temp%\{Random}.bat

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://api.{BLOCKED}o.com/events
• http://inststats-1582571262.us-east-1.elb.{BLOCKED}aws.com/service/stats.php?sv=1

Es macht Folgendes:

• It sends the following information during installation:
  • Time and Date Installed
  • Component ID
  • Session ID
  • Language
  • GCLID
  • Country
• It deletes all created files and folders after execution
• Displays the following during installation: