PUA.Win32.InstallIQ.AO

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\pkg_{Random}\stub.log → Deleted afterwards
• %User Temp%\pkg_{Random}\wrapper.xml → Deleted afterwards
• %User Temp%\pkg_{Random}\autorun.txt → Deleted afterwards
• %User Temp%\pkg_{Random}\timings.txt → Deleted afterwards
• %User Temp%\pkg_{Random}\{Malware File Name}.log → Deleted afterwards
• %User Temp%\pkg_{Random}\stubinfo.ini → Deleted afterwards
• %User Temp%\pkg_{Random}\detectionrules.dat → Deleted afterwards
• %AppDataLocalLow%\cookieman.exe → Deleted afterwards
• %User Temp%\cookies.sqlite → Deleted afterwards
• %User Temp%\cookies → Deleted afterwards
• %Cookies%\{User Name}@installiq[1].txt

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Fügt die folgenden Prozesse hinzu:

•  {Malware File Path}\{Malware File Name}.exe" /wrapper /dir="%User Temp%\pkg_{Random}" /pproc="{Parent Process Name}"

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Erstellt die folgenden Ordner:

• %User Temp%\pkg_{Random}

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Dateien:

• %AppDataLocalLow%\cookie.ini

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Freeze.com\
Installer
test = 1

Löscht die folgenden Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SOFTWARE\Freeze.com

HKEY_LOCAL_MACHINE\SOFTWARE\Freeze.com\
Installer

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Andere Details

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Freeze.com

HKEY_LOCAL_MACHINE\SOFTWARE\Freeze.com\
Installer

Es macht Folgendes:

• It connects to the following website to send and receive information:
  • http://dl.{BLOCKED}liq.com/api/detectionrequest.aspx?keyid=1&shortname=applianflv_upgrade&langid={Language ID}
  • http://dl.{BLOCKED}liq.com/postback/V1/landing.aspx
• It shows the following upon execution:
  
• It shows another window with a warning message to configure the user's firewall or antivirus and to ensure that internet connection of the machine:
  
  
  If installation is cancelled, it will show the following image:
  
• It opens the following website through browser:
  • http://{BLOCKED}smiles.com/