PUA.Win32.InstallQ.HD

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Löscht Dateien, so dass Programme und Anwendungen nicht ordnungsgemäß ausgeführt werden.

Übertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Fügt die folgenden Prozesse hinzu:

• "{malware file path and name}" /wrapper /dir="%User Temp%\pkg_a227fb0" /pproc="pythonw.exe"
• "%AppDataLocal%Low\cookieman.exe" /mode=read freeze.com

Erstellt die folgenden Ordner:

• %User Temp%\pkg_a227fb0

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Systemänderungen

Löscht die folgenden Dateien:

• %AppDataLocal%Low\cookie.dat
• %AppDataLocal%Low\cookie.ini

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %User Temp%\pkg_a227fb0\wrapper.xml
• %User Temp%\pkg_a227fb0\stub.log
• %User Temp%\pkg_a227fb0\stubinfo.ini
• %User Temp%\pkg_a227fb0\timings.txt
• %User Temp%\pkg_a227fb0\{malware file name}.log
• %User Temp%\pkg_a227fb0\autorun.txt
• %User Temp%\pkg_a227fb0\resource.0000.pkg
• %AppDataLocal%Low\cookieman.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Details

It connects to the following possibly malicious URL:

• http://register.{BLOCKED}e.com/postback/V1/landing.aspx
• http://ww38.{BLOCKED}er.freeze.com/postback/V1/landing.aspx
• http://{BLOCKED}gcrew.net/assets/scripts/js3.js
• http://ww38.{BLOCKED}er.freeze.com/track.php?{random characters}
• http://ww38.{BLOCKED}er.freeze.com/ls.php
• http://ww38.{BLOCKED}er.freeze.com/favicon.ico
• http://{BLOCKED}b.com/?{random characters}
• http://{BLOCKED}b.com/px.js?ch=1
• http://{BLOCKED}b.com/px.js?ch=2
• http://i2.{BLOCKED}age.com/__media__/js/min.js?v2.2
• http://{BLOCKED}b.com/sk-logabpstatus.php?{random characters}
• http://i1.{BLOCKED}age.com/__media__/pics/8624/numArrow.gif
• http://i1.{BLOCKED}age.com/__media__/pics/8624/searchIcon.gif
• http://{BLOCKED}b.com/favicon.ico
• http://go.{BLOCKED}oft.com
• http://api.{BLOCKED}g.com
• http://www.{BLOCKED}g.com
• http://installer.{BLOCKED}e.com
• http://katie.{BLOCKED}n.net
• http://s3-eu-west-1.{BLOCKED}aws.com