Для корректной работы нашего сайта необходимо включить поддержку JavaScript в вашем браузере.
Trojan.DownLoader11.61680
Добавлен в вирусную базу Dr.Web:
2015-01-01
Описание добавлено:
2015-01-01
Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
%WINDIR%\Tasks\Tempo Runner cozahost.job
%WINDIR%\Tasks\Tempo Runner coz32host.job
Создает следующие сервисы:
[<HKLM>\SYSTEM\ControlSet001\Services\cozwdhost] 'Start' = '00000002'
[<HKLM>\SYSTEM\ControlSet001\Services\cozaghost] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' = '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe:*:Enabled:zoomify'
[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' = '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe:*:Enabled:zoomify'
Создает и запускает на исполнение:
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /dgad="%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe"
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozwdhost.exe' -scm
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe'
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe'
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /ts2=1
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /Firstime=1
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /dgad="%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe"
'%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozwdhost.exe'
Запускает на исполнение:
'<SYSTEM32>\wbem\wmiadap.exe' /R /T
Завершает или пытается завершить
следующие пользовательские процессы:
Изменения в файловой системе:
Создает следующие файлы:
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgmain_app_cs.js
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgmain_app_bg.js
<LS_APPDATA>\zoomify\content\dgapi.js
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\jquery4toolbar.js
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoomify.xpi
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\Uninstaller.exe
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgmain.js
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgapi.js
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CATKCF55.html
<LS_APPDATA>\zoomify\content\TrayIcons\logo.ico
%WINDIR%\shost.bin
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CADGYP13.php
<LS_APPDATA>\zoomify\content\dgmain_app_bg.js
<LS_APPDATA>\zoomify\content\dgmain.js
<LS_APPDATA>\zoomify\content\jquery4toolbar.js
<LS_APPDATA>\zoomify\content\dgmain_app_cs.js
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozwdhost.exe
%TEMP%\nsj3.tmp\nsisos.dll
%TEMP%\zoomify_installer_{D94448B6-082E-4625-839F-31DE517F38CD-2015_01_01}_1420131001.txt
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\utils.exe
%TEMP%\nsj3.tmp\UserInfo.dll
%TEMP%\nsj3.tmp\StdUtils.dll
%TEMP%\nso2.tmp
%TEMP%\nsj3.tmp\nsislog.dll
%TEMP%\nsj3.tmp\InstallerUtils.dll
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoomifyutil32.dll
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz64host.exe
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoomifyL32.dll
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoomifyL64.dll
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\logo.ico
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe
Удаляет следующие файлы:
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CADGYP13.php
<SYSTEM32>\PerfStringBackup.TMP
<SYSTEM32>\wbem\Performance\WmiApRpl.ini
%WINDIR%\Tasks\Tempo Runner coz32host.job
%WINDIR%\Tasks\Tempo Runner cozahost.job
Перемещает следующие файлы:
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe в %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe
<LS_APPDATA>\zoomify\content\dgapi.js в <LS_APPDATA>\zoomify\content\dgapi.js
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoomify.xpi в %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoomify.xpi
%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe в %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe
Сетевая активность:
Подключается к:
's3.##epaws.com':80
'localhost':1052
'localhost':1058
'ws.##odelib.net':80
'localhost':1047
'ws#####021.xcoderep.net':80
TCP:
Запросы HTTP GET:
s3.##epaws.com/client-cmd/cr.html?ty############################################################################################################################################################################################################################################################################################################
s3.##epaws.com/client-cmd/cr.html?ty################################################################################################################################################################################################################################################################################################################
s3.##epaws.com/client-cmd/cr.html?ty###########################################################################################################################################################################################################################################################################################################
ws.##odelib.net/agrep/bho/update.php?ty###########################################################################################################################################################################################################################################################################################################################
s3.##epaws.com/client-cmd/cr.html?ty###############################################################################################################################################################################################################################################################################################################
ws#####021.xcoderep.net/nr/20150101/10080021/v1.1.0.29/report.html?ty###############################################################################################################################################################################################################################################################################################################
s3.##epaws.com/client-cmd/cr.html?ty######################################################################################################################################################################################################################################################################################################################
ws.##odelib.net/agrep/bho/report.php?ty####################################################################################################################################################################################
ws.##odelib.net/agrep/bho/report.php?ty##############################################################################################################################################################################
ws.##odelib.net/agrep/bho/report.php?ty########################################################
ws#####021.xcoderep.net/nr/20150101/10080021/v1.1.0.29/report.html?ty###########################################################################################################################################################################################################################################################################################################
ws#####021.xcoderep.net/nr/20150101/10080021/v1.1.0.29/report.html?ty#####################################################################################################################################################################################
ws.##odelib.net/agrep/bho/report.php?ty################################################################################################################################################################################
UDP:
DNS ASK s1#####21.xcodelib.net
DNS ASK s.###delib.net
DNS ASK s3.##epaws.com
DNS ASK ws.##odelib.net
DNS ASK ws#####021.xcoderep.net
Другое:
Ищет следующие окна:
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'Shell_TrayWnd' WindowName: ''
ClassName: 'TopFramWnd_zmf' WindowName: ''
ClassName: 'MS_WebcheckMonitor' WindowName: ''
ClassName: '' WindowName: 'MainSystemMessageWindow64'
ClassName: '' WindowName: 'MainSystemMessageWindow32'
ClassName: '' WindowName: 'MainSystemMessageWindow_zoomify64'
ClassName: '' WindowName: 'MainSystemMessageWindow_zoomify32'
Рекомендации по лечению
Windows
macOS
Linux
Android
В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.
Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store .
Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light . Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
выключите устройство и включите его в обычном режиме.
Подробнее о Dr.Web для Android
Демо бесплатно на 14 дней
Выдаётся при установке
Поздравляем!
Обменяйте их на скидку до 50% на покупку Dr.Web.
Получить скидку
Скачайте Dr.Web для Android
Бесплатно на 3 месяца
Все компоненты защиты
Продление демо через AppGallery/Google Pay
Если Вы продолжите использование данного сайта, это означает, что Вы даете согласие на использование нами Cookie-файлов и иных технологий по сбору статистических сведений о посетителях. Подробнее
OK