Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ZOOKPluginServer.exe' = '"c:\helpdesk\ZOOKPluginServer.exe" -controlservice -slave'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\dfmirage] 'Start' = '00000001'
- [<HKLM>\SYSTEM\ControlSet001\Services\ZOOKPluginServer] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] 'C:\helpdesk\ZOOKPluginServer.exe' = 'C:\helpdesk\ZOOKPluginServer.exe:*:Enabled:ZOOKPlugin Server for Windows'
Создает и запускает на исполнение:
- 'C:\helpdesk\ZOOKPluginServer.exe' -start
- 'C:\helpdesk\ZOOKPluginServer.exe' -install
- 'C:\helpdesk\ZOOKPluginServer.exe' -controlservice -slave
- 'C:\helpdesk\ZOOKPluginServer.exe' -service
- '%APPDATA%\Mastersoft\Mirage Driver\ZOOKDriverSetup.exe' install
- 'C:\helpdesk\ZOOKPluginLauncher.exe' port 5405 service -silent
- 'C:\helpdesk\TInstallZrc.exe'
- '%TEMP%\IXP000.TMP\ZOOKDriverSetup.exe'
- 'C:\helpdesk\InstallDriver.exe'
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"
- '<SYSTEM32>\runonce.exe' -r
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: c:\helpdesk\screenhooks.dll
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\IXP000.TMP\ZOOKDriverSetup64.exe
- %TEMP%\IXP000.TMP\ZOOKDriverSetup.exe
- %APPDATA%\Mastersoft\Mirage Driver\dfmirage.sys
- %APPDATA%\Mastersoft\Mirage Driver\dfmirage.dll
- %TEMP%\IXP000.TMP\dfmirage64.sys
- %TEMP%\IXP000.TMP\dfmirage64.cat
- %TEMP%\IXP000.TMP\dfmirage7.sys
- %TEMP%\IXP000.TMP\dfmirage64.inf
- %TEMP%\IXP000.TMP\dfmirage64.dll
- %WINDIR%\inf\oem3.PNF
- %WINDIR%\inf\oem3.inf
- <SYSTEM32>\SET4.tmp
- <DRIVERS>\SET3.tmp
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %APPDATA%\Mastersoft\Mirage Driver\dfmirage.inf
- %APPDATA%\Mastersoft\Mirage Driver\dfmirage.cat
- %ALLUSERSPROFILE%\Application Data\Mastersoft\ZOOK\ZOOKPluginStart.ini
- %APPDATA%\Mastersoft\Mirage Driver\ZOOKDriverSetup.exe
- %TEMP%\IXP000.TMP\dfmirage7.inf
- C:\helpdesk\InstallDriver.exe
- C:\helpdesk\GdiPlus.dll
- C:\helpdesk\screenhooks.dll
- C:\helpdesk\MyUtil.dll
- C:\helpdesk\DelRc.exe
- C:\helpdesk\ZOOKPluginServer.exe
- C:\helpdesk\ZOOKPluginLauncher.exe
- C:\helpdesk\ZOOKSendSAS.exe
- C:\helpdesk\ZOOKPluginSetting.bin
- %TEMP%\IXP000.TMP\dfmirage.sys
- %TEMP%\IXP000.TMP\dfmirage.inf
- %TEMP%\IXP000.TMP\dfmirage7.dll
- %TEMP%\IXP000.TMP\dfmirage7.cat
- %TEMP%\IXP000.TMP\dfmirage.dll
- C:\helpdesk\TInstallZrc.ini
- C:\helpdesk\TInstallZrc.exe
- %TEMP%\IXP000.TMP\dfmirage.cat
- %ALLUSERSPROFILE%\Application Data\Mastersoft\ZOOK\ZOOKPluginData.bin
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
Удаляет следующие файлы:
- %TEMP%\IXP000.TMP\dfmirage7.dll
- %TEMP%\IXP000.TMP\dfmirage7.cat
- %TEMP%\IXP000.TMP\dfmirage64.sys
- %TEMP%\IXP000.TMP\ZOOKDriverSetup.exe
- %TEMP%\IXP000.TMP\dfmirage7.sys
- %TEMP%\IXP000.TMP\dfmirage7.inf
- %TEMP%\IXP000.TMP\dfmirage64.inf
- %TEMP%\IXP000.TMP\dfmirage.inf
- %TEMP%\IXP000.TMP\dfmirage.dll
- %TEMP%\IXP000.TMP\dfmirage.cat
- %TEMP%\IXP000.TMP\dfmirage64.dll
- %TEMP%\IXP000.TMP\dfmirage64.cat
- %TEMP%\IXP000.TMP\dfmirage.sys
Перемещает следующие файлы:
- <SYSTEM32>\SET4.tmp в <SYSTEM32>\dfmirage.dll
- <DRIVERS>\SET3.tmp в <DRIVERS>\dfmirage.sys
Другое:
Ищет следующие окна:
- ClassName: 'ZOOKMulti' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
