Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\Tempo Runner lyricsgizmL32.job
- %WINDIR%\Tasks\Tempo Runner lyricsgizmD32.job
- %WINDIR%\Tasks\Tempo Runner wlyricsgizmd.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\wlyricsgizmd] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\lyricsgizm] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe' = '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe:*:Enabled:lyricsgizm'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe' = '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe:*:Enabled:lyricsgizm'
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\wlyricsgizmd.exe'
- '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe' Data\lyricsgizm2\110~1.21\lyricsgizm.exe /dgad="%ALLUSERSPROFILE%\Application Data\lyricsgizm2\110~1.21\lyricsgizmL32.exe"
- '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\wlyricsgizmd.exe' -scm
- '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe' /Firstime=1
- '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe' /ts2=1
- '%ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe' Data\lyricsgizm2\110~1.21\lyricsgizm.exe /dgad="%ALLUSERSPROFILE%\Application Data\lyricsgizm2\110~1.21\lyricsgizmD32.exe"
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\content\jquery4toolbar.js
- <LS_APPDATA>\lyricsgizm\content\dgapi.js
- <LS_APPDATA>\lyricsgizm\content\dgmain_app_bg.js
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\content\dgmain_app_cs.js
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\Uninstaller.exe
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\content\dgapi.js
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\content\dgmain_app_bg.js
- <LS_APPDATA>\lyricsgizm\content\dgmain_app_cs.js
- <LS_APPDATA>\lyricsgizm\content\cache\73f82623658278cf03c2acf12426f916
- <LS_APPDATA>\lyricsgizm\content\cache\73f82623658278cf03c2acf12426f916_expire
- <LS_APPDATA>\lyricsgizm\content\cache\73f82623658278cf03c2acf12426f916_gb
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAOL85O7.html
- <LS_APPDATA>\lyricsgizm\content\jquery4toolbar.js
- <LS_APPDATA>\lyricsgizm\content\TrayIcons\logo.ico
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAZGTF95.php
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\wlyricsgizmd.exe
- %TEMP%\lyricsgizm_installer_{D92F3099-1643-4D64-983A-1D2D30E65DD9-2014_10_02}_1412237824.txt
- %TEMP%\nsm3.tmp\nsisos.dll
- %TEMP%\nsm3.tmp\UserInfo.dll
- %TEMP%\nsm3.tmp\nsislog.dll
- %TEMP%\nsh2.tmp
- %TEMP%\nsm3.tmp\StdUtils.dll
- %TEMP%\nsm3.tmp\InstallerUtils.dll
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\logo.ico
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizmutil32.dll
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizmL64.dll
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizmL32.dll
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizmL64.exe
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizm.exe
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizmD32.exe
- %ALLUSERSPROFILE%\Application Data\lyricsgizm2\1.1.0.21\lyricsgizmL32.exe
Удаляет следующие файлы:
- %TEMP%\nsm3.tmp\UserInfo.dll
- %TEMP%\nsm3.tmp\StdUtils.dll
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAZGTF95.php
- %WINDIR%\Tasks\Tempo Runner lyricsgizmL32.job
- %TEMP%\nsm3.tmp\nsisos.dll
- %WINDIR%\Tasks\Tempo Runner lyricsgizmD32.job
- %WINDIR%\Tasks\Tempo Runner wlyricsgizmd.job
- %TEMP%\nsm3.tmp\nsislog.dll
- %TEMP%\nsm3.tmp\InstallerUtils.dll
Перемещает следующие файлы:
- <LS_APPDATA>\lyricsgizm\content\dgapi.js в <LS_APPDATA>\lyricsgizm\content\dgapi.js
Сетевая активность:
Подключается к:
- 'localhost':1045
- 'localhost':1050
- 's1#####00.xcodelib.net':80
- 'ws.##odelib.net':80
- 'localhost':1043
- 'ws.##oderep.net':80
TCP:
Запросы HTTP GET:
- ws.##oderep.net/nr/20141002/10004000/v1.1.0.21/report.html?ty#########################################################################################################################################################################################################################################################################################################################
- ws.##odelib.net/agrep/bho/update.php?ty###########################################################################################################################################################################################################################################################################################################################
- s1#####00.xcodelib.net/amm/apps/109/10004000/loader.js?x=########################
- ws.##odelib.net/agrep/bho/report.php?ty#################################################################################################################################################################
- ws.##oderep.net/nr/20141002/10004000/v1.1.0.21/report.html?ty####################################################################################################################################################################
- ws.##odelib.net/agrep/bho/report.php?ty##################################################################################################################################################################
- ws.##oderep.net/nr/20141002/10004000/v1.1.0.21/report.html?ty##############################################################################################################################################################################################################################################################################################
- ws.##oderep.net/nr/20141002/10004000/v1.1.0.21/report.html?ty################################################################################################################################################################################################################################################################################################
UDP:
- DNS ASK s1#####00.xcodelib.net
- DNS ASK ws.##oderep.net
- DNS ASK ws.##odelib.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'TopFramWnd_ytg' WindowName: ''
- ClassName: '' WindowName: 'LocalMessageWindow_lyricsgizm.exe32'
- ClassName: '' WindowName: 'LocalMessageWindow_APPNAME__LAST.exe32'
- ClassName: 'Shell_TrayWnd' WindowName: ''
