Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\Tempo Runner cozahost.job
- %WINDIR%\Tasks\Tempo Runner coz32host.job
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\cozwdhost] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\cozaghost] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' = '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe:*:Enabled:zoompic'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' = '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe:*:Enabled:zoompic'
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe'
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozwdhost.exe' -scm
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe'
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /dgad="%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe"
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /ts2=1
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /Firstime=1
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe' /dgad="%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe"
- '%ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozwdhost.exe'
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\zoompic\content\dgmain.js
- <LS_APPDATA>\zoompic\content\dgapi.js
- <LS_APPDATA>\zoompic\content\dgmain_app_cs.js
- <LS_APPDATA>\zoompic\content\dgmain_app_bg.js
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\jquery4toolbar.js
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgmain.js
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgapi.js
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgmain_app_cs.js
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\content\dgmain_app_bg.js
- <LS_APPDATA>\zoompic\content\jquery4toolbar.js
- <LS_APPDATA>\zoompic\content\cache\73f82623658278cf03c2acf12426f916_gb
- <LS_APPDATA>\zoompic\content\cache\73f82623658278cf03c2acf12426f916_expire
- %TEMP%\1194.tmp
- %WINDIR%\shost.bin
- <LS_APPDATA>\zoompic\content\cache\73f82623658278cf03c2acf12426f916
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CA18G7TP.html
- <LS_APPDATA>\zoompic\content\TrayIcons\logo.ico
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAC9MZMJ.html
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAIJWTMZ.php
- %TEMP%\nsq3.tmp\UserInfo.dll
- %TEMP%\nsq3.tmp\nsisos.dll
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\logo.ico
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\utils.exe
- %TEMP%\zoompic_installer_{E384AE1C-C8F9-491B-B4F8-859FCC118512-2015_01_11}_1420980300.txt
- %TEMP%\nsq3.tmp\StdUtils.dll
- %TEMP%\nsl2.tmp
- %TEMP%\nsq3.tmp\nsislog.dll
- %TEMP%\nsq3.tmp\InstallerUtils.dll
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozaghost.exe
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozwdhost.exe
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoompicL32.dll
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoompic.xpi
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\Uninstaller.exe
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoompicL64.dll
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoompicutil32.dll
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz64host.exe
Удаляет следующие файлы:
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAIJWTMZ.php
- %WINDIR%\Tasks\Tempo Runner cozahost.job
- %WINDIR%\Tasks\Tempo Runner coz32host.job
Перемещает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe в %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\cozahost.exe
- <LS_APPDATA>\zoompic\content\dgapi.js в <LS_APPDATA>\zoompic\content\dgapi.js
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoompic.xpi в %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\zoompic.xpi
- %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe в %ALLUSERSPROFILE%\Application Data\makulitsidwe\1.1.0.29\coz32host.exe
Сетевая активность:
Подключается к:
- 's1#####23.xcodelib.net':80
- 'localhost':1057
- 's.###delib.net':80
- 'localhost':1059
- 'localhost':1050
- 'localhost':1047
- 'ws.##odelib.net':80
- 's3.##epaws.com':80
- 'ws#####023.xcoderep.net':80
TCP:
Запросы HTTP GET:
- s3.##epaws.com/client-cmd/cr.html?ty#################################################################################################################################################################################################################################################################################
- ws.##odelib.net/agrep/bho/update.php?ty############################################################################################################################################################################################################################################################################################
- s3.##epaws.com/client-cmd/cr.html?ty###############################################################################################################################################################################################################################################################################
- s3.##epaws.com/client-cmd/cr.html?ty#############################################################################################################################################################################################################################################################################
- s1#####23.xcodelib.net/amm/apps/119/10080023/loader.js?x=########################
- s.###delib.net/updates/ff/apps/119/version.txt
- ws#####023.xcoderep.net/nr/20150111/10080023/v1.1.0.29/report.html?ty################################################################################################################################################################################################################################################################################
- ws#####023.xcoderep.net/nr/20150111/10080023/v1.1.0.29/report.html?ty###########################################################################################################################################################################################################################################################################################################
- s3.##epaws.com/client-cmd/cr.html?ty################################################################################################################################################################################################################################################################################
- ws.##odelib.net/agrep/bho/report.php?ty####################################################################################################################################################################################
- ws.##odelib.net/agrep/bho/report.php?ty################################################################################################################################################################################
- ws.##odelib.net/agrep/bho/report.php?ty########################################################
- ws.##odelib.net/agrep/bho/report.php?ty##############################################################################################################################################################################
- s3.##epaws.com/client-cmd/cr.html?ty#######################################################################################################################################################################################################################################################################################
- s3.##epaws.com/client-cmd/cr.html?ty############################################################################################################################################################################################################################################################################
- ws#####023.xcoderep.net/nr/20150111/10080023/v1.1.0.29/report.html?ty#####################################################################################################################################################################################
- ws#####023.xcoderep.net/nr/20150111/10080023/v1.1.0.29/report.html?ty############################################################################################################################################################################################################################################################################
UDP:
- DNS ASK s1#####23.xcodelib.net
- DNS ASK s.###delib.net
- DNS ASK s3.##epaws.com
- DNS ASK ws.##odelib.net
- DNS ASK ws#####023.xcoderep.net
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'TopFramWnd_zpc' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: 'MainSystemMessageWindow64'
- ClassName: '' WindowName: 'MainSystemMessageWindow32'
- ClassName: '' WindowName: 'MainSystemMessageWindow_zoompic64'
- ClassName: '' WindowName: 'MainSystemMessageWindow_zoompic32'
