Adware.Ezula.5089

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'ZoneAlarm Installer' = '"%PROGRAM_FILES%\CheckPoint\Install\Launcher.exe" "%PROGRAM_FILES%\CheckPoint\Install\Install.exe" /r /c "%PROGRAM_FILES%\CheckPoint\Install\Install.xml" /w'

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\BITS] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Install.exe' /w

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\vistalib64.dll
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\vistalib32.dll
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\vsdrinst.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg1.png
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\vsdrinst64.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Uninst.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\IT\License.html
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\IT\Install.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\IT\License.txt
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Legacy.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Launcher.exe
%HOMEPATH%\Desktop\Resume ZoneAlarm Security Install.lnk
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg5.png
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg6.png
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg8.png
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg7.png
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg4.png
%PROGRAM_FILES%\CheckPoint\Install\Install.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg2.png
%PROGRAM_FILES%\CheckPoint\Install\Install.exe
%PROGRAM_FILES%\CheckPoint\Install\Launcher.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\instimg3.png
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\DE\License.txt
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\DE\License.html
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\EN\Install.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\EN\License.txt
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\EN\License.html
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\DE\Install.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\AvBasesCheck.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Install.log
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Clean_tool.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\CUninstallerZA.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Clean_tool64.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\FR\License.html
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\FR\Install.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\FR\License.txt
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\Install.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\handlecmsg.exe
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\FeatureRiskwareScan.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\ES\License.html
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\ES\Install.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\ES\License.txt
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\FeatureExpertMode.xml
%TEMP%\{907A1104-E812-4b5c-959B-E4DAB37A96AB}\FeatureBehavioralScan.xml

Сетевая активность:

Подключается к:

'wp#d':80
'localhost':1043
'do#####d.zonealarm.com':80
'et#.##nealarm.com':80

TCP:

Запросы HTTP GET:

et#.##nealarm.com/V1?TW####################################################################################################################################################################################################################################################################################################################################################################################################################################################################
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg07_en.png
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg06_en.png
wp#d/wpad.dat
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg08_en.png
et#.##nealarm.com/V1?TW##############################################################################################################################################################################################################################################################################################################################################################################################################################################################################
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg03_en.png
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg02_en.png
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg01_en.png
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg05_en.png
do#####d.zonealarm.com/bin/free/downloads/v10_2_beta/images/za/instimg04_en.png
et#.##nealarm.com/V1?TW########################################################################################################################################################################################################################################################################################################################################################################################################################################################