Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %WINDIR%\Tasks\youtubegizm Update Checker.job
- %WINDIR%\Tasks\youtubegizm Runner.job
- %WINDIR%\Tasks\youtubegizm Stats Report.job
- %WINDIR%\Tasks\youtubegizm Chrome Watcher.job
- %WINDIR%\Tasks\youtubegizm FireFox Watcher.job
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' = '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe:*:Enabled:youtubegizm'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' = '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe:*:Enabled:youtubegizm'
Создает и запускает на исполнение:
- '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' /task=0 /InstallOn=7 /closebr=0 /active=24 /update=24 /interval=2880 /pubId=1001 /affId=10010021 /appId=101 /uId={927DF92D-AA01-4C32-B160-D4305569DA2D} /version=3.0.0.0 /Override=false /IEhome=0 /IEsearch=0 /FFhome=0 /FFsearch=0 /CHhome=0 /CHsearch=0 /FFaddon= /CHaddon= /AutoSP= /regAppName=youtubegizm /curSID=S-1-5-21-2052111302-484763869-725345543-1003 /logf=%TEMP%\youtubegizm_installer_{927DF92D-AA01-4C32-B160-D4305569DA2D}_1388170769.txt /chPol=0 /mac=000000000001 /tst=test23
- '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' /task=2 /InstallOn=7 /closebr=0 /active=24 /update=24 /interval=2880 /pubId=1001 /affId=10010021 /appId=101 /uId={927DF92D-AA01-4C32-B160-D4305569DA2D} /version=3.0.0.0 /Override=false /IEhome=0 /IEsearch=0 /FFhome=0 /FFsearch=0 /CHhome=0 /CHsearch=0 /FFaddon= /CHaddon= /AutoSP= /regAppName=youtubegizm /curSID=S-1-5-21-2052111302-484763869-725345543-1003 /logf=%TEMP%\youtubegizm_installer_{927DF92D-AA01-4C32-B160-D4305569DA2D}_1388170769.txt /chPol=0 /mac=000000000001 /tst=test23
- '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' /task=4 /InstallOn=7 /closebr=0 /active=24 /update=24 /interval=2880 /pubId=1001 /affId=10010021 /appId=101 /uId={927DF92D-AA01-4C32-B160-D4305569DA2D} /version=3.0.0.0 /Override=false /IEhome=0 /IEsearch=0 /FFhome=0 /FFsearch=0 /CHhome=0 /CHsearch=0 /FFaddon= /CHaddon= /AutoSP= /regAppName=youtubegizm /curSID=S-1-5-21-2052111302-484763869-725345543-1003 /logf=%TEMP%\youtubegizm_installer_{927DF92D-AA01-4C32-B160-D4305569DA2D}_1388170769.txt /chPol=0 /mac=000000000001 /tst=test23
- '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' /task=1 /InstallOn=7 /closebr=0 /active=24 /update=24 /interval=2880 /pubId=1001 /affId=10010021 /appId=101 /uId={927DF92D-AA01-4C32-B160-D4305569DA2D} /version=3.0.0.0 /Override=false /IEhome=0 /IEsearch=0 /FFhome=0 /FFsearch=0 /CHhome=0 /CHsearch=0 /FFaddon= /CHaddon= /AutoSP= /regAppName=youtubegizm /curSID=S-1-5-21-2052111302-484763869-725345543-1003 /logf=%TEMP%\youtubegizm_installer_{927DF92D-AA01-4C32-B160-D4305569DA2D}_1388170769.txt /chPol=0 /mac=000000000001 /tst=test23
- '%TEMP%\dgrn.exe'
- '%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe' /InstallOn=7 /closebr=0 /active=24 /update=24 /interval=2880 /pubId=1001 /affId=10010021 /appId=101 /uId={927DF92D-AA01-4C32-B160-D4305569DA2D} /version=3.0.0.0 /Override=false /Firstime=1 /IEhome=0 /IEsearch=0 /FFhome=0 /FFsearch=0 /CHhome=0 /CHsearch=0 /FFaddon= /CHaddon= /AutoSP= /regAppName=youtubegizm /curSID=S-1-5-21-2052111302-484763869-725345543-1003 /logf=%TEMP%\youtubegizm_installer_{927DF92D-AA01-4C32-B160-D4305569DA2D}_1388170769.txt /chPol=0 /mac=000000000001 /tst=test23
- '%ALLUSERSPROFILE%\Application Data\youtubegizm\gdzl.exe' x "%ALLUSERSPROFILE%\Application Data\youtubegizm\df-le.xpi" -aoa -o"%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\"
Запускает на исполнение:
- '<SYSTEM32>\regsvr32.exe' /s "%ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm32.dll"
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome.manifest
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\report[1].php
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\bubble.xul
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\bubble.js
- %TEMP%\nsp3.tmp\ExecDos.dll
- <LS_APPDATA>\youtubegizm\content\witapi.js
- <LS_APPDATA>\youtubegizm\content\jquery4toolbar.js
- <LS_APPDATA>\youtubegizm\content\witwidgetapi.js
- <LS_APPDATA>\youtubegizm\content\witmain.js
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\icon.png
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\install.rdf
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\components\handleProtocol.js
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\report[3].php
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\report[2].php
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\witutils.js
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\style.xul
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\jquery4toolbar.js
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\witmain.js
- %APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default\extensions\tb@youtubegizmos.com\chrome\content\witapi.js
- %TEMP%\youtubegizm_installer_{927DF92D-AA01-4C32-B160-D4305569DA2D}_1388170769.txt
- %TEMP%\nsp3.tmp\nsislog.dll
- %TEMP%\nsp3.tmp\UserInfo.dll
- %TEMP%\nsp3.tmp\nsisos.dll
- %TEMP%\nsp3.tmp\System.dll
- %TEMP%\nsv2.tmp
- %TEMP%\dgrn.exe
- %TEMP%\nsp3.tmp\InstallerUtils.dll
- %TEMP%\nsp3.tmp\StdUtils.dll
- %ALLUSERSPROFILE%\Application Data\youtubegizm\utils.exe
- %ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm64.dll
- %ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm32.dll
- %ALLUSERSPROFILE%\Application Data\youtubegizm\gdzl.exe
- %ALLUSERSPROFILE%\Application Data\youtubegizm\Uninstaller.exe
- %ALLUSERSPROFILE%\Application Data\youtubegizm\youtubegizm.exe
- %ALLUSERSPROFILE%\Application Data\youtubegizm\df-le.xpi
- %ALLUSERSPROFILE%\Application Data\youtubegizm\df-ch.crx
- %ALLUSERSPROFILE%\Application Data\youtubegizm\logo.ico
- %ALLUSERSPROFILE%\Application Data\youtubegizm\valuese.xml
Удаляет следующие файлы:
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\report[1].php
Перемещает следующие файлы:
- %ALLUSERSPROFILE%\Application Data\youtubegizm\df-le.xpi в %ALLUSERSPROFILE%\Application Data\youtubegizm\df-le.xpi
- %ALLUSERSPROFILE%\Application Data\youtubegizm\df-ch.crx в %ALLUSERSPROFILE%\Application Data\youtubegizm\df-ch.crx
Сетевая активность:
Подключается к:
- 'ws.##odelib.net':80
TCP:
Запросы HTTP GET:
- ws.##odelib.net/ytlyrics/bho/report.php?ty##########################################################################################################################################################################################################################
- ws.##odelib.net/ytlyrics/bho/report.php?ty#################################################################################################################################
- ws.##odelib.net/ytlyrics/bho/report.php?af#########################################
UDP:
- DNS ASK ws.##odelib.net
Другое:
Ищет следующие окна:
- ClassName: 'MozillaWindowClass' WindowName: '(null)'
- ClassName: 'Chrome_WidgetWin_0' WindowName: '(null)'
