Technical Information
To ensure autorun and distribution:
Creates or modifies the following files:
- %WINDIR%\Tasks\Tempo Runner cozahost.job
- %WINDIR%\Tasks\Tempo Runner coz32host.job
Creates the following services:
- [<HKLM>\SYSTEM\ControlSet001\Services\cozwhost] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\cozhost] 'Start' = '00000002'
Malicious functions:
To bypass firewall, removes or modifies the following registry keys:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe' = '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe:*:Enabled:zoomify'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List] '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe' = '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe:*:Enabled:zoomify'
Creates and executes the following:
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozwhost.exe' Data\zoomify2\110~1.27\cozwhost.exe -scm
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\coz32host.exe'
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozahost.exe'
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe' /dgad="%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozahost.exe"
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe' Data\zoomify2\110~1.27\cozhost.exe /ts2=1
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe' /Firstime=1
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe' /dgad="%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\coz32host.exe"
- '%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozwhost.exe'
Executes the following:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\regsvr32.exe' /s "%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify64.dll"
- '<SYSTEM32>\regsvr32.exe' /s "%ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify32.dll"
Terminates or attempts to terminate
the following user processes:
- iexplore.exe
Modifies file system :
Creates the following files:
- <LS_APPDATA>\zoomify\content\dgapi.js
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\content\jquery4toolbar.js
- <LS_APPDATA>\zoomify\content\dgmain.js
- <LS_APPDATA>\zoomify\content\dgmain_app_cs.js
- <LS_APPDATA>\zoomify\content\dgmain_app_bg.js
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\content\dgapi.js
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify64.dll
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\content\dgmain.js
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\content\dgmain_app_cs.js
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\content\dgmain_app_bg.js
- <LS_APPDATA>\zoomify\content\cache\73f82623658278cf03c2acf12426f916_expire
- <LS_APPDATA>\zoomify\content\cache\73f82623658278cf03c2acf12426f916
- <LS_APPDATA>\zoomify\content\cache\73f82623658278cf03c2acf12426f916_gb
- %TEMP%\1194.tmp
- %WINDIR%\shost.bin
- <LS_APPDATA>\zoomify\content\TrayIcons\logo.ico
- <LS_APPDATA>\zoomify\content\jquery4toolbar.js
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CACDQNGT.html
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAC9MZ41.html
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CA50UXHR.php
- %TEMP%\nsl3.tmp\UserInfo.dll
- %TEMP%\nsl3.tmp\nsisos.dll
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\utils.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozhost.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\logo.ico
- %TEMP%\nsl3.tmp\StdUtils.dll
- %TEMP%\nsv2.tmp
- %TEMP%\nsl3.tmp\InstallerUtils.dll
- %TEMP%\zoomify_installer_{7E5DFA17-9F85-45BD-A3D3-F7B643F61946-2014_12_02}_1417525263.txt
- %TEMP%\nsl3.tmp\nsislog.dll
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozwhost.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomifyL32.dll
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\Uninstaller.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify32.dll
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify.xpi
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\coz32host.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\cozahost.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\coz64host.exe
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomifyL64.dll
- %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomifyutil32.dll
Deletes the following files:
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- <SYSTEM32>\PerfStringBackup.TMP
- C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CA50UXHR.php
- %WINDIR%\Tasks\Tempo Runner coz32host.job
- %WINDIR%\Tasks\Tempo Runner cozahost.job
Moves the following files:
- from <LS_APPDATA>\zoomify\content\dgapi.js to <LS_APPDATA>\zoomify\content\dgapi.js
- from %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify.xpi to %ALLUSERSPROFILE%\Application Data\zoomify2\1.1.0.27\zoomify.xpi
Network activity:
Connects to:
- 's1#####12.xcodelib.net':80
- 'localhost':1050
- 's.###delib.net':80
- 'localhost':1052
- 's3.##epaws.com':80
- 'localhost':1043
- 'ws.##odelib.net':80
- 'localhost':1045
- 'ws#####012.xcoderep.net':80
TCP:
HTTP GET requests:
- ws#####012.xcoderep.net/nr/20141202/10080012/v1.1.0.27/report.html?ty#########################################################################################################################################################################################################################################################################################################################
- ws.##odelib.net/agrep/bho/update.php?ty###########################################################################################################################################################################################################################################################################################################################
- s1#####12.xcodelib.net/amm/apps/119/10080012/loader.js?x=########################
- ws.##odelib.net/agrep/bho/report.php?ty##########################################################################################################################################################################
- s.###delib.net/updates/ff/apps/119/version.txt
- ws#####012.xcoderep.net/nr/20141202/10080012/v1.1.0.27/report.html?ty####################################################################################################################################################################
- ws.##odelib.net/agrep/bho/report.php?ty###########################################################################################################################################################################
- ws#####012.xcoderep.net/nr/20141202/10080012/v1.1.0.27/report.html?ty################################################################################################################################################################################################################################################################################################
- ws#####012.xcoderep.net/nr/20141202/10080012/v1.1.0.27/report.html?ty##############################################################################################################################################################################################################################################################################################
- s3.##epaws.com/client-cmd/cr.html?ty#######################################################################################################################################################################################################################################################################
UDP:
- DNS ASK s1#####12.xcodelib.net
- DNS ASK s.###delib.net
- DNS ASK s3.##epaws.com
- DNS ASK ws.##odelib.net
- DNS ASK ws#####012.xcoderep.net
Miscellaneous:
Searches for the following windows:
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'TopFramWnd_zmf' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: '' WindowName: 'LocalMessageWindow_zoomify32'
- ClassName: 'Shell_TrayWnd' WindowName: ''
