Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command] '' = '"<LS_APPDATA>\lfm.exe" -a "%PROGRAM_FILES%\Internet Explorer\iexplore.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '312528522' = '<LS_APPDATA>\lfm.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ctfmon.exe' = '<SYSTEM32>\ctfmon.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- <LS_APPDATA>\lfm.exe -gav <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\8ov84ss3882e1vq305o72722tliac4840
- %HOMEPATH%\Templates\8ov84ss3882e1vq305o72722tliac4840
- %ALLUSERSPROFILE%\Application Data\8ov84ss3882e1vq305o72722tliac4840
- <LS_APPDATA>\lfm.exe
- <LS_APPDATA>\8ov84ss3882e1vq305o72722tliac4840
Самоудаляется.
Сетевая активность:
Подключается к:
- 've####neloqyta.com':80
- 'bu###ebalu.com':80
- 'vy####jamobu.com':80
- 'ho###ameg.com':80
- 'gu###ebus.com':80
- 'la###ezafeq.com':80
- 'vi###epidy.com':80
- 'li####sumaca.com':80
- 'ku###akurol.com':80
- 'ca####gurewipu.com':80
- 'ce###ihum.com':80
- 'gi###yjedud.com':80
UDP:
- DNS ASK je####pyqohy.com
- DNS ASK ca####qakaha.com
- DNS ASK lu###iduw.com
- DNS ASK mo####zyrosive.com
- DNS ASK xi###imir.com
- DNS ASK po###ahid.com
- DNS ASK mo####bomisa.com
- DNS ASK to###exyli.com
- DNS ASK wi####vorimic.com
- DNS ASK ji####cilelum.com
- DNS ASK microsoft.com
- DNS ASK di###asyl.com
- DNS ASK ki###ybuw.com
- DNS ASK ne###unetet.com
- DNS ASK ke####cacylofi.com
- DNS ASK fu###yryti.com
- DNS ASK ce###ihum.com
- DNS ASK ca####gurewipu.com
- DNS ASK vy####jamobu.com
- DNS ASK gi###yjedud.com
- DNS ASK ku###akurol.com
- DNS ASK li####sumaca.com
- DNS ASK vi###epidy.com
- DNS ASK bu###ebalu.com
- DNS ASK de####kyqepe.com
- DNS ASK ku####dolujyno.com
- DNS ASK la####wexedemu.com
- DNS ASK ho###ameg.com
- DNS ASK ve####neloqyta.com
- DNS ASK la###ezafeq.com
- DNS ASK gu###ebus.com
- '<IP-адрес в локальной сети>':1049
- '<IP-адрес в локальной сети>':1058
- '<IP-адрес в локальной сети>':1047
- '<IP-адрес в локальной сети>':1057
- '<IP-адрес в локальной сети>':1050
- '<IP-адрес в локальной сети>':1053
- '<IP-адрес в локальной сети>':1046
- '<IP-адрес в локальной сети>':1045
- '<IP-адрес в локальной сети>':1056
- '<IP-адрес в локальной сети>':1063
- '<IP-адрес в локальной сети>':1044
- '<IP-адрес в локальной сети>':1059
- '<IP-адрес в локальной сети>':1062
- '<IP-адрес в локальной сети>':1061
- '<IP-адрес в локальной сети>':1060
- '<IP-адрес в локальной сети>':1034
- '<IP-адрес в локальной сети>':1038
- '<IP-адрес в локальной сети>':1039
- '<IP-адрес в локальной сети>':1043
- '<IP-адрес в локальной сети>':1042
- '<IP-адрес в локальной сети>':1035
- '<IP-адрес в локальной сети>':1037
- '<IP-адрес в локальной сети>':1036
- '<IP-адрес в локальной сети>':1054
- '<IP-адрес в локальной сети>':1051
- '<IP-адрес в локальной сети>':1055
- '<IP-адрес в локальной сети>':1052
- '<IP-адрес в локальной сети>':1041
- '<IP-адрес в локальной сети>':1040
- '<IP-адрес в локальной сети>':1048
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'msascui_class' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
