Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'lav' = '%PROGRAM_FILES%\lav.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\lav.exe'
- '%TEMP%\RarSFX0\rinst.exe'
Устанавливает процедуры перхвата сообщений
о нажатии клавиш клавиатуры:
- Библиотека-обработчик для всех процессов: %PROGRAM_FILES%\lavhk.dll
Завершает или пытается завершить
следующие пользовательские процессы:
- mpftray.exe
- NAVAPW32.EXE
- fsav32.exe
- GUARD.EXE
- ZONEALARM.EXE
- ntvdm.exe
- outpost.exe
- zapro.exe
- fsav.exe
- AVP.EXE
- AVP32.EXE
- AVGCC32.EXE
- AVGCTRL.EXE
- AVSYNMGR.EXE
- bdss.exe
- AVPCC.EXE
- AVPM.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\dt\2014-06-11_17-17-29-365593
- %PROGRAM_FILES%\dt\2014-06-11_17-17-31-367703
- %PROGRAM_FILES%\dt\2014-06-11_17-17-33-369625
- %PROGRAM_FILES%\dt\2014-06-11_17-17-23-359718
- %PROGRAM_FILES%\dt\2014-06-11_17-17-25-361734
- %PROGRAM_FILES%\dt\2014-06-11_17-17-27-363750
- %PROGRAM_FILES%\dt\2014-06-11_17-17-35-371734
- %PROGRAM_FILES%\dt\2014-06-11_17-17-43-379656
- %PROGRAM_FILES%\dt\2014-06-11_17-17-45-381578
- %PROGRAM_FILES%\dt\2014-06-11_17-17-47-383593
- %PROGRAM_FILES%\dt\2014-06-11_17-17-37-373750
- %PROGRAM_FILES%\dt\2014-06-11_17-17-39-375765
- %PROGRAM_FILES%\dt\2014-06-11_17-17-41-377546
- %PROGRAM_FILES%\dt\2014-06-11_17-17-21-357593
- %PROGRAM_FILES%\dt\2014-06-11_17-17-01-337781
- %PROGRAM_FILES%\dt\2014-06-11_17-17-03-339796
- %PROGRAM_FILES%\dt\2014-06-11_17-17-05-341593
- %PROGRAM_FILES%\dt\2014-06-11_17-16-55-331531
- %PROGRAM_FILES%\dt\2014-06-11_17-16-57-333562
- %PROGRAM_FILES%\dt\2014-06-11_17-16-59-335578
- %PROGRAM_FILES%\dt\2014-06-11_17-17-07-343500
- %PROGRAM_FILES%\dt\2014-06-11_17-17-15-351484
- %PROGRAM_FILES%\dt\2014-06-11_17-17-17-353609
- %PROGRAM_FILES%\dt\2014-06-11_17-17-19-355468
- %PROGRAM_FILES%\dt\2014-06-11_17-17-09-345531
- %PROGRAM_FILES%\dt\2014-06-11_17-17-11-347828
- %PROGRAM_FILES%\dt\2014-06-11_17-17-13-349531
- %PROGRAM_FILES%\dt\2014-06-11_17-18-23-419765
- %PROGRAM_FILES%\dt\2014-06-11_17-18-25-421828
- %PROGRAM_FILES%\dt\2014-06-11_17-18-27-423734
- %PROGRAM_FILES%\dt\2014-06-11_17-18-17-413562
- %PROGRAM_FILES%\dt\2014-06-11_17-18-19-415703
- %PROGRAM_FILES%\dt\2014-06-11_17-18-21-417656
- %PROGRAM_FILES%\dt\2014-06-11_17-18-29-425859
- %PROGRAM_FILES%\dt\2014-06-11_17-18-37-433765
- %PROGRAM_FILES%\dt\2014-06-11_17-18-39-435656
- %PROGRAM_FILES%\dt\2014-06-11_17-18-41-437750
- %PROGRAM_FILES%\dt\2014-06-11_17-18-31-427703
- %PROGRAM_FILES%\dt\2014-06-11_17-18-33-429875
- %PROGRAM_FILES%\dt\2014-06-11_17-18-35-431703
- %PROGRAM_FILES%\dt\2014-06-11_17-18-15-411718
- %PROGRAM_FILES%\dt\2014-06-11_17-17-55-391703
- %PROGRAM_FILES%\dt\2014-06-11_17-17-57-393703
- %PROGRAM_FILES%\dt\2014-06-11_17-17-59-395609
- %PROGRAM_FILES%\dt\2014-06-11_17-17-49-385546
- %PROGRAM_FILES%\dt\2014-06-11_17-17-51-387671
- %PROGRAM_FILES%\dt\2014-06-11_17-17-53-389609
- %PROGRAM_FILES%\dt\2014-06-11_17-18-01-397531
- %PROGRAM_FILES%\dt\2014-06-11_17-18-09-405671
- %PROGRAM_FILES%\dt\2014-06-11_17-18-11-407687
- %PROGRAM_FILES%\dt\2014-06-11_17-18-13-409718
- %PROGRAM_FILES%\dt\2014-06-11_17-18-03-399625
- %PROGRAM_FILES%\dt\2014-06-11_17-18-05-401578
- %PROGRAM_FILES%\dt\2014-06-11_17-18-07-403625
- %PROGRAM_FILES%\dt\2014-06-11_17-16-53-329546
- %PROGRAM_FILES%\dt\2014-06-11_17-15-37-253546
- %PROGRAM_FILES%\dt\2014-06-11_17-15-39-255437
- %PROGRAM_FILES%\dt\2014-06-11_17-15-41-257406
- %PROGRAM_FILES%\dt\2014-06-11_17-15-31-247500
- %PROGRAM_FILES%\dt\2014-06-11_17-15-33-249468
- %PROGRAM_FILES%\dt\2014-06-11_17-15-35-251531
- %PROGRAM_FILES%\dt\2014-06-11_17-15-43-259468
- %PROGRAM_FILES%\dt\2014-06-11_17-15-51-267453
- %PROGRAM_FILES%\dt\2014-06-11_17-15-53-269468
- %PROGRAM_FILES%\dt\2014-06-11_17-15-55-271406
- %PROGRAM_FILES%\dt\2014-06-11_17-15-45-261437
- %PROGRAM_FILES%\dt\2014-06-11_17-15-47-263453
- %PROGRAM_FILES%\dt\2014-06-11_17-15-49-265421
- %PROGRAM_FILES%\dt\2014-06-11_17-15-29-245468
- %TEMP%\RarSFX0\lav.exe
- %TEMP%\RarSFX0\rinst.exe
- %PROGRAM_FILES%\pk.bin
- %TEMP%\RarSFX0\pk.bin
- %TEMP%\RarSFX0\inst.dat
- %TEMP%\RarSFX0\lavhk.dll
- %PROGRAM_FILES%\lav.exe
- %PROGRAM_FILES%\temporary.bmp
- %PROGRAM_FILES%\dt\2014-06-11_17-15-25-241875
- %PROGRAM_FILES%\dt\2014-06-11_17-15-27-243437
- %PROGRAM_FILES%\lavhk.dll
- %PROGRAM_FILES%\inst.dat
- %PROGRAM_FILES%\rinst.exe
- %PROGRAM_FILES%\dt\2014-06-11_17-16-31-307562
- %PROGRAM_FILES%\dt\2014-06-11_17-16-35-311515
- %PROGRAM_FILES%\dt\2014-06-11_17-16-37-313578
- %PROGRAM_FILES%\dt\2014-06-11_17-16-25-301578
- %PROGRAM_FILES%\dt\2014-06-11_17-16-27-303531
- %PROGRAM_FILES%\dt\2014-06-11_17-16-29-305578
- %PROGRAM_FILES%\dt\2014-06-11_17-16-39-315500
- %PROGRAM_FILES%\dt\2014-06-11_17-16-47-323562
- %PROGRAM_FILES%\dt\2014-06-11_17-16-49-325546
- %PROGRAM_FILES%\dt\2014-06-11_17-16-51-327703
- %PROGRAM_FILES%\dt\2014-06-11_17-16-41-317562
- %PROGRAM_FILES%\dt\2014-06-11_17-16-43-319531
- %PROGRAM_FILES%\dt\2014-06-11_17-16-45-321734
- %PROGRAM_FILES%\dt\2014-06-11_17-16-23-299484
- %PROGRAM_FILES%\dt\2014-06-11_17-16-03-279421
- %PROGRAM_FILES%\dt\2014-06-11_17-16-05-281468
- %PROGRAM_FILES%\dt\2014-06-11_17-16-07-283453
- %PROGRAM_FILES%\dt\2014-06-11_17-15-57-273390
- %PROGRAM_FILES%\dt\2014-06-11_17-15-59-275421
- %PROGRAM_FILES%\dt\2014-06-11_17-16-01-277468
- %PROGRAM_FILES%\dt\2014-06-11_17-16-09-285437
- %PROGRAM_FILES%\dt\2014-06-11_17-16-17-293546
- %PROGRAM_FILES%\dt\2014-06-11_17-16-19-295453
- %PROGRAM_FILES%\dt\2014-06-11_17-16-21-297390
- %PROGRAM_FILES%\dt\2014-06-11_17-16-11-287453
- %PROGRAM_FILES%\dt\2014-06-11_17-16-13-289437
- %PROGRAM_FILES%\dt\2014-06-11_17-16-15-291546
Удаляет следующие файлы:
- %TEMP%\RarSFX0\inst.dat
- %TEMP%\RarSFX0\rinst.exe
- %PROGRAM_FILES%\temporary.bmp
- %TEMP%\RarSFX0\pk.bin
- %TEMP%\RarSFX0\lav.exe
- %TEMP%\RarSFX0\lavhk.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\rinst.exe в %PROGRAM_FILES%\lavr.exe
Сетевая активность:
Подключается к:
- 'ma##.gmail.com':25
UDP:
- DNS ASK ma##.gmail.com
- DNS ASK gm##l.com
Другое:
Ищет следующие окна:
- ClassName: 'WordPadClass' WindowName: '(null)'
- ClassName: 'NDDEAgnt' WindowName: 'NetDDE Agent'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: 'PKL Window'
