Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'nsbfr' = '"%APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CTFMON.EXE' = '"%APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm.exe" /c <SYSTEM32>\ctfmon.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\zofiphhe] 'ImagePath' = '%APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm.exe /D'
- [<HKLM>\SYSTEM\ControlSet001\Services\zofiphhe] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\ping.exe' -n 6 127.0.0.1
- '%WINDIR%\explorer.exe'
- '%APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm.exe'
- '<SYSTEM32>\cmd.exe' /c ping.exe -n 6 127.0.0.1 & type "%WINDIR%\\System32\\autoconv.exe" > "<Полный путь к файлу>" & del /F /Q "<Полный путь к файлу>"
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\ping.exe
большое количество пользовательских процессов.
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Explorer\IntelliForms\Storage2]
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm32.dll
- %APPDATA%\Microsoft\Lzapnmnmz\clzapnmnm32.dll
- %APPDATA%\Microsoft\Lzapnmnmz\lzapnmn.dll
- %APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm.exe
Удаляет следующие файлы:
- %APPDATA%\Microsoft\Lzapnmnmz\lzapnmnm32.dll
Самоудаляется.
Сетевая активность:
Подключается к:
- '15#.#0.176.98':80
- '81.##.181.212':80
- '69.##5.124.60':21
- '50.##.150.203':21
- '20#.#26.124.173':65300
- '18#.#24.138.240':21
- '12#.#2.171.155':80
- '16#.#5.74.12':80
- '11#.#67.102.148':80
- '18#.#27.67.126':80
- '71.##4.154.112':80
- '92.##9.39.106':80
- '96.##.30.135':80
TCP:
Запросы HTTP GET:
- http://fo###ity.com/show-ip.php via 12#.#2.171.155
- http://bo####.##eedtest.comcast.net/speedtest/random750x750.jpg?x=############## via 71.##4.154.112
- http://ho#####.#peedtest.comcast.net/speedtest/random750x750.jpg?x=############## via 15#.#0.176.98
- http://ja########le.speedtest.comcast.net/speedtest/random750x750.jpg?x=############## via 81.##.181.212
- http://cn#.com/ via 92.##9.39.106
- http://microsoft.com/ via 11#.#67.102.148
- http://google.com/ via 18#.#27.67.126
- http://sa#####.#peedtest.comcast.net/speedtest/random750x750.jpg?x=############# via 96.##.30.135
- http://www.ip###ress.com/ via 16#.#5.74.12
UDP:
- DNS ASK fo###ity.com
- DNS ASK bo####.##eedtest.comcast.net
- DNS ASK ho#####.#peedtest.comcast.net
- DNS ASK ja########le.speedtest.comcast.net
- DNS ASK cn#.com
- DNS ASK microsoft.com
- DNS ASK google.com
- DNS ASK sa#####.#peedtest.comcast.net
- DNS ASK www.ip###ress.com
