Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\Cpls] 'LavaNet DNA' = '%CommonProgramFiles%\DianJi\LavaNet DNA\lnengn.cpl'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LavaNet DNA' = '"%CommonProgramFiles%\DianJi\LavaNet DNA\DNAAdmin.exe" -S'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\LavaGame_Online_765_DNA553_OEM108_CID437.exe' /S
- '%TEMP%\LavaMe.exe' 6301
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram program = "%CommonProgramFiles%\DianJi\LavaNet DNA\DNAService.exe" name = "LavaNet DNA" mode = ENABLE profile = ALL
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsf5.tmp\lavagame.dsi
- %TEMP%\nsf5.tmp\djcomm.dll
- %TEMP%\nsf5.tmp\dnaSetup.dsi
- %TEMP%\nsf5.tmp\license.rtf
- %TEMP%\nsf5.tmp\NSISdl.dll
- %CommonProgramFiles%\DianJi\LavaNet DNA\llsetup.ini
- %CommonProgramFiles%\DianJi\LavaNet DNA\verinfo.dat
- %CommonProgramFiles%\DianJi\LavaNet DNA\lava.ini
- %TEMP%\djruncon.log
- %TEMP%\nsf5.tmp\ExtractDLLEx.dll
- %TEMP%\nsf5.tmp\licenseDNA.rtf
- %TEMP%\nsa4.tmp
- %TEMP%\LavaMe.exe
- %TEMP%\nsx2.tmp
- %TEMP%\LavaGame_Online_765_DNA553_OEM108_CID437.exe
- %TEMP%\nsf5.tmp\left.bmp
- %TEMP%\nsf5.tmp\io3.ini
- %TEMP%\nsf5.tmp\ad.bmp
- %TEMP%\nsf5.tmp\System.dll
- %TEMP%\djhist.log
Сетевая активность:
Подключается к:
- 'do#####d.lava-lava.com':80
TCP:
Запросы HTTP GET:
- do#####d.lava-lava.com/lgb765.dsi
- do#####d.lava-lava.com/dnas553.dsi
UDP:
- DNS ASK do#####d.lava-lava.com
Другое:
Ищет следующие окна:
- ClassName: 'ApiTreeXmlWindow' WindowName: 'LavaGame - ?????????'
