Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'LiberlyCrypt' = '%APPDATA%\LiberlyCrypt.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'LiberlyCleanup' = '%APPDATA%\LiberlyCrypt.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\correct.avi
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\howto-index.html
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\join.avi
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\liberlycrypt.exe
- %HOMEPATH%\desktop\508softwareandos.doc.tmp
- %HOMEPATH%\desktop\alert.html.tmp
- %HOMEPATH%\desktop\calc.exe.tmp
- %HOMEPATH%\desktop\coffee.bmp.tmp
- %HOMEPATH%\desktop\desktop.ini.tmp
- %HOMEPATH%\desktop\dotnetfx45_full_setup.exe.tmp
- %HOMEPATH%\desktop\google chrome.lnk.tmp
- %HOMEPATH%\desktop\telegram.lnk.tmp
- %HOMEPATH%\desktop\wrar520.exe.tmp
- %HOMEPATH%\documents\desktop.ini.tmp
- %HOMEPATH%\pictures\desktop.ini.tmp
- %HOMEPATH%\pictures\camera roll\desktop.ini.tmp
- %HOMEPATH%\music\desktop.ini.tmp
- %HOMEPATH%\videos\desktop.ini.tmp
- %HOMEPATH%\downloads\desktop.ini.tmp
Перемещает следующие файлы
- %HOMEPATH%\desktop\508softwareandos.doc.tmp в %HOMEPATH%\desktop\508softwareandos.doc.pdr
- %HOMEPATH%\desktop\alert.html.tmp в %HOMEPATH%\desktop\alert.html.pdr
- %HOMEPATH%\desktop\calc.exe.tmp в %HOMEPATH%\desktop\calc.exe.pdr
- %HOMEPATH%\desktop\coffee.bmp.tmp в %HOMEPATH%\desktop\coffee.bmp.pdr
- %HOMEPATH%\desktop\desktop.ini.tmp в %HOMEPATH%\desktop\desktop.ini.pdr
- %HOMEPATH%\desktop\dotnetfx45_full_setup.exe.tmp в %HOMEPATH%\desktop\dotnetfx45_full_setup.exe.pdr
- %HOMEPATH%\desktop\google chrome.lnk.tmp в %HOMEPATH%\desktop\google chrome.lnk.pdr
- %HOMEPATH%\desktop\telegram.lnk.tmp в %HOMEPATH%\desktop\telegram.lnk.pdr
- %HOMEPATH%\desktop\wrar520.exe.tmp в %HOMEPATH%\desktop\wrar520.exe.pdr
- %HOMEPATH%\documents\desktop.ini.tmp в %HOMEPATH%\documents\desktop.ini.pdr
- %HOMEPATH%\pictures\desktop.ini.tmp в %HOMEPATH%\pictures\desktop.ini.pdr
- %HOMEPATH%\pictures\camera roll\desktop.ini.tmp в %HOMEPATH%\pictures\camera roll\desktop.ini.pdr
- %HOMEPATH%\music\desktop.ini.tmp в %HOMEPATH%\music\desktop.ini.pdr
- %HOMEPATH%\videos\desktop.ini.tmp в %HOMEPATH%\videos\desktop.ini.pdr
- %HOMEPATH%\downloads\desktop.ini.tmp в %HOMEPATH%\downloads\desktop.ini.pdr
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\explorer\thumbcache_idx.db
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\e2c6cbaf0af08cf203ba74bf0d0ab6d5_eaf5d55d93603a879fa973006301f24f
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\fb0d848f74f70bb2eaa93746d24d9749
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\content\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\b76be66d46c355931939d8cf818d03fd_30070d1e013a39ca7a94f919f7922fdf
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\content\b76be66d46c355931939d8cf818d03fd_30070d1e013a39ca7a94f919f7922fdf
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
Подключается к
- 'ap#.msn.com':443
- 'oneocsp.microsoft.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?a8##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBR0TBEVYklX7A9yLoLD9hqmCWDxFgQU3pGGSLehMVkx8UtfB6nciHnaqHYCEzMAAAAMSWShb0QgOyIAAAAAAAw%3D
Другие
- 'ap#.msn.com':443
UDP
- DNS ASK ap#.msn.com
- DNS ASK oneocsp.microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\liberlycrypt.exe'
Запускает на исполнение
- '%WINDIR%\explorer.exe'
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
