Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Search] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Search\makecert.exe' -pe -ss my -n "CN=localhost, O=LycleWebSearch, OU=Created by http://www.ly##e.net, E=info@lycle.net" -sky exchange -in Lycle_root_cer -is my -eku 1.3.6.1.5.5.7.3.1 -cy end -a sha1 -m 132 -b 11/24/2013
- '%PROGRAM_FILES%\Search\makecert.exe' -r -ss my -n "CN=Lycle_root_cer, O=LycleWebSearch, OU=Created by http://www.ly##e.net, E=info@lycle.net" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 -b 11/24/2013
- '%PROGRAM_FILES%\Search\WebSearch.exe'
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>;www.joosoft.com'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8897;https=127.0.0.1:8897;'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Keys\C132127222B041F84D94003966E811CA5F30357D
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Certificates\92BCAE25849CB05592D1E46B993D45A49B020398
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\1df63a6b0dfa50389a2a85298b5c1676_23ef5514-3059-436f-a4a7-4cefaab20eb1
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Keys\4B0B1D764AF37320C6AC90E74940F7021D9ABEF7
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Certificates\6AF343292B0ACA60DD7BA6509369D9B622B6BE9C
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\7b90a71bfc56f2582e916a51aed6df9a_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\Search\HtmlAgilityPack.dll
- %PROGRAM_FILES%\Search\WebSearch.exe.config
- %PROGRAM_FILES%\Search\Newtonsoft.Json.dll
- %PROGRAM_FILES%\Search\WebSearch.exe
- %PROGRAM_FILES%\Search\makecert.exe
Сетевая активность:
Подключается к:
- 'www.ly##e.net':443
- 'wp#d':80
- 'localhost':8897
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
UDP:
- DNS ASK www.ly##e.net
- DNS ASK wp#d
Другое:
Добавляет корневой сертификат
