Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Search] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Search\makecert.exe' -pe -ss my -n "CN=localhost, O=LycleWebSearch, OU=Created by http://www.ly##e.net, E=info@lycle.net" -sky exchange -in Lycle_root_cer -is my -eku 1.3.6.1.5.5.7.3.1 -cy end -a sha1 -m 132 -b 12/07/2013
- '%PROGRAM_FILES%\Search\makecert.exe' -r -ss my -n "CN=Lycle_root_cer, O=LycleWebSearch, OU=Created by http://www.ly##e.net, E=info@lycle.net" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 -b 12/07/2013
- '%PROGRAM_FILES%\Search\WebSearch.exe'
Изменяет следующие настройки браузера Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>;www.joosoft.com'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:8897;https=127.0.0.1:8897;'
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Keys\3405B36AA176F78AD2B9ED0EFC0FD1E71D1840A8
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Certificates\7BA03F7F5862B66492D6B892951080D22FC47C11
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\2934a8f68e1fee9d832935f0df9fa9da_23ef5514-3059-436f-a4a7-4cefaab20eb1
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Keys\492E7057BC2450905BD4227A6CCB89D9B13A49E3
- <SYSTEM32>\config\systemprofile\Application Data\Microsoft\SystemCertificates\My\Certificates\A8C12DB255618FB905D13DCF0D335414CE29B4AC
- %ALLUSERSPROFILE%\Application Data\Microsoft\Crypto\RSA\S-1-5-18\7b90a71bfc56f2582e916a51aed6df9a_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\Search\HtmlAgilityPack.dll
- %PROGRAM_FILES%\Search\WebSearch.exe.config
- %PROGRAM_FILES%\Search\Newtonsoft.Json.dll
- %PROGRAM_FILES%\Search\WebSearch.exe
- %PROGRAM_FILES%\Search\makecert.exe
Сетевая активность:
Подключается к:
- 'www.ly##e.net':443
- 'wp#d':80
- 'localhost':8897
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
UDP:
- DNS ASK www.ly##e.net
- DNS ASK wp#d
Другое:
Добавляет корневой сертификат
