Trojan.Siggen9.63750

Техническая информация

Для обеспечения автозапуска и распространения

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\KCaseAgent] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\KCaseAgent] 'ImagePath' = '"%ProgramFiles(x86)%\Ksign\KCase\KCaseAgent.exe"'

Создает следующие сервисы

'KCaseAgent' "%ProgramFiles(x86)%\Ksign\KCase\KCaseAgent.exe"
'KCaseAgent' %ProgramFiles(x86)%\Ksign\KCase\KCaseAgent.exe

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /F /IM KCaseAgent.exe
'%WINDIR%\syswow64\net.exe' stop KCaseAgent
'%WINDIR%\syswow64\taskkill.exe' /F /IM Firefox.exe

Завершает или пытается завершить

следующие пользовательские процессы:

firefox.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nspebde.tmp\modern-header.bmp
%ProgramFiles(x86)%\ksign\kcase\cert\certutil.exe
%ProgramFiles(x86)%\ksign\kcase\cert\freebl3.chk
%ProgramFiles(x86)%\ksign\kcase\cert\freebl3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\jss4.dll
%ProgramFiles(x86)%\ksign\kcase\cert\ksign.pfx
%ProgramFiles(x86)%\ksign\kcase\cert\ksign1.pfx
%ProgramFiles(x86)%\ksign\kcase\cert\ksign-rootca.crt
%ProgramFiles(x86)%\ksign\kcase\cert\ksign-rootca1.crt
%ProgramFiles(x86)%\ksign\kcase\cert\nspr4.dll
%ProgramFiles(x86)%\ksign\kcase\cert\libplc4.dll
%ProgramFiles(x86)%\ksign\kcase\cert\libplds4.dll
%ProgramFiles(x86)%\ksign\kcase\cert\nss3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\nssckbi.dll
%ProgramFiles(x86)%\ksign\kcase\cert\smime3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\softokn3.chk
%ProgramFiles(x86)%\ksign\kcase\cert\softokn3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\ssl3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\msvcr71.dll
%ProgramFiles(x86)%\ksign\kcase\cert\nssdbm3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\nssutil3.dll
%ProgramFiles(x86)%\ksign\kcase\cert\sqlite3.dll
%TEMP%\nspebde.tmp\system.dll
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\51e87137b7b7cc51debfaba5c850867d_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
%PROGRAMDATA%\microsoft\crypto\rsa\machinekeys\f1f04252daddd146df3fa9bbaa7728b9_36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee
C:\agentlog.txt
%ProgramFiles(x86)%\ksign\kcase\server.der
%TEMP%\nspebde.tmp\uac.dll
%ProgramFiles(x86)%\ksign\kcase\system.net.json.dll
%ProgramFiles(x86)%\ksign\kcase\libeay32.dll
%TEMP%\nspebde.tmp\nsexec.dll
%ProgramFiles(x86)%\ksign\kcase\installer.exe
%ProgramFiles(x86)%\ksign\kcase\zlib1.dll
%ProgramFiles(x86)%\ksign\kcase\pthreadgc2.dll
%ProgramFiles(x86)%\ksign\kcase\ocsp.conf
%ProgramFiles(x86)%\ksign\kcase\nsldap32v50.dll
%ProgramFiles(x86)%\ksign\kcase\msvcr110.dll
%ProgramFiles(x86)%\ksign\kcase\mfc110u.dll
%ProgramFiles(x86)%\ksign\kcase\mfc110.dll
%ProgramFiles(x86)%\ksign\kcase\libplibc-1.dll
%ProgramFiles(x86)%\ksign\kcase\libintl-8.dll
%ProgramFiles(x86)%\ksign\kcase\libiconv-2.dll
%ProgramFiles(x86)%\ksign\kcase\libgpg-error-0.dll
%ProgramFiles(x86)%\ksign\kcase\libgnutls-28.dll
%ProgramFiles(x86)%\ksign\kcase\libgmp.dll
%ProgramFiles(x86)%\ksign\kcase\libgcrypt-11.dll
%ProgramFiles(x86)%\ksign\kcase\kcaselib.exe
%ProgramFiles(x86)%\ksign\kcase\kcasecrypto.dll
%ProgramFiles(x86)%\ksign\kcase\kcasecommon.dll
%ProgramFiles(x86)%\ksign\kcase\kcasecms.dll
%ProgramFiles(x86)%\ksign\kcase\kcasecert.dll
%ProgramFiles(x86)%\ksign\kcase\kcaseagent.exe
%ProgramFiles(x86)%\ksign\kcase\axkcase.ini
%ProgramFiles(x86)%\ksign\kcase\codesign.dat
%ProgramFiles(x86)%\ksign\kcase\codesign.der
%ProgramFiles(x86)%\ksign\kcase\ssleay32.dll
%ProgramFiles(x86)%\ksign\kcase\uninstall.exe

Другое

Добавляет корневой сертификат

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: 'SysListView32' WindowName: ''
ClassName: '' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\ksign\kcase\kcaseagent.exe' "i"
'%ProgramFiles(x86)%\ksign\kcase\kcaseagent.exe' "s"
'%ProgramFiles(x86)%\ksign\kcase\kcaseagent.exe'
'%ProgramFiles(x86)%\ksign\kcase\cert\certutil.exe' -A -n "KSIGN CO.LTD2" -t "C,," -d "-1" -i "%ProgramFiles(x86)%\Ksign\KCase\cert\ksign-rootca1.crt"
'%ProgramFiles(x86)%\ksign\kcase\cert\certutil.exe' -A -n "KSIGN CO.LTD2" -t "C,," -d "sql:-1" -i "%ProgramFiles(x86)%\Ksign\KCase\cert\ksign-rootca1.crt"
'%WINDIR%\syswow64\taskkill.exe' /F /IM KCaseAgent.exe' (со скрытым окном)
'%WINDIR%\syswow64\net.exe' stop KCaseAgent' (со скрытым окном)
'%ProgramFiles(x86)%\ksign\kcase\kcaseagent.exe' "i"' (со скрытым окном)
'%ProgramFiles(x86)%\ksign\kcase\kcaseagent.exe' "s"' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' failure KCaseAgent actions= restart/5000 reset= INFINITE' (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' failureflag KCaseAgent 1' (со скрытым окном)
'%WINDIR%\syswow64\taskkill.exe' /F /IM Firefox.exe' (со скрытым окном)
'%ProgramFiles(x86)%\ksign\kcase\cert\certutil.exe' -A -n "KSIGN CO.LTD2" -t "C,," -d "-1" -i "%ProgramFiles(x86)%\Ksign\KCase\cert\ksign-rootca1.crt"' (со скрытым окном)
'%ProgramFiles(x86)%\ksign\kcase\cert\certutil.exe' -A -n "KSIGN CO.LTD2" -t "C,," -d "sql:-1" -i "%ProgramFiles(x86)%\Ksign\KCase\cert\ksign-rootca1.crt"' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\net1.exe' stop KCaseAgent
'%WINDIR%\syswow64\sc.exe' failure KCaseAgent actions= restart/5000 reset= INFINITE
'%WINDIR%\syswow64\sc.exe' failureflag KCaseAgent 1