Trojan.Siggen11.27965

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'CGServiSign' = '%ProgramFiles(x86)%\Changingtec\CGServiSign\CGServiSignMonitor.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im CGServiSignWatchDog.exe /F
'%WINDIR%\syswow64\taskkill.exe' /im CGServiSignMonitor.exe /F
'%WINDIR%\syswow64\taskkill.exe' /im ${ServiSignKeeper}.exe /F
'%WINDIR%\syswow64\taskkill.exe' /im CGServiSign.exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsw79f.tmp
%ALLUSERSPROFILE%\cgservisign\cgservisignconfig
%ProgramFiles%\mozilla firefox\defaults\pref\firefox-windows-truststore.js
%ProgramFiles%\mozilla firefox\changingtec.cfg
%ProgramFiles(x86)%\mozilla firefox\defaults\pref\firefox-windows-truststore.js
%ProgramFiles(x86)%\mozilla firefox\changingtec.cfg
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignmonitor.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignrestart.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignstart.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignstop.lnk
%ProgramFiles(x86)%\changingtec\cgservisign\libwinpthread-1.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libp11-kit-0.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libnettle-6.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libidn2-0.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libhogweed-4.dll
%ALLUSERSPROFILE%\cgservisign\cgservisignmainversion
%ProgramFiles(x86)%\changingtec\cgservisign\libgnutls-30.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgcc_s_sjlj-1.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libffi-6.dll
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignuninstall.exe
%TEMP%\nsg916.tmp\litefirewall.dll
%ProgramFiles(x86)%\changingtec\cgservisign\servisignnetwork.exe
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignwatchdog.exe
%ProgramFiles(x86)%\changingtec\cgservisign\servisignworker.exe
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignmonitor.exe
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisign.exe
%TEMP%\nsg916.tmp\killprocdll.dll
%TEMP%\nsg916.tmp\findprocdll.dll
%ProgramFiles(x86)%\changingtec\cgservisign\testputfile
%WINDIR%\pthreadvc1.dll
%TEMP%\nsg916.tmp\system.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgmp-10.dll
%ALLUSERSPROFILE%\cgservisign\tempfile\servisigntemp

Удаляет следующие файлы

%ProgramFiles(x86)%\changingtec\cgservisign\testputfile

Перемещает следующие файлы

%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignuninstall.exe в %ProgramFiles(x86)%\changingtec\cgservisign\cgservisignuninstall.exe

Сетевая активность

Подключается к

'localhost':49173
'localhost':49175
'localhost':49177

Другое

Добавляет корневой сертификат

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'CGServiSignMonitor.exe' WindowName: ''
ClassName: 'CGServiSign.exe' WindowName: ''
ClassName: 'CGServiSignWatchDog.exe' WindowName: ''
ClassName: 'CGMonitor' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignmonitor.exe'
'%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignwatchdog.exe' -watchdog
'%ProgramFiles(x86)%\changingtec\cgservisign\cgservisign.exe' 0

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c importCACertFirefoxV2.bat
'%WINDIR%\syswow64\cmd.exe' /c break>"%ALLUSERSPROFILE%\CGServiSign\CGServiSignMainVersion"
'%WINDIR%\syswow64\cmd.exe' /c rmdir "%ALLUSERSPROFILE%\CGServiSign\Tempfile" /s /q
'%WINDIR%\syswow64\cmd.exe' /c netstat -n -a | find "127.0.0.1" > %ALLUSERSPROFILE%\CGServiSign\Tempfile\ServiSignTemp
'%WINDIR%\syswow64\netstat.exe' -n -a
'%WINDIR%\syswow64\find.exe' "127.0.0.1"