Trojan.Siggen11.48344

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'CGServiSign' = '%ProgramFiles(x86)%\Changingtec\CGServiSign\CGServiSignMonitor.exe'

Вредоносные функции

Запускает на исполнение

'%WINDIR%\syswow64\taskkill.exe' /im CGServiSignMonitor.exe /F
'%WINDIR%\syswow64\taskkill.exe' /im ${ServiSignKeeper}.exe /F
'%WINDIR%\syswow64\taskkill.exe' /im CGServiSign.exe /F

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nscfad3.tmp
%WINDIR%\firefoxlib\certutil.exe
%WINDIR%\firefoxlib\freebl3.dll
%WINDIR%\firefoxlib\libnspr4.dll
%WINDIR%\firefoxlib\libplc4.dll
%WINDIR%\firefoxlib\libplds4.dll
%WINDIR%\firefoxlib\nss3.dll
%WINDIR%\firefoxlib\nssdbm3.dll
%WINDIR%\firefoxlib\nssutil3.dll
%WINDIR%\firefoxlib\smime3.dll
%WINDIR%\firefoxlib\softokn3.dll
%WINDIR%\firefoxlib\sqlite3.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgmp-10.dll
%WINDIR%\firefoxlib\msvcr100.dll
%ALLUSERSPROFILE%\cgservisign\cgservisignconfig
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\cert9.db-journal
%TEMP%\etilqs_vzdzxjmnlk6bg8ilfa78
%TEMP%\etilqs_ore6l0cqyvkgga0ivjip
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\cert9.db
%TEMP%\etilqs_h8hrxyxaglojpzvcpgno
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\key4.db-journal
%TEMP%\etilqs_9cxcbkf7xncjvcphbtoj
%TEMP%\etilqs_dhhvs7rvt1h91fgetysa
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\key4.db
%TEMP%\etilqs_ncz7zvkzkhedx2mrtylt
%WINDIR%\firefoxlib\servisignca_ec.crt
%WINDIR%\firefoxlib\servisignca_rsa.crt
%WINDIR%\importcacertfirefoxv2.bat
%ProgramFiles%\mozilla firefox\defaults\pref\firefox-windows-truststore.js
%ProgramFiles%\mozilla firefox\changingtec.cfg
%WINDIR%\pthreadvc1.dll
%ProgramFiles(x86)%\changingtec\cgservisign\testputfile
%TEMP%\nshfcc7.tmp\findprocdll.dll
%TEMP%\nshfcc7.tmp\killprocdll.dll
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisign.exe
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignmonitor.exe
%ProgramFiles(x86)%\changingtec\cgservisign\servisignworker.exe
%ProgramFiles(x86)%\changingtec\cgservisign\servisignnetwork.exe
%TEMP%\nshfcc7.tmp\litefirewall.dll
%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignuninstall.exe
%ProgramFiles(x86)%\changingtec\cgservisign\libffi-6.dll
%ALLUSERSPROFILE%\cgservisign\cgservisignmainversion
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\pkcs11.txt
%ProgramFiles(x86)%\changingtec\cgservisign\libgcc_s_sjlj-1.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libhogweed-4.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libidn2-0.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libnettle-6.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libp11-kit-0.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libwinpthread-1.dll
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignstop.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignstart.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignrestart.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\changingtec\cgservisign\cgservisignmonitor.lnk
%ProgramFiles(x86)%\mozilla firefox\changingtec.cfg
%ProgramFiles(x86)%\mozilla firefox\defaults\pref\firefox-windows-truststore.js
%TEMP%\nshfcc7.tmp\system.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgnutls-30.dll
%ALLUSERSPROFILE%\cgservisign\tempfile\servisigntemp

Присваивает атрибут 'скрытый' для следующих файлов

%ProgramFiles(x86)%\changingtec\cgservisign\libffi-6.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgcc_s_sjlj-1.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgmp-10.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libgnutls-30.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libhogweed-4.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libidn2-0.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libnettle-6.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libp11-kit-0.dll
%ProgramFiles(x86)%\changingtec\cgservisign\libwinpthread-1.dll
%ProgramFiles(x86)%\changingtec\cgservisign\servisignworker.exe
%ProgramFiles(x86)%\changingtec\cgservisign\servisignnetwork.exe

Удаляет следующие файлы

%ProgramFiles(x86)%\changingtec\cgservisign\testputfile
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\pkcs11.txt
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\cert9.db-journal
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\key4.db-journal

Перемещает следующие файлы

%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignuninstall.exe в %ProgramFiles(x86)%\changingtec\cgservisign\cgservisignuninstall.exe

Подменяет следующие файлы

%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\pkcs11.txt
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\cert9.db-journal
%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\key4.db-journal

Сетевая активность

Подключается к

'localhost':49173
'localhost':49175
'localhost':49177

Другое

Добавляет корневой сертификат

Ищет следующие окна

ClassName: '#32770' WindowName: ''
ClassName: '' WindowName: ''
ClassName: 'CGServiSignMonitor.exe' WindowName: ''
ClassName: 'CGServiSign.exe' WindowName: ''
ClassName: 'CGMonitor' WindowName: ''

Создает и запускает на исполнение

'%ProgramFiles(x86)%\changingtec\cgservisign\cgservisignmonitor.exe'
'%WINDIR%\firefoxlib\certutil.exe' -L -d "%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default"
'%WINDIR%\firefoxlib\certutil.exe' -A -n "15250" -t "CT,C,C" -i %WINDIR%\FirefoxLib\ServiSignCA_EC.crt -d "%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default"
'%WINDIR%\firefoxlib\certutil.exe' -A -n "18978" -t "CT,C,C" -i %WINDIR%\FirefoxLib\ServiSignCA_EC.crt -d sql:"%APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default"
'%ProgramFiles(x86)%\changingtec\cgservisign\cgservisign.exe' 0

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c importCACertFirefoxV2.bat
'%WINDIR%\syswow64\cmd.exe' /c DIR "C:\Users" /A:D /B
'%WINDIR%\syswow64\cmd.exe' /c DIR "%APPDATA%\mozilla\firefox\profiles" /A:D /B
'%WINDIR%\syswow64\cmd.exe' /c DIR "%WINDIR%\FireFoxLib\*EC.crt" /B
'%WINDIR%\syswow64\cmd.exe' /c break>"%ALLUSERSPROFILE%\CGServiSign\CGServiSignMainVersion"
'%WINDIR%\syswow64\cmd.exe' /c rmdir "%ALLUSERSPROFILE%\CGServiSign\Tempfile" /s /q
'%WINDIR%\syswow64\cmd.exe' /c netstat -n -a | find "127.0.0.1" > %ALLUSERSPROFILE%\CGServiSign\Tempfile\ServiSignTemp
'%WINDIR%\syswow64\netstat.exe' -n -a
'%WINDIR%\syswow64\find.exe' "127.0.0.1"