Trojan.Siggen17.61583

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\Software\Classes\com.nexusgroup.plugout\shell\open\command] '' = '"%ProgramFiles(x86)%\Personal\bin\plugout.exe" "%1"'
[<HKLM>\Software\Classes\com.nexusgroup.plugout\shell\open\command] '' = '"%ProgramFiles(x86)%\Personal\bin64\plugout64.exe" "%1"'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nexus\ebb.cer
%ProgramFiles(x86)%\personal\bin64\personal64.dll
%ProgramFiles(x86)%\personal\bin64\personal_md64.dll
%ProgramFiles(x86)%\personal\bin64\minidriver64.dll
%ProgramFiles(x86)%\personal\bin64\lng_svse64.dll
%ProgramFiles(x86)%\personal\bin64\lng_isis64.dll
%ProgramFiles(x86)%\personal\bin64\lng_frfr64.dll
%ProgramFiles(x86)%\personal\bin64\lng_dede64.dll
%ProgramFiles(x86)%\personal\bin64\is\plugout.mo
%ProgramFiles(x86)%\personal\bin64\de\wxstd.mo
%ProgramFiles(x86)%\personal\bin64\personal64.exe
%ProgramFiles(x86)%\personal\bin64\de\plugout.mo
%ProgramFiles(x86)%\personal\bin64\crdstar64.dll
%ProgramFiles(x86)%\personal\bin64\crdsiem64.dll
%ProgramFiles(x86)%\personal\bin64\crdsetec64.dll
%ProgramFiles(x86)%\personal\bin64\crdseccos64.dll
%ProgramFiles(x86)%\personal\bin64\crdschlm64.dll
%ProgramFiles(x86)%\personal\bin64\crdprism64.dll
%ProgramFiles(x86)%\personal\bin64\crdpiv64.dll
%ProgramFiles(x86)%\personal\bin64\crdorga64.dll
%ProgramFiles(x86)%\personal\bin64\crdkeyco64.dll
%ProgramFiles(x86)%\personal\bin64\crdtcos64.dll
%ProgramFiles(x86)%\personal\doc\prs_isis.chm
%WINDIR%\temp\cabf602.tmp
%ProgramFiles(x86)%\personal\bin64\sv\wxstd.mo
%APPDATA%\personal\log\mainapp-2384.log
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\nexus personal security client.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\nexus personal security client\uninstall personal.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\nexus personal security client\help.lnk
%ALLUSERSPROFILE%\microsoft\windows\start menu\programs\nexus personal security client\nexus personal security client.lnk
%WINDIR%\installer\{53fa957a-70bf-4b5f-9ec9-5bc3b7c99b10}\producticon.ico
%ProgramFiles(x86)%\personal\firefox\nexus_personal_pkcs11-1.0.0-an+fx.xpi
%ProgramFiles(x86)%\personal\firefox\nexus_personal_pkcs11.json
%ProgramFiles(x86)%\personal\doc\prs_svse.chm
%ProgramFiles(x86)%\personal\bin64\crdiasecc64.dll
%ProgramFiles(x86)%\personal\doc\prs_nbno.chm
%ProgramFiles(x86)%\personal\doc\prs_frfr.chm
%ProgramFiles(x86)%\personal\doc\prs_fifi.chm
%ProgramFiles(x86)%\personal\doc\prs_fair.chm
%ProgramFiles(x86)%\personal\doc\prs_dede.chm
%ProgramFiles(x86)%\personal\doc\prs_dadk.chm
%ProgramFiles(x86)%\personal\doc\prs_cscz.chm
%ProgramFiles(x86)%\personal\doc\personal.chm
%ProgramFiles(x86)%\personal\config\personal.cfg
%ProgramFiles(x86)%\personal\config\id2ppa.cfg
%ProgramFiles(x86)%\personal\bin64\plugout64.exe
%ProgramFiles(x86)%\personal\bin64\sv\plugout.mo
%ProgramFiles(x86)%\personal\bin64\crdgpk64.dll
%ProgramFiles(x86)%\personal\bin\crdseccos.dll
%ProgramFiles(x86)%\personal\bin\crdpiv.dll
%ProgramFiles(x86)%\personal\bin\crdorga.dll
%ProgramFiles(x86)%\personal\bin\crdkeyco.dll
%ProgramFiles(x86)%\personal\bin\crdiasecc.dll
%ProgramFiles(x86)%\personal\bin\crdgpk.dll
%ProgramFiles(x86)%\personal\bin\crdgemcl.dll
%ProgramFiles(x86)%\personal\bin\crdchari.dll
%TEMP%\nexus\nexus.bat
%TEMP%\nexus\personal-5.8.0_i386.msi
%ProgramFiles(x86)%\personal\bin\crdprism.dll
%TEMP%\nexus\personal-5.8.0_amd64.msi
%TEMP%\nexus\nexus.lnk
%TEMP%\nexus\halcombgrootca.cer
%TEMP%\nexus\halcombgcaserver.cer
%TEMP%\nexus\halcombgcaple-signature.cer
%TEMP%\nexus\halcombgcafle-signature.cer
%TEMP%\nexus\halcombgcae-bank.cer
%TEMP%\nexus\gempcccid_en-us_64.msi
%TEMP%\nexus\gempcccid_en-us_32.msi
%TEMP%\nexus\ebbbeogradca3.cer
%TEMP%\nexus\nexus.vbs
%ProgramFiles(x86)%\personal\bin\lng_isis.dll
%ProgramFiles(x86)%\personal\bin64\crdchari64.dll
%ProgramFiles(x86)%\personal\bin\crdsetec.dll
%ProgramFiles(x86)%\personal\bin\win7instfix.inf
%ProgramFiles(x86)%\personal\bin\win7instfix.cat
%ProgramFiles(x86)%\personal\bin\sv\wxstd.mo
%ProgramFiles(x86)%\personal\bin\sv\plugout.mo
%ProgramFiles(x86)%\personal\bin\plugout.exe
%ProgramFiles(x86)%\personal\bin\personal_md.dll
%ProgramFiles(x86)%\personal\bin\personal.exe
%ProgramFiles(x86)%\personal\bin\personal.dll
%ProgramFiles(x86)%\personal\bin\minidriver.dll
%ProgramFiles(x86)%\personal\bin64\crdgemcl64.dll
%ProgramFiles(x86)%\personal\bin\lng_svse.dll
%ProgramFiles(x86)%\personal\bin\lng_frfr.dll
%ProgramFiles(x86)%\personal\bin\lng_dede.dll
%ProgramFiles(x86)%\personal\bin\is\plugout.mo
%ProgramFiles(x86)%\personal\bin\id2ppa.dll
%ProgramFiles(x86)%\personal\bin\de\wxstd.mo
%ProgramFiles(x86)%\personal\bin\de\plugout.mo
%ProgramFiles(x86)%\personal\bin\crdtcos.dll
%ProgramFiles(x86)%\personal\bin\crdstar.dll
%ProgramFiles(x86)%\personal\bin\crdsiem.dll
%ProgramFiles(x86)%\personal\bin\crdschlm.dll
%WINDIR%\temp\tarf603.tmp

Удаляет следующие файлы

%WINDIR%\temp\cabf602.tmp
%WINDIR%\temp\tarf603.tmp

Сетевая активность

Подключается к

'microsoft.com':80
'ne###.halcom.com':443

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

Другие

'ne###.halcom.com':443

UDP

DNS ASK microsoft.com
DNS ASK ne###.halcom.com

Другое

Добавляет корневой сертификат

Ищет следующие окна

ClassName: 'EDIT' WindowName: ''

Создает и запускает на исполнение

'%WINDIR%\syswow64\wscript.exe' "%TEMP%\Nexus\Nexus.vbs"
'%ProgramFiles(x86)%\personal\bin64\personal64.exe'
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Nexus\Nexus.bat" "' (со скрытым окном)
'%ProgramFiles(x86)%\personal\bin64\personal64.exe' ' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Nexus\Nexus.bat" "
'%WINDIR%\syswow64\certutil.exe' -addstore "Root" HalcomBGRootCA.cer
'%WINDIR%\syswow64\certutil.exe' -addstore "Root" EBB.cer
'%WINDIR%\syswow64\certutil.exe' -addstore "Root" EBBBeogradCA3.cer
'%WINDIR%\syswow64\certutil.exe' -addstore "Root" HalcomBGCAe-bank.cer
'%WINDIR%\syswow64\certutil.exe' -addstore "Root" HalcomBGCAserver.cer
'%WINDIR%\syswow64\certutil.exe' -addstore "CA" HalcomBGCAFLe-signature.cer
'%WINDIR%\syswow64\certutil.exe' -addstore "CA" HalcomBGCAPLe-signature.cer
'%WINDIR%\syswow64\reg.exe' Query "HKLM\Hardware\Description\System\CentralProcessor\0"
'%WINDIR%\syswow64\find.exe' /i "x86"
'%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\Nexus\personal-5.8.0_amd64.msi"
'%WINDIR%\syswow64\msiexec.exe' /i %TEMP%\Nexus\\GemPcCCID_en-us_64.msi /qn /norestart