Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'TCCBServiSign' = '"%ProgramFiles(x86)%\TCCB\ServiSign\TCCBServiSignKeeper.exe" -keep'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im TCCBServiSignMonitor.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im TCCBServiSignKeeper.exe /F
- '%WINDIR%\syswow64\taskkill.exe' /im TCCBServiSign.exe /F
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsr867e.tmp
- %WINDIR%\firefoxlib\certutil.exe
- %WINDIR%\firefoxlib\freebl3.dll
- %WINDIR%\firefoxlib\libnspr4.dll
- %WINDIR%\firefoxlib\libplc4.dll
- %WINDIR%\firefoxlib\libplds4.dll
- %WINDIR%\firefoxlib\nss3.dll
- %WINDIR%\firefoxlib\nssdbm3.dll
- %WINDIR%\firefoxlib\nssutil3.dll
- %WINDIR%\firefoxlib\smime3.dll
- %WINDIR%\firefoxlib\softokn3.dll
- %WINDIR%\firefoxlib\sqlite3.dll
- %WINDIR%\firefoxlib\msvcr100.dll
- %WINDIR%\firefoxlib\servisignca_ec.crt
- %WINDIR%\firefoxlib\servisignca_rsa.crt
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\secmod.db
- %ALLUSERSPROFILE%\tccbservisign\tccbservisignversion.txt
- %ALLUSERSPROFILE%\tccbservisign\tempfile\servisignipc-qe246aft.dll
- %WINDIR%\syswow64\cgbarocp11.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbcgbhoatlsvi.dll
- %ALLUSERSPROFILE%\tccbservisign\tempfile\servisigntemp
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbcgbhoatlsviadapter.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbwebatmsvi.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbwebatmsviadapter.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbxmlp11atlsvi.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbxmlp11atlsviadapter.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbservisignadaptersetupuninstall.exe
- %ALLUSERSPROFILE%\tccbservisign\tccbservisignadaptersetupversion.txt
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\cert8.db
- %APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release\key3.db
- %WINDIR%\importcacertfirefoxv2.bat
- %ProgramFiles%\mozilla firefox\defaults\pref\firefox-windows-truststore.js
- %ProgramFiles(x86)%\mozilla firefox\defaults\pref\firefox-windows-truststore.js
- %TEMP%\nsr8853.tmp\findprocdll.dll
- %ProgramFiles(x86)%\tccb\servisign\tccbservisigninstall.exe
- %TEMP%\nsh8e7a.tmp
- %TEMP%\nsw8e8a.tmp\system.dll
- %WINDIR%\pthreadvc1.dll
- %ProgramFiles(x86)%\tccb\servisign\testputfile
- %TEMP%\nsw8e8a.tmp\findprocdll.dll
- %TEMP%\nsw8e8a.tmp\killprocdll.dll
- %ProgramFiles(x86)%\tccb\servisign\tccbservisign.exe
- %ProgramFiles(x86)%\tccb\servisign\tccbservisignmonitor.exe
- %ProgramFiles(x86)%\tccb\servisign\servisignworker.exe
- %ProgramFiles(x86)%\tccb\servisign\tccbservisignkeeper.exe
- %ProgramFiles(x86)%\tccb\servisign\tccbservisignuninstall.exe
- %TEMP%\nsr8853.tmp\system.dll
- %ProgramFiles(x86)%\tccb\servisign\libffi-6.dll
- %ProgramFiles(x86)%\tccb\servisign\libgmp-10.dll
- %ProgramFiles(x86)%\tccb\servisign\libgnutls-30.dll
- %ProgramFiles(x86)%\tccb\servisign\libhogweed-4.dll
- %ProgramFiles(x86)%\tccb\servisign\libidn2-0.dll
- %ProgramFiles(x86)%\tccb\servisign\libnettle-6.dll
- %ProgramFiles(x86)%\tccb\servisign\libp11-kit-0.dll
- %ProgramFiles(x86)%\tccb\servisign\libwinpthread-1.dll
- %ProgramFiles(x86)%\tccb\servisign\nanomsg.dll
- %ProgramFiles(x86)%\tccb\servisign\servisignipc.dll
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tccb\servisign\tccbservisignstop.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tccb\servisign\tccbservisignstart.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tccb\servisign\tccbservisignrestart.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\tccb\servisign\tccbservisignmonitor.lnk
- %ProgramFiles(x86)%\tccb\servisign\libgcc_s_sjlj-1.dll
- %ALLUSERSPROFILE%\tccbservisign\tccbservisignadaptersetupdisplayname.txt
- %TEMP%\nsr8853.tmp\accesscontrol.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\tccb\servisign\libffi-6.dll
- %ProgramFiles(x86)%\tccb\servisign\libgcc_s_sjlj-1.dll
- %ProgramFiles(x86)%\tccb\servisign\libgmp-10.dll
- %ProgramFiles(x86)%\tccb\servisign\libgnutls-30.dll
- %ProgramFiles(x86)%\tccb\servisign\libhogweed-4.dll
- %ProgramFiles(x86)%\tccb\servisign\libidn2-0.dll
- %ProgramFiles(x86)%\tccb\servisign\libnettle-6.dll
- %ProgramFiles(x86)%\tccb\servisign\libp11-kit-0.dll
- %ProgramFiles(x86)%\tccb\servisign\libwinpthread-1.dll
- %ProgramFiles(x86)%\tccb\servisign\nanomsg.dll
- %ProgramFiles(x86)%\tccb\servisign\servisignipc.dll
- %ProgramFiles(x86)%\tccb\servisign\servisignworker.exe
Удаляет следующие файлы
- %ProgramFiles(x86)%\tccb\servisign\testputfile
- %TEMP%\nsw8e8a.tmp\findprocdll.dll
- %TEMP%\nsw8e8a.tmp\killprocdll.dll
- %TEMP%\nsw8e8a.tmp\system.dll
- %ProgramFiles(x86)%\tccb\servisign\tccbservisigninstall.exe
Перемещает следующие файлы
- %ProgramFiles(x86)%\tccb\servisign\tccbservisignuninstall.exe в %ProgramFiles(x86)%\tccb\servisign\tccbservisignuninstall.exe
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbcgbhoatlsvi.dll в %ProgramFiles(x86)%\tccb\servisign\tccb\tccbcgbhoatlsvi_1.0.18.0115.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbwebatmsvi.dll в %ProgramFiles(x86)%\tccb\servisign\tccb\tccbwebatmsvi_1.0.18.0115.dll
- %ProgramFiles(x86)%\tccb\servisign\tccb\tccbxmlp11atlsvi.dll в %ProgramFiles(x86)%\tccb\servisign\tccb\tccbxmlp11atlsvi_1.0.18.0115.dll
Сетевая активность
Подключается к
- 'localhost':5907
- 'localhost':49180
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'TCCBServiSignMonitor.exe' WindowName: ''
- ClassName: 'TCCBServiSignKeeper.exe' WindowName: ''
- ClassName: 'TCCBServiSign.exe' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\tccb\servisign\tccbservisigninstall.exe' /S
- '%ProgramFiles(x86)%\tccb\servisign\tccbservisignkeeper.exe' -keep
- '%ProgramFiles(x86)%\tccb\servisign\tccbservisignmonitor.exe'
- '%WINDIR%\firefoxlib\certutil.exe' -N -d "%APPDATA%\mozilla\firefox\profiles\apc2n9d1.default-release"
- '%ProgramFiles(x86)%\tccb\servisign\tccbservisign.exe' 0
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c importCACertFirefoxV2.bat
- '%WINDIR%\syswow64\cmd.exe' /c DIR "C:\Users" /A:D /B
- '%WINDIR%\syswow64\cmd.exe' /c DIR "%APPDATA%\mozilla\firefox\profiles" /A:D /B
- '%WINDIR%\syswow64\cmd.exe' /c break>"%ALLUSERSPROFILE%\TCCBServiSign\TCCBServiSignVersion.txt"
- '%WINDIR%\syswow64\cmd.exe' /c rmdir "%ALLUSERSPROFILE%\TCCBServiSign\Tempfile" /s /q
- '%WINDIR%\syswow64\cmd.exe' /c netstat -n -a | find "127.0.0.1" > %ALLUSERSPROFILE%\TCCBServiSign\Tempfile\ServiSignTemp
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\TCCB\ServiSign\TCCB\TCCBCGBHOATLSVI_1.0.18.0115.dll"
- '%WINDIR%\syswow64\netstat.exe' -n -a
- '%WINDIR%\syswow64\find.exe' "127.0.0.1"
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%ProgramFiles(x86)%\tccb\servisi...
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\TCCB\ServiSign\TCCB\TCCBWebATMSVI_1.0.18.0115.dll"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles(x86)%\TCCB\ServiSign\TCCB\TCCBXMLP11ATLSVI_1.0.18.0115.dll"
