Technical Information
To ensure autorun and distribution:
Creates or modifies the following files:
- %WINDIR%\Tasks\RocketTab Update Task.job
- %WINDIR%\Tasks\RocketTab.job
Malicious functions:
Creates and executes the following:
- '%PROGRAM_FILES%\Search Extensions\Resources\certutil.exe' -A -n "DO_NOT_TRUST_FiddlerRoot" -t "TCu,TCu,TCu" -i "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer" -d "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
- '%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 -b 08/15/2014 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"
- '%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha256 -m 132 -b 08/15/2014 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer" -pe -sp "Microsoft Enhanced RSA and AES Cryptographic Provider (Prototype)" -sy "24"
- '%PROGRAM_FILES%\Search Extensions\Resources\certutil.exe' -V -n "DO_NOT_TRUST_FiddlerRoot" -u C -e -d "%APPDATA%\Mozilla\Firefox\Profiles\cwdgt0y8.default"
- '%PROGRAM_FILES%\Search Extensions\uninstall.exe' /CheckUpdate=true /FirstRun=true
- '%PROGRAM_FILES%\Search Extensions\Client.exe' /Preferred=true
- '%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha256 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer" -pe -sp "Microsoft Enhanced RSA and AES Cryptographic Provider (Prototype)" -sy "24"
- '%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha256 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer" -pe
- '%PROGRAM_FILES%\Search Extensions\certmanager.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"
- '%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha256 -m 132 -b 08/15/2014 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer" -pe
- '%PROGRAM_FILES%\Search Extensions\certmanager.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 -b 08/15/2014 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"
- '%PROGRAM_FILES%\Search Extensions\makecert.exe' -r -ss my -n "CN=DO_NOT_TRUST_FiddlerRoot, O=DO_NOT_TRUST, OU=Created by http://www.fi###er2.com" -sky signature -eku 1.3.6.1.5.5.7.3.1 -h 1 -cy authority -a sha1 -m 132 "%PROGRAM_FILES%\Search Extensions\TrustedRoot.cer"
Executes the following:
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 3000
- '<SYSTEM32>\ping.exe' 1.1.1.1 -n 1 -w 1800000
Terminates or attempts to terminate
the following user processes:
- firefox.exe
Modifies settings of Windows Internet Explorer:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<-loopback>'
- [<HKLM>\SYSTEM\ControlSet001\Hardware Profiles\0001\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:1063;https=127.0.0.1:1063;'
Modifies file system :
Creates the following files:
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\99E944ABDF890A6C607A5CA3C614ED5052F19420
- %APPDATA%\Microsoft\SystemCertificates\My\Keys\A290DFB4FDCFDAB78CBD1E043AD2ED40D2A69672
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\222c385e2d01e61a9d23b909f91f242e_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\028f125e094814a2ed51590b4be3e2b8_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\7b90a71bfc56f2582e916a51aed6df9a_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\Search Extensions\TrustedRoot.cer
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\4513dfbc0d6f8a3a6160c165460d4355_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\f8508371c8a3f31fe9a490f754550ecc_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\37c25b45ffa491165ee7803fa940962c_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\856EEECBABDDA3823661ADD138BA9637D1063B2F
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\77276CD3F3F87E68BD25AB34C7B5FFF819B321B0
- %PROGRAM_FILES%\Search Extensions\config.dat
- %TEMP%\System.Data.SQLite37604.dll
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\32eaa2bc4a53a367522a49d23a53ab59_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %PROGRAM_FILES%\Search Extensions\makecert.exe
- %PROGRAM_FILES%\Search Extensions\Resources\certutil.exe
- %PROGRAM_FILES%\Search Extensions\Resources\libnspr4.dll
- %TEMP%\System.Data.SQLite.dll
- %PROGRAM_FILES%\Search Extensions\certmanager.exe
- %PROGRAM_FILES%\Search Extensions\Client.exe
- %PROGRAM_FILES%\Search Extensions\Resources\libplc4.dll
- %PROGRAM_FILES%\Search Extensions\Resources\softokn3.dll
- %PROGRAM_FILES%\Search Extensions\uninstall.exe
- %PROGRAM_FILES%\Search Extensions\Resources\libplds4.dll
- %PROGRAM_FILES%\Search Extensions\Resources\nss3.dll
- %PROGRAM_FILES%\Search Extensions\Resources\smime3.dll
Deletes the following files:
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\77276CD3F3F87E68BD25AB34C7B5FFF819B321B0
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\99E944ABDF890A6C607A5CA3C614ED5052F19420
Deletes itself.
Network activity:
Connects to:
- 'localhost':1063
- 'dt######mjbdj.plahost.com':80
- 'ma####search.com':80
- 'dv######dd5wo.webhosteo.com':80
- 'dv######8kcex.centahost.com':80
- 'po##.ntp.org':123
- 'wp#d':80
- '74.##5.232.51':443
TCP:
HTTP GET requests:
- dv######8kcex.centahost.com/impression.do/?ev#########################################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev############################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev###########################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev#################################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev###############################################################################################################################################################################################################
- dv######dd5wo.webhosteo.com/update?v=##############################################################################################################
- dt######mjbdj.plahost.com/impression.do/?us#######################################################################################################################################################################################################
- ma####search.com/pointclicktrack-verification.html
- dt######mjbdj.plahost.com/impression.do/?us################################################################################################################################################################################################
- dv######dd5wo.webhosteo.com/nortonsw_83301ed0-61bf-0.html
- dv######8kcex.centahost.com/impression.do/?ev##############################################################################################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev########################################################################################################################################################################################################
- wp#d/wpad.dat
- dv######8kcex.centahost.com/impression.do/?ev#############################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev###############################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev####################################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev###############################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev################################################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev#######################################################################################################################################################################################
- dv######8kcex.centahost.com/impression.do/?ev############################################################################################################################################################################################
HTTP POST requests:
- dv######dd5wo.webhosteo.com/log/
- dv######dd5wo.webhosteo.com/secure/ValidatePrograms?Us####################################################################################################
- dv######dd5wo.webhosteo.com/home/validatehosts?Us####################################################################################################
UDP:
- DNS ASK d2#######cnor2.webhostoid.com
- DNS ASK dt######mjbdj.plahost.com
- DNS ASK ma####search.com
- DNS ASK dv######dd5wo.webhosteo.com
- DNS ASK www.google.com
- DNS ASK po##.ntp.org
- DNS ASK wp#d
- DNS ASK dv######8kcex.centahost.com
- 'localhost':1038
Miscellaneous:
Searches for the following windows:
- ClassName: '' WindowName: 'ルート証明書ストア'
- ClassName: '' WindowName: '?????????'
- ClassName: '' WindowName: 'Almacen de certificados raiz'
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: 'Magasin de certificats principal'
- ClassName: '' WindowName: 'Stammzertifikatspeicher'
- ClassName: '' WindowName: 'Root Certificate Store'
- ClassName: '' WindowName: '????????'
- ClassName: '' WindowName: 'Advertencia de seguridad'
- ClassName: '' WindowName: 'Security Warning'
- ClassName: '' WindowName: 'Avertissement de securite'
- ClassName: '' WindowName: 'Sicherheitswarnung'
- ClassName: '' WindowName: 'セキュリティ警告'
Adds a root certificate
