Trojan.Siggen12.63573

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*LogMeInRescue_745579950' = '"%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR0B44C001.tmp\LMI_Rescue.exe" -runonce -reboot'

Устанавливает следующие настройки сервисов

[<HKLM>\System\CurrentControlSet\Services\LMIRescue_e6cbd646-865c-6da4-3e5e-36fc5264d84b] 'Start' = '00000002'
[<HKLM>\System\CurrentControlSet\Services\LMIRescue_e6cbd646-865c-6da4-3e5e-36fc5264d84b] 'ImagePath' = '"%ProgramFiles(x86)%\LogMeIn Rescue Applet\LMIR0B480001.tmp\LMI_Rescue_srv.exe" -service...

Создает следующие сервисы

'LMIRescue_e6cbd646-865c-6da4-3e5e-36fc5264d84b' "%ProgramFiles(x86)%\LogMeIn Rescue Applet\LMIR0B480001.tmp\LMI_Rescue_srv.exe" -service -sid e6cbd646-865c-6da4-3e5e-36fc5264d84b -wd "%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR0B44C001.tmp\\"

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescue.exe
%WINDIR%\temp\tar94e.tmp
%WINDIR%\temp\cab94d.tmp
%WINDIR%\temp\tar91d.tmp
%WINDIR%\temp\cab91c.tmp
%WINDIR%\temp\tarf389.tmp
%WINDIR%\temp\cabf388.tmp
%WINDIR%\temp\tarf1f1.tmp
%WINDIR%\temp\cabf1f0.tmp
%WINDIR%\temp\tardc2e.tmp
%WINDIR%\temp\cabdc2d.tmp
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%WINDIR%\temp\tarc523.tmp
%WINDIR%\temp\cabc522.tmp
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\chatlog.dat
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rescue.log
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\session.log
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rescue.info
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rescue.ico
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\logo.bmp
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\params.txt
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\nvdacontrollerclient32.dll
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\ra64app.exe
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rescuewinrtlib.dll
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rahook.dll
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescuerc.exe
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescue_srv.exe
%WINDIR%\temp\cab4fff.tmp
%WINDIR%\temp\tar5000.tmp

Удаляет следующие файлы

%WINDIR%\temp\cabc522.tmp
%WINDIR%\temp\tarc523.tmp
%WINDIR%\temp\cabdc2d.tmp
%WINDIR%\temp\tardc2e.tmp
%WINDIR%\temp\cabf1f0.tmp
%WINDIR%\temp\tarf1f1.tmp
%WINDIR%\temp\cabf388.tmp
%WINDIR%\temp\tarf389.tmp
%WINDIR%\temp\cab91c.tmp
%WINDIR%\temp\tar91d.tmp
%WINDIR%\temp\cab94d.tmp
%WINDIR%\temp\tar94e.tmp
%WINDIR%\temp\cab4fff.tmp
%WINDIR%\temp\tar5000.tmp

Перемещает следующие файлы

%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescue.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\lmi_rescue.exe
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescue_srv.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\lmi_rescue_srv.exe
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescuerc.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\lmi_rescuerc.exe
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rahook.dll в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\rahook.dll
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\rescuewinrtlib.dll в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\rescuewinrtlib.dll
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\ra64app.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\ra64app.exe
%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\nvdacontrollerclient32.dll в %ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\nvdacontrollerclient32.dll

Самоудаляется.

Сетевая активность

Подключается к

'co#####.##p03-02.logmeinrescue.com':443
'microsoft.com':80
're########1185.app03-06.logmein.com':443
'co#####.##p03-11.logmeinrescue.com':443

TCP

'co#####.##p03-02.logmeinrescue.com':443
're########1185.app03-06.logmein.com':443
'co#####.##p03-11.logmeinrescue.com':443

UDP

DNS ASK re#########-center.logmein-gateway.com
DNS ASK re########t.3.logmein-gateway.com
DNS ASK co#####.##p03-02.logmeinrescue.com
DNS ASK microsoft.com
DNS ASK re########1185.app03-06.logmein.com
DNS ASK co#####.##p03-11.logmeinrescue.com

Другое

Ищет следующие окна

ClassName: 'JFWUI2' WindowName: ''
ClassName: 'wxWindowClassNR' WindowName: 'NVDA'

Создает и запускает на исполнение

'%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescue.exe'
'%LOCALAPPDATA%\logmein rescue applet\lmir0b44c001.tmp\lmi_rescue_srv.exe' -wd "%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR0B44C001.tmp"
'%ProgramFiles(x86)%\logmein rescue applet\lmir0b480001.tmp\lmi_rescue_srv.exe' -service -sid e6cbd646-865c-6da4-3e5e-36fc5264d84b -wd "%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR0B44C001.tmp\\"