Trojan.Siggen15.14830

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKCU>\Software\Classes\joinme\shell\open\command\] '' = '%LOCALAPPDATA%\join.me\join.me.exe -url %1'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\joid97d.tmp\join.me.exe
%TEMP%\joi446f.tmp\lmifilterhook32.dll
%TEMP%\joi446f.tmp\lmifilterhook64.dll
%TEMP%\joi446f.tmp\lmiguardiandll.dll
%TEMP%\joi446f.tmp\lmiguardianevt.dll
%TEMP%\joi446f.tmp\lmiinputhook32.dll
%TEMP%\joi446f.tmp\lmiscrhook32.dll
%TEMP%\joi446f.tmp\lmiscrhook64.dll
%TEMP%\joi446f.tmp\lmisupport7x32.dll
%TEMP%\joi446f.tmp\lmisupport7x64.dll
%TEMP%\joi446f.tmp\mediaclientlib.dll
%LOCALAPPDATA%\join.me\join.me.exe
%LOCALAPPDATA%\join.me\lmiguardiansvc.exe
%LOCALAPPDATA%\join.me\lmisupportm32.exe
%LOCALAPPDATA%\join.me\lmisupportm64.exe
%LOCALAPPDATA%\join.me\jmlaunchermgr.dll
%LOCALAPPDATA%\join.me\jmsettings.dll
%LOCALAPPDATA%\join.me\lmifilterhook32.dll
%LOCALAPPDATA%\join.me\lmifilterhook64.dll
%LOCALAPPDATA%\join.me\lmiguardiandll.dll
%LOCALAPPDATA%\join.me\lmiguardianevt.dll
%LOCALAPPDATA%\join.me\lmiinputhook32.dll
%LOCALAPPDATA%\join.me\lmiscrhook32.dll
%LOCALAPPDATA%\join.me\lmiscrhook64.dll
%LOCALAPPDATA%\join.me\lmisupport7x32.dll
%LOCALAPPDATA%\join.me\lmisupport7x64.dll
%LOCALAPPDATA%\join.me\mediaclientlib.dll
%LOCALAPPDATA%\join.me\config.json
%HOMEPATH%\desktop\join.me.lnk
%APPDATA%\microsoft\windows\start menu\programs\join.me.lnk
%TEMP%\joi446f.tmp\jmsettings.dll
%TEMP%\packercleanup.bat
%TEMP%\joi446f.tmp\jmlaunchermgr.dll
%TEMP%\joi446f.tmp\lmisupportm32.exe
%TEMP%\joid97d.tmp\lmifilterhook32.dll
%TEMP%\joid97d.tmp\lmifilterhook64.dll
%TEMP%\joid97d.tmp\lmiguardiandll.dll
%TEMP%\joid97d.tmp\lmiguardianevt.dll
%TEMP%\joid97d.tmp\lmiguardiansvc.exe
%TEMP%\joid97d.tmp\lmiinputhook32.dll
%TEMP%\joid97d.tmp\lmiscrhook32.dll
%TEMP%\joid97d.tmp\lmiscrhook64.dll
%TEMP%\joid97d.tmp\lmisupport7x32.dll
%TEMP%\joid97d.tmp\lmisupportm32.exe
%TEMP%\joid97d.tmp\lmisupportm64.exe
%TEMP%\joid97d.tmp\mediaclientlib.dll
%TEMP%\joid97d.tmp\config.json
%TEMP%\join.me.pid
%TEMP%\joid97d.tmp\join.me.log
%TEMP%\update.exe
%TEMP%\join.me.bootstrapper.log
%TEMP%\joi446f.tmp\join.me.installer.exe
%TEMP%\joi446f.tmp\join.me.installer.exe.config
%TEMP%\joi446f.tmp\config.json
%ALLUSERSPROFILE%\logmein\dumps\writeaccesstest.txt
%LOCALAPPDATA%\logmein\dumps\writeaccesstest.txt
%TEMP%\joi446f.tmp\bootstrappercleanup.bat
%TEMP%\joid97d.tmp\_cleanup.bat
nul
%LOCALAPPDATA%\join.me\join.me.installer.log
%TEMP%\joi446f.tmp\7zxa.dll
%TEMP%\joi446f.tmp\join.me.exe
%TEMP%\joi446f.tmp\lmiguardiansvc.exe
%TEMP%\joi446f.tmp\lmisupportm64.exe
%LOCALAPPDATA%\join.me\join.me.log

Удаляет следующие файлы

%TEMP%\join.me.pid
%TEMP%\joi446f.tmp\lmisupportm32.exe
%TEMP%\joi446f.tmp\lmisupport7x64.dll
%TEMP%\joi446f.tmp\lmisupport7x32.dll
%TEMP%\joi446f.tmp\lmiscrhook64.dll
%TEMP%\joi446f.tmp\lmiscrhook32.dll
%TEMP%\joi446f.tmp\lmiinputhook32.dll
%TEMP%\joi446f.tmp\lmiguardiansvc.exe
%TEMP%\joi446f.tmp\lmiguardianevt.dll
%TEMP%\joi446f.tmp\lmiguardiandll.dll
%TEMP%\joi446f.tmp\lmifilterhook64.dll
%TEMP%\joi446f.tmp\lmifilterhook32.dll
%TEMP%\joi446f.tmp\join.me.installer.exe.config
%TEMP%\joi446f.tmp\join.me.installer.exe
%TEMP%\joi446f.tmp\join.me.exe
%TEMP%\joi446f.tmp\jmsettings.dll
%TEMP%\joi446f.tmp\jmlaunchermgr.dll
%TEMP%\joi446f.tmp\config.json
%TEMP%\joi446f.tmp\7zxa.dll
%TEMP%\update.exe
%LOCALAPPDATA%\logmein\dumps\writeaccesstest.txt
%ALLUSERSPROFILE%\logmein\dumps\writeaccesstest.txt
%TEMP%\joi446f.tmp\lmisupportm64.exe
%TEMP%\joi446f.tmp\mediaclientlib.dll

Подменяет следующие файлы

%TEMP%\join.me.pid

Самоудаляется.

Сетевая активность

Подключается к

'se###e.join.me':443
'al#.##ip.join.me':443
'microsoft.com':80

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

Другие

'se###e.join.me':443
'al#.##ip.join.me':443

UDP

DNS ASK se###e.join.me
DNS ASK al#.##ip.join.me
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\joid97d.tmp\join.me.exe'
'%TEMP%\joid97d.tmp\lmiguardiansvc.exe' /escort 2436 /CUSTOM JoinMe
'%TEMP%\update.exe' -update 2436
'%TEMP%\joi446f.tmp\join.me.installer.exe' -update 2436 --cleanup
'%LOCALAPPDATA%\join.me\join.me.exe' -update
'%LOCALAPPDATA%\join.me\lmiguardiansvc.exe' /escort 2992 /CUSTOM JoinMe
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\joi446F.tmp\BootstrapperCleanUp.bat" "' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\joiD97D.tmp\_cleanup.bat" "<Полный путь к файлу>" "%TEMP%\joiD97D.tmp""' (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\PackerCleanUp.bat" "' (со скрытым окном)

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\joi446F.tmp\BootstrapperCleanUp.bat" "
'%WINDIR%\syswow64\ping.exe' -n 5 127.0.0.1
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\joiD97D.tmp\_cleanup.bat" "<Полный путь к файлу>" "%TEMP%\joiD97D.tmp""
'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\PackerCleanUp.bat" "