Trojan.Siggen28.63298

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] '*LogMeInRescue_2975393870' = '"%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR104CC001.tmp\LMI_Rescue.exe" -runonce -reboot'

Устанавливает следующие настройки сервисов

[HKLM\System\CurrentControlSet\Services\LMIRescue_181a92c5-a1ce-3c02-f5f4-c254854ce04d] 'Start' = '00000002'
[HKLM\System\CurrentControlSet\Services\LMIRescue_181a92c5-a1ce-3c02-f5f4-c254854ce04d] 'ImagePath' = '"%ProgramFiles(x86)%\LogMeIn Rescue Applet\LMIR104CF001.tmp\LMI_Rescue_srv.exe" -service -...

Создает следующие сервисы

'LMIRescue_181a92c5-a1ce-3c02-f5f4-c254854ce04d' "%ProgramFiles(x86)%\LogMeIn Rescue Applet\LMIR104CF001.tmp\LMI_Rescue_srv.exe" -service -sid 181a92c5-a1ce-3c02-f5f4-c254854ce04d -wd "%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR104CC001.tmp"

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescue.exe
%WINDIR%\temp\tar499e.tmp
%WINDIR%\temp\cab499d.tmp
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\1801a0bff52c676e5f51ca71c5350277
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\1801a0bff52c676e5f51ca71c5350277
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf.tmp
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.dat
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\session.log
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rescue.log
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rescue.info
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\logo.bmp
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\params.txt
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\nvdacontrollerclient32.dll
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\ra64app.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rescuewinrtlib.dll
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rahook.dll
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescuerc.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescue_srv.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rescue.ico
%WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357

Удаляет следующие файлы

%WINDIR%\temp\cab499d.tmp
%WINDIR%\temp\tar499e.tmp

Перемещает следующие файлы

%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescue.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\lmi_rescue.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescue_srv.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\lmi_rescue_srv.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescuerc.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\lmi_rescuerc.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rahook.dll в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\rahook.dll
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\rescuewinrtlib.dll в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\rescuewinrtlib.dll
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\ra64app.exe в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\ra64app.exe
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\nvdacontrollerclient32.dll в %ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\nvdacontrollerclient32.dll
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf.tmp в %LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf в %LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf.bak

Подменяет следующие файлы

%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf.tmp
%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\chatlog.rtf

Самоудаляется.

Сетевая активность

Подключается к

'co#####.###-app24-01.logmeinrescue.com':443
'microsoft.com':80

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt

Другие

'co#####.###-app24-01.logmeinrescue.com':443

UDP

DNS ASK re#########-center.logmein-gateway.com
DNS ASK re########t.24.logmein-gateway.com
DNS ASK co#####.###-app24-01.logmeinrescue.com
DNS ASK microsoft.com

Другое

Ищет следующие окна

ClassName: 'JFWUI2' WindowName: ''

Создает и запускает на исполнение

'%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescue.exe'
'%LOCALAPPDATA%\logmein rescue applet\lmir104cc001.tmp\lmi_rescue_srv.exe' -wd "%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR104CC001.tmp"
'%ProgramFiles(x86)%\logmein rescue applet\lmir104cf001.tmp\lmi_rescue_srv.exe' -service -sid 181a92c5-a1ce-3c02-f5f4-c254854ce04d -wd "%LOCALAPPDATA%\LogMeIn Rescue Applet\LMIR104CC001.tmp"