Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Adobe Flash Update.lnk
Вредоносные функции:
Запускает на исполнение:
- 'C:\Intel\adb.exe'
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %APPDATA%\TeamViewer\TeamViewer5_Logfile.log
- %TEMP%\Cab1.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\A8FABA189DB7D25FBA7CAC806625FD30
- C:\Intel\adb.exe
- C:\Intel\TV.dll
- C:\Intel\Teamviewer_Resource_fr.dll
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\A8FABA189DB7D25FBA7CAC806625FD30
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
Присваивает атрибут 'скрытый' для следующих файлов:
- C:\Intel\Teamviewer_Resource_fr.dll
- C:\Intel\TV.dll
- C:\Intel\adb.exe
Удаляет следующие файлы:
- %TEMP%\Cab1.tmp
Сетевая активность:
Подключается к:
- 'ma#####.teamviewer.com':80
- 'pi###.dyngate.com':5938
- 'ma####.dyngate.com':80
- 'pi###.dyngate.com':80
- 'ma#####2.teamviewer.com':80
- 'localhost':9998
- 'wp#d':80
- '14#.0.77.90':80
- 'crl.verisign.com':80
- 'www.download.windowsupdate.com':80
- 'cs######4-crl.verisign.com':80
TCP:
Запросы HTTP GET:
- http://ma#####2.teamviewer.com/din.aspx?s=#####################################################
- http://ma####.dyngate.com/din.aspx?s=#####################################################
- http://ma#####.teamviewer.com/din.aspx?s=#####################################################
- http://ma#####2.teamviewer.com/din.aspx?s=####################################################
- http://pi###.dyngate.com/din.aspx?s=#####################################################
- http://pi###.dyngate.com/din.aspx?s=####################################################
- http://ma####.dyngate.com/din.aspx?s=####################################################
- http://crl.verisign.com/pca3.crl
- http://11#.#11.111.1/wpad.dat via wp#d
- http://14#.0.77.90/0102/?ga######################################################################################################################################################################...
- http://CS######4-crl.verisign.com/CSC3-2004.crl via cs######4-crl.verisign.com
- http://ma#####.teamviewer.com/din.aspx?s=####################################################
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
UDP:
- DNS ASK ma#####2.teamviewer.com
- DNS ASK ma#####1.teamviewer.com
- DNS ASK ma#####0.teamviewer.com
- DNS ASK ma#####3.teamviewer.com
- DNS ASK ma#####6.teamviewer.com
- DNS ASK ma#####5.teamviewer.com
- DNS ASK ma#####4.teamviewer.com
- DNS ASK cs######4-crl.verisign.com
- DNS ASK crl.verisign.com
- DNS ASK wp#d
- DNS ASK www.download.windowsupdate.com
- DNS ASK ma####.dyngate.com
- DNS ASK ma#####.teamviewer.com
- DNS ASK pi###.dyngate.com
Другое:
Ищет следующие окна:
- ClassName: 'RichEdit20A' WindowName: ''
- ClassName: 'TVWidget' WindowName: ''
- ClassName: 'TV_Marker' WindowName: ''
- ClassName: 'RichEdit20W' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: 'TeamViewer Panel'
- ClassName: '' WindowName: 'TeamViewer'
