Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SkypeC0SvcService.exe' = '<SYSTEM32>\regsvr32.exe /s scrrun.dll "%APPDATA%\NTLocalData\msimg32.dll" htvrh666 "%APPDATA%\NTLocalData\Skype...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000001] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000002] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000003] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000004] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000005] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000006] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000007] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000008] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000009] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000010] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000011] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000012] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
- [<HKLM>\SYSTEM\ControlSet001\Services\WinSock2\Parameters\Protocol_Catalog9\Catalog_Entries\000000000013] 'PackedCatalogItem' = '{25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,73,79,73,74,65,6d,33,32,...
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\Windows Update Manager.lnk
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\Windows Update Manager.lnk
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\usbhubsvc4] 'Start' = '00000002'
- [<HKLM>\SYSTEM\ControlSet001\Services\usbhubsvc4] 'ImagePath' = '<SYSTEM32>\svchost.exe -k "MsHubSvc4" -svcr "SkypeC0SvcService.exe"'
- [<HKLM>\SYSTEM\ControlSet001\Services\usbhubsvc4\Parameters] 'ServiceDLL' = '%APPDATA%\NTLocalData\msimg32.dll'
- [<HKLM>\SYSTEM\ControlSet001\Services\teamviewervpn] 'ImagePath' = 'system32\DRIVERS\teamviewervpn.sys'
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\NS-36CS6.tmp\NS-2I36I.tmp
- %APPDATA%\NTLocalData\svpn.exe
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %WINDIR%\inf\oem3.inf
- %WINDIR%\inf\oem3.PNF
- <DRIVERS>\SET3.tmp
- %TEMP%\Cab4.tmp
- %TEMP%\Cab6.tmp
- %TEMP%\Cab8.tmp
- %TEMP%\CabA.tmp
- %TEMP%\CabC.tmp
- %TEMP%\CabE.tmp
- %TEMP%\Cab10.tmp
- %TEMP%\Cab12.tmp
- %TEMP%\Cab14.tmp
- %TEMP%\Cab16.tmp
- %APPDATA%\NTLocalData\teamviewervpn.sys
- %TEMP%\Cab18.tmp
- %APPDATA%\NTLocalData\teamviewervpn.inf
- %APPDATA%\NTLocalData\tv.ini
- %TEMP%\NS-Q4PQ0.tmp\_shfoldr.dll
- %TEMP%\NS-Q4PQ0.tmp\_iscrypt.dll
- %APPDATA%\NTLocalData\NS-67CDT.tmp
- %APPDATA%\NTLocalData\NS-8TR9P.tmp
- %APPDATA%\NTLocalData\NS-3U6EB.tmp
- %APPDATA%\NTLocalData\NS-SHA3B.tmp
- %APPDATA%\NTLocalData\NS-TE03L.tmp
- %APPDATA%\NTLocalData\NS-EE8PH.tmp
- %APPDATA%\NTLocalData\NS-L01C5.tmp
- %APPDATA%\NTLocalData\NS-JO63F.tmp
- %APPDATA%\NTLocalData\NS-BFMR8.tmp
- %APPDATA%\NTLocalData\NS-8AG2E.tmp
- %APPDATA%\NTLocalData\NS-H2HNM.tmp
- %APPDATA%\NTLocalData\NS-0EJO3.tmp
- %APPDATA%\NTLocalData\TeamViewer.ini
- %APPDATA%\NTLocalData\teamviewervpn.cat
- %TEMP%\Cab1A.tmp
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\NTLocalData\TeamViewer_StaticRes.dll
- %APPDATA%\NTLocalData\teamviewervpn.cat
- %APPDATA%\NTLocalData\teamviewervpn.sys
- <SYSTEM32>\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\oem3.CAT
- %APPDATA%\NTLocalData\SkypeC0SvcService.exe
- %APPDATA%\NTLocalData\tvr.cfg
- %APPDATA%\NTLocalData\msimg32.dll
- %APPDATA%\NTLocalData\tv.ini
- %APPDATA%\NTLocalData\teamviewervpn.inf
- %APPDATA%\NTLocalData\TeamViewer.ini
- %APPDATA%\NTLocalData\vpn86.cab
- %APPDATA%\NTLocalData\tv_x64.dll
- %APPDATA%\NTLocalData\tv_w32.dll
- %APPDATA%\NTLocalData\tv_x64.exe
- %APPDATA%\NTLocalData\tv_w32.exe
- %APPDATA%\NTLocalData\TeamViewer_Desktop.exe
- %APPDATA%\NTLocalData\TeamViewer_Resource_en.dll
- %APPDATA%\NTLocalData\vpn64.cab
- %APPDATA%\NTLocalData\svpn.exe
Удаляет следующие файлы:
- %TEMP%\NS-Q4PQ0.tmp\_iscrypt.dll
- %TEMP%\Cab16.tmp
- %TEMP%\Cab14.tmp
- %TEMP%\Cab12.tmp
- %TEMP%\Cab10.tmp
- %TEMP%\CabE.tmp
- %TEMP%\CabC.tmp
- %TEMP%\CabA.tmp
- %TEMP%\Cab8.tmp
- %TEMP%\Cab6.tmp
- %TEMP%\Cab4.tmp
- %APPDATA%\NTLocalData\teamviewervpn.inf
- %APPDATA%\NTLocalData\teamviewervpn.cat
- %APPDATA%\NTLocalData\teamviewervpn.sys
- %TEMP%\NS-36CS6.tmp\NS-2I36I.tmp
- %TEMP%\NS-Q4PQ0.tmp\_shfoldr.dll
- %TEMP%\Cab18.tmp
- %TEMP%\Cab1A.tmp
Перемещает следующие файлы:
- %APPDATA%\NTLocalData\NS-67CDT.tmp в %APPDATA%\NTLocalData\msimg32.dll
- %APPDATA%\NTLocalData\NS-8TR9P.tmp в %APPDATA%\NTLocalData\SkypeC0SvcService.exe
- %APPDATA%\NTLocalData\NS-3U6EB.tmp в %APPDATA%\NTLocalData\TeamViewer_Desktop.exe
- %APPDATA%\NTLocalData\NS-SHA3B.tmp в %APPDATA%\NTLocalData\TeamViewer_Resource_en.dll
- %APPDATA%\NTLocalData\NS-TE03L.tmp в %APPDATA%\NTLocalData\TeamViewer_StaticRes.dll
- %APPDATA%\NTLocalData\NS-EE8PH.tmp в %APPDATA%\NTLocalData\tvr.cfg
- %APPDATA%\NTLocalData\NS-L01C5.tmp в %APPDATA%\NTLocalData\tv_w32.dll
- %APPDATA%\NTLocalData\NS-JO63F.tmp в %APPDATA%\NTLocalData\tv_w32.exe
- %APPDATA%\NTLocalData\NS-BFMR8.tmp в %APPDATA%\NTLocalData\tv_x64.dll
- %APPDATA%\NTLocalData\NS-8AG2E.tmp в %APPDATA%\NTLocalData\tv_x64.exe
- %APPDATA%\NTLocalData\NS-H2HNM.tmp в %APPDATA%\NTLocalData\vpn64.cab
- %APPDATA%\NTLocalData\NS-0EJO3.tmp в %APPDATA%\NTLocalData\vpn86.cab
- <DRIVERS>\SET3.tmp в <DRIVERS>\teamviewervpn.sys
Сетевая активность:
Подключается к:
- 'wp#d':80
- 'download.windowsupdate.com':80
TCP:
Запросы HTTP GET:
- http://11#.#11.111.1/wpad.dat via wp#d
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
UDP:
- DNS ASK wp#d
- DNS ASK www.download.windowsupdate.com
Другое:
Создает и запускает на исполнение:
- '%TEMP%\NS-36CS6.tmp\NS-2I36I.tmp' /SL4 $30092 <Полный путь к файлу> 3694402 332288 /verysilent /password=Windows
- '%APPDATA%\NTLocalData\SkypeC0SvcService.exe'
- '%APPDATA%\NTLocalData\svpn.exe' install "%APPDATA%\NTLocalData\TeamViewerVPN.inf" teamviewervpn
- '%APPDATA%\NTLocalData\svpn.exe' restart teamviewervpn
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' -k "MsHubSvc4" -svcr "SkypeC0SvcService.exe"
- '<SYSTEM32>\runonce.exe' -r
