Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svcc' = '%APPDATA%\cz07ud\svcc.exe'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\cz07ud\svcc.exe' = '%APPDATA%\cz07ud\svcc.exe:*:Enabled:...
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dllhost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1.exe
- %APPDATA%\cz07ud\x64\teamviewervpn.sys
- %APPDATA%\cz07ud\x64\install.exe
- %APPDATA%\cz07ud\tv_x64.exe
- %APPDATA%\cz07ud\tv_x64.dll
- %APPDATA%\cz07ud\tv_w32.exe
- %APPDATA%\cz07ud\tv_w32.dll
- %APPDATA%\cz07ud\teamviewer_staticres.dll
- %APPDATA%\cz07ud\teamviewer_resource_en.dll
- %APPDATA%\cz07ud\teamviewer_desktop.exe
- %APPDATA%\cz07ud\svcc.exe
- %APPDATA%\cz07ud\x86\teamviewervpn.inf
- %APPDATA%\cz07ud\x86\teamviewervpn.cat
- %APPDATA%\cz07ud\x64\teamviewervpn.inf
- %APPDATA%\cz07ud\x64\teamviewervpn.cat
- %APPDATA%\cz07ud\teamviewer.ini
- %APPDATA%\cz07ud\q7cc37
- %APPDATA%\cz07ud\fpu5vtulwlm5.cfg
- %APPDATA%\cz07ud\264k48w10u.bmp
- %TEMP%\bot.exe
- %TEMP%\nsb2.tmp\execcmd.dll
- %TEMP%\bp7sk0k4z
- %TEMP%\5uhl1cp8821.bmp
- %TEMP%\qwvlfkouc81
- %TEMP%\wbl900
- %TEMP%\shell.dll
- %TEMP%\mpo8n9tl01k.bmp
- %TEMP%\nsb2.tmp\system.dll
- %APPDATA%\cz07ud\x86\install.exe
- %APPDATA%\cz07ud\x86\teamviewervpn.sys
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\1.exe
- %TEMP%\bot.exe
- %APPDATA%\cz07ud\msi.dll
- %APPDATA%\cz07ud\svcc.exe
- %APPDATA%\cz07ud\teamviewer.ini
- %APPDATA%\cz07ud\teamviewer_desktop.exe
- %APPDATA%\cz07ud\teamviewer_resource_en.dll
- %APPDATA%\cz07ud\teamviewer_staticres.dll
- %APPDATA%\cz07ud\tv_w32.dll
- %APPDATA%\cz07ud\tv_w32.exe
- %APPDATA%\cz07ud\tv_x64.dll
- %APPDATA%\cz07ud\tv_x64.exe
Удаляет следующие файлы
- %TEMP%\wbl900
- %TEMP%\shell.dll
- %TEMP%\mpo8n9tl01k.bmp
- %TEMP%\bp7sk0k4z.exe
- %TEMP%\5uhl1cp8821.bmp
- %TEMP%\qwvlfkouc81
- %TEMP%\nsb2.tmp\execcmd.dll
- %TEMP%\nsb2.tmp\system.dll
- %APPDATA%\cz07ud\264k48w10u.bmp
Перемещает следующие файлы
- %TEMP%\bp7sk0k4z в %TEMP%\bp7sk0k4z.exe
- %APPDATA%\cz07ud\q7cc37 в %APPDATA%\cz07ud\msi.dll
Сетевая активность
UDP
- DNS ASK pi###.#eamviewer.com
- DNS ASK wp#d
- DNS ASK ma#####.teamviewer.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: ''
- ClassName: '' WindowName: 'TeamViewer Manager'
Создает и запускает на исполнение
- '%TEMP%\1.exe'
- '%TEMP%\bp7sk0k4z.exe' x -pe31575bea5d71be444ae4ca41a5b6cfa %TEMP%\5uhl1cp8821.bmp -aoa -o%APPDATA%
- '%TEMP%\bot.exe'
- '%APPDATA%\cz07ud\svcc.exe'
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f' (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' -h off' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=disable' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off' (со скрытым окном)
- '%TEMP%\1.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "bp7sk0k4z.exe x -pe31575bea5d71be444ae4ca41a5b6cfa %TEMP%\5uhl1cp8821.bmp -aoa -o%APPDATA%' (со скрытым окном)
- '%TEMP%\bot.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "start "" %APPDATA%\cz07ud\svcc.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\powercfg.exe' -h off
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
- '<SYSTEM32>\cmd.exe' /C "bp7sk0k4z.exe x -pe31575bea5d71be444ae4ca41a5b6cfa %TEMP%\5uhl1cp8821.bmp -aoa -o%APPDATA%
- '<SYSTEM32>\cmd.exe' /C "start "" %APPDATA%\cz07ud\svcc.exe"
- '<SYSTEM32>\dllhost.exe'
