Trojan.DownLoader33.39494

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svcc' = '%APPDATA%\LocalDataNT\svcc.exe'

Изменения в файловой системе

Создает следующие файлы

%TEMP%\ns-0tdca.tmp\ns-8tdmv.tmp
%APPDATA%\localdatant\x86\ns-89i4s.tmp
%APPDATA%\localdatant\x86\ns-osiu6.tmp
%APPDATA%\localdatant\x86\ns-debqa.tmp
%APPDATA%\localdatant\x64\ns-djvl6.tmp
%APPDATA%\localdatant\x64\ns-klkbj.tmp
%APPDATA%\localdatant\x64\ns-p3l44.tmp
%APPDATA%\localdatant\x64\ns-ihhn9.tmp
%APPDATA%\localdatant\ns-ls1tv.tmp
%APPDATA%\localdatant\ns-2fl15.tmp
%APPDATA%\localdatant\ns-e0l9r.tmp
%APPDATA%\localdatant\x86\ns-7306g.tmp
%APPDATA%\localdatant\ns-mr147.tmp
%APPDATA%\localdatant\ns-v0nkp.tmp
%APPDATA%\localdatant\ns-mfc5i.tmp
%APPDATA%\localdatant\ns-qugic.tmp
%APPDATA%\localdatant\ns-tbnj0.tmp
%APPDATA%\localdatant\ns-9909o.tmp
%APPDATA%\localdatant\ns-k2ihi.tmp
%APPDATA%\localdatant\ns-a3g6v.tmp
%APPDATA%\localdatant\ns-me93n.tmp
%TEMP%\ns-codna.tmp\_iscrypt.dll
%TEMP%\ns-codna.tmp\_shfoldr.dll
%APPDATA%\localdatant\ns-900d5.tmp
%APPDATA%\localdatant\l4wnrvsr8t0oqqflnnnbrx1.cfg

Присваивает атрибут 'скрытый' для следующих файлов

%APPDATA%\localdatant\msi.dll
%APPDATA%\localdatant\svcc.exe
%APPDATA%\localdatant\teamviewer.ini
%APPDATA%\localdatant\teamviewer_desktop.exe
%APPDATA%\localdatant\teamviewer_resource_en.dll
%APPDATA%\localdatant\teamviewer_staticres.dll
%APPDATA%\localdatant\thumbs.db
%APPDATA%\localdatant\tv_w32.dll
%APPDATA%\localdatant\tv_w32.exe
%APPDATA%\localdatant\tv_x64.dll
%APPDATA%\localdatant\tv_x64.exe

Удаляет следующие файлы

%TEMP%\ns-codna.tmp\_iscrypt.dll
%TEMP%\ns-codna.tmp\_shfoldr.dll
%TEMP%\ns-0tdca.tmp\ns-8tdmv.tmp
%APPDATA%\localdatant\3698hox9in5.bmp

Перемещает следующие файлы

%APPDATA%\localdatant\ns-me93n.tmp в %APPDATA%\localdatant\3698hox9in5.bmp
%APPDATA%\localdatant\x86\ns-osiu6.tmp в %APPDATA%\localdatant\x86\teamviewervpn.cat
%APPDATA%\localdatant\x86\ns-debqa.tmp в %APPDATA%\localdatant\x86\install.exe
%APPDATA%\localdatant\x64\ns-djvl6.tmp в %APPDATA%\localdatant\x64\teamviewervpn.sys
%APPDATA%\localdatant\x64\ns-klkbj.tmp в %APPDATA%\localdatant\x64\teamviewervpn.inf
%APPDATA%\localdatant\x64\ns-p3l44.tmp в %APPDATA%\localdatant\x64\teamviewervpn.cat
%APPDATA%\localdatant\x64\ns-ihhn9.tmp в %APPDATA%\localdatant\x64\install.exe
%APPDATA%\localdatant\ns-ls1tv.tmp в %APPDATA%\localdatant\tv_x64.exe
%APPDATA%\localdatant\ns-2fl15.tmp в %APPDATA%\localdatant\tv_x64.dll
%APPDATA%\localdatant\x86\ns-89i4s.tmp в %APPDATA%\localdatant\x86\teamviewervpn.inf
%APPDATA%\localdatant\ns-e0l9r.tmp в %APPDATA%\localdatant\tv_w32.exe
%APPDATA%\localdatant\ns-900d5.tmp в %APPDATA%\localdatant\thumbs.db
%APPDATA%\localdatant\ns-v0nkp.tmp в %APPDATA%\localdatant\teamviewer_staticres.dll
%APPDATA%\localdatant\ns-mfc5i.tmp в %APPDATA%\localdatant\teamviewer_resource_en.dll
%APPDATA%\localdatant\ns-qugic.tmp в %APPDATA%\localdatant\teamviewer_desktop.exe
%APPDATA%\localdatant\ns-tbnj0.tmp в %APPDATA%\localdatant\teamviewer.ini
%APPDATA%\localdatant\ns-9909o.tmp в %APPDATA%\localdatant\svcc.exe
%APPDATA%\localdatant\ns-k2ihi.tmp в %APPDATA%\localdatant\msi.dll
%APPDATA%\localdatant\ns-a3g6v.tmp в %APPDATA%\localdatant\l4wnrvsr8t0oqqflnnnbrx1.cfg
%APPDATA%\localdatant\ns-mr147.tmp в %APPDATA%\localdatant\tv_w32.dll
%APPDATA%\localdatant\x86\ns-7306g.tmp в %APPDATA%\localdatant\x86\teamviewervpn.sys

Сетевая активность

TCP

Запросы HTTP GET

http://17#.#3.160.169/disp/update.php?id#################################################

'pi###.#eamviewer.com':5938

'ma#####.teamviewer.com':5938

'62.##8.209.168':5938

'cl####.teamviewer.com':443

UDP

DNS ASK pi###.#eamviewer.com
DNS ASK ma#####.teamviewer.com
DNS ASK cl####.teamviewer.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'TeamViewer Manager'

Создает и запускает на исполнение

'%TEMP%\ns-0tdca.tmp\ns-8tdmv.tmp' /SL4 $5023C <Полный путь к файлу> 4391265 92160 /password=was0mid /verysilent
'%APPDATA%\localdatant\svcc.exe'
'%APPDATA%\localdatant\svcc.exe' ' (со скрытым окном)