Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svcc' = '%APPDATA%\AppNT\svcc.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ns-fk07l.tmp\ns-o0n85.tmp
- %APPDATA%\appnt\msi.dll
- %APPDATA%\appnt\pukonielet8.bmp
- %APPDATA%\appnt\q5ngbi1cv.bat
- %APPDATA%\appnt\svcc.exe
- %APPDATA%\appnt\teamviewer.ini
- %APPDATA%\appnt\teamviewer_desktop.exe
- %APPDATA%\appnt\teamviewer_resource_en.dll
- %APPDATA%\appnt\teamviewer_staticres.dll
- %APPDATA%\appnt\tv_w32.dll
- %APPDATA%\appnt\tv_w32.exe
- %APPDATA%\appnt\tv_x64.dll
- %APPDATA%\appnt\tv_x64.exe
- %APPDATA%\appnt\vktgcm6xee.cfg
- %APPDATA%\appnt\x64\install.exe
- %APPDATA%\appnt\x64\teamviewervpn.cat
- %APPDATA%\appnt\x64\teamviewervpn.inf
- %APPDATA%\appnt\x64\teamviewervpn.sys
- %APPDATA%\appnt\x86\install.exe
- %APPDATA%\appnt\x86\teamviewervpn.cat
- %TEMP%\41co16i\x86\ns-alenj.tmp
- %APPDATA%\appnt\x86\teamviewervpn.inf
- %TEMP%\41co16i\x86\ns-g6bqr.tmp
- %TEMP%\41co16i\x86\ns-tf0p3.tmp
- %TEMP%\ns-qj4ie.tmp\_shfoldr.dll
- %TEMP%\ns-qj4ie.tmp\_iscrypt.dll
- %TEMP%\41co16i\ns-siiij.tmp
- %TEMP%\41co16i\ns-01rlj.tmp
- %TEMP%\41co16i\ns-qj0fr.tmp
- %TEMP%\41co16i\ns-3jlbe.tmp
- %TEMP%\41co16i\ns-vdlei.tmp
- %TEMP%\41co16i\ns-p2ksi.tmp
- %TEMP%\41co16i\ns-3gkpn.tmp
- %TEMP%\41co16i\ns-of9vq.tmp
- %TEMP%\41co16i\ns-j083h.tmp
- %TEMP%\41co16i\ns-tobga.tmp
- %TEMP%\41co16i\ns-t44je.tmp
- %TEMP%\41co16i\ns-9aijb.tmp
- %TEMP%\41co16i\ns-nsj46.tmp
- %TEMP%\41co16i\x64\ns-o92ei.tmp
- %TEMP%\41co16i\x64\ns-n1mhn.tmp
- %TEMP%\41co16i\x64\ns-bn8dp.tmp
- %TEMP%\41co16i\x64\ns-mrcn9.tmp
- %TEMP%\41co16i\x86\ns-u65tb.tmp
- %APPDATA%\appnt\x86\teamviewervpn.sys
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\appnt\msi.dll
- %APPDATA%\appnt\svcc.exe
- %APPDATA%\appnt\teamviewer.ini
- %APPDATA%\appnt\teamviewer_desktop.exe
- %APPDATA%\appnt\teamviewer_resource_en.dll
- %APPDATA%\appnt\teamviewer_staticres.dll
- %APPDATA%\appnt\tv_w32.dll
- %APPDATA%\appnt\tv_w32.exe
- %APPDATA%\appnt\tv_x64.dll
- %APPDATA%\appnt\tv_x64.exe
Удаляет следующие файлы
- %TEMP%\ns-qj4ie.tmp\_iscrypt.dll
- %TEMP%\ns-qj4ie.tmp\_shfoldr.dll
- %TEMP%\ns-fk07l.tmp\ns-o0n85.tmp
- %TEMP%\41co16i\msi.dll
- %TEMP%\41co16i\svcc.exe
- %TEMP%\41co16i\tv_w32.dll
- %TEMP%\41co16i\tv_w32.exe
- %TEMP%\41co16i\tv_x64.dll
- %TEMP%\41co16i\tv_x64.exe
- %TEMP%\41co16i\x64\install.exe
- %TEMP%\41co16i\x86\install.exe
- %APPDATA%\appnt\pukonielet8.bmp
Перемещает следующие файлы
- %TEMP%\41co16i\ns-siiij.tmp в %TEMP%\41co16i\msi.dll
- %TEMP%\41co16i\x86\ns-u65tb.tmp в %TEMP%\41co16i\x86\teamviewervpn.cat
- %TEMP%\41co16i\x86\ns-tf0p3.tmp в %TEMP%\41co16i\x86\install.exe
- %TEMP%\41co16i\x64\ns-mrcn9.tmp в %TEMP%\41co16i\x64\teamviewervpn.sys
- %TEMP%\41co16i\x64\ns-bn8dp.tmp в %TEMP%\41co16i\x64\teamviewervpn.inf
- %TEMP%\41co16i\x64\ns-n1mhn.tmp в %TEMP%\41co16i\x64\teamviewervpn.cat
- %TEMP%\41co16i\x64\ns-o92ei.tmp в %TEMP%\41co16i\x64\install.exe
- %TEMP%\41co16i\ns-nsj46.tmp в %TEMP%\41co16i\vktgcm6xee.cfg
- %TEMP%\41co16i\ns-9aijb.tmp в %TEMP%\41co16i\tv_x64.exe
- %TEMP%\41co16i\x86\ns-g6bqr.tmp в %TEMP%\41co16i\x86\teamviewervpn.inf
- %TEMP%\41co16i\ns-t44je.tmp в %TEMP%\41co16i\tv_x64.dll
- %TEMP%\41co16i\ns-j083h.tmp в %TEMP%\41co16i\tv_w32.dll
- %TEMP%\41co16i\ns-of9vq.tmp в %TEMP%\41co16i\teamviewer_staticres.dll
- %TEMP%\41co16i\ns-3gkpn.tmp в %TEMP%\41co16i\teamviewer_resource_en.dll
- %TEMP%\41co16i\ns-p2ksi.tmp в %TEMP%\41co16i\teamviewer_desktop.exe
- %TEMP%\41co16i\ns-vdlei.tmp в %TEMP%\41co16i\teamviewer.ini
- %TEMP%\41co16i\ns-3jlbe.tmp в %TEMP%\41co16i\svcc.exe
- %TEMP%\41co16i\ns-qj0fr.tmp в %TEMP%\41co16i\q5ngbi1cv.bat
- %TEMP%\41co16i\ns-01rlj.tmp в %TEMP%\41co16i\pukonielet8.bmp
- %TEMP%\41co16i\ns-tobga.tmp в %TEMP%\41co16i\tv_w32.exe
- %TEMP%\41co16i\x86\ns-alenj.tmp в %TEMP%\41co16i\x86\teamviewervpn.sys
Сетевая активность
TCP
Запросы HTTP GET
- http://ic####formation.com/ico/update.php?id#################################################
UDP
- DNS ASK pi###.#eamviewer.com
- DNS ASK ma#####.teamviewer.com
- DNS ASK cl####.teamviewer.com
- DNS ASK ic####formation.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'TeamViewer Manager'
Создает и запускает на исполнение
- '%TEMP%\ns-fk07l.tmp\ns-o0n85.tmp' /SL5 $5023E <Полный путь к файлу> 4417984 131584 /password=meoio7u /verysilent
- '%APPDATA%\appnt\svcc.exe'
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\41co16i\q5ngbi1cv.bat""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\41co16i\q5ngbi1cv.bat""
- '%WINDIR%\syswow64\xcopy.exe' /Y /I /S "%TEMP%\41co16i\*" "%APPDATA%\AppNT\"
