Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\favicon.bmp
- %TEMP%\rarsfx0\favicon.ico
- %TEMP%\rarsfx0\vc.bmp
- %TEMP%\rarsfx0\vc.ico
- %TEMP%\rarsfx0\viaudconsulting.ico
- %TEMP%\rarsfx0\teamviewer_settings.reg
- %TEMP%\rarsfx0\tv.exe
- %TEMP%\rarsfx0\tv.au3
- %TEMP%\rarsfx0\teamviewer_host.msi
- %WINDIR%\temp\cab22be.tmp
- %WINDIR%\temp\tar22bf.tmp
- %WINDIR%\temp\2648e.mst
- %WINDIR%\temp\2648f.mst
- %TEMP%\msi15669.log
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\rarsfx0\viaudconsulting.ico
Удаляет следующие файлы
- %WINDIR%\temp\cab22be.tmp
- %WINDIR%\temp\tar22bf.tmp
- %WINDIR%\temp\2648e.mst
- %WINDIR%\temp\2648f.mst
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV
UDP
- DNS ASK microsoft.com
- DNS ASK oc##.#tartssl.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\tv.exe'
- '%WINDIR%\syswow64\cmd.exe' /c wmic product where "name like 'TeamViewer' and version < '14.0.0.0'" call uninstall' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c wmic product where "name like 'TeamViewer' and version < '14.0.0.0'" call uninstall
- '%WINDIR%\syswow64\wbem\wmic.exe' product where "name like 'TeamViewer' and version < '14.0.0.0'" call uninstall
- '%WINDIR%\syswow64\msiexec.exe' /i TeamViewer_Host.msi /qn /norestart IMPORTREGFILE=1 DESKTOPSHORTCUTS=0 CUSTOMCONFIGID=n8g63nw
