Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'wmiprvse' = '%APPDATA%\PLAYRE~1\wmiprvse.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\myapp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ns-o2eui.tmp\ns-tdrke.tmp
- %APPDATA%\playready\wmiprvse.exe
- %APPDATA%\playready\tv_x64.exe
- %APPDATA%\playready\tv_x64.dll
- %APPDATA%\playready\tv_w32.exe
- %APPDATA%\playready\tv_w32.dll
- %APPDATA%\playready\teamviewer_staticres.dll
- %APPDATA%\playready\teamviewer_resource_en.dll
- %APPDATA%\playready\teamviewer_desktop.exe
- %APPDATA%\playready\teamviewer.ini
- %APPDATA%\playready\om8gzr5nsh.cfg
- %APPDATA%\playready\msi.dll
- %APPDATA%\playready\h72idxl08z4i.bmp
- %APPDATA%\playready\9fhlue06uh.bat
- %TEMP%\sec.exe
- %TEMP%\x70u9m3m\ns-8oj1m.tmp
- %TEMP%\x70u9m3m\ns-ksrcu.tmp
- %TEMP%\x70u9m3m\ns-g4mne.tmp
- %TEMP%\x70u9m3m\ns-9ngfj.tmp
- %TEMP%\x70u9m3m\ns-ifufs.tmp
- %TEMP%\x70u9m3m\ns-o194p.tmp
- %TEMP%\x70u9m3m\ns-3hb81.tmp
- %TEMP%\x70u9m3m\ns-7jf5t.tmp
- %TEMP%\x70u9m3m\ns-ptmo5.tmp
- %TEMP%\x70u9m3m\ns-20t4l.tmp
- %TEMP%\x70u9m3m\ns-k4m3p.tmp
- %TEMP%\x70u9m3m\ns-664ks.tmp
- %TEMP%\ns-cd7ro.tmp\_iscrypt.dll
- %TEMP%\ns-cd7ro.tmp\_shfoldr.dll
- %TEMP%\x70u9m3m\ns-rqlvm.tmp
- %APPDATA%\service.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\playready\msi.dll
- %APPDATA%\playready\teamviewer.ini
- %APPDATA%\playready\teamviewer_desktop.exe
- %APPDATA%\playready\teamviewer_resource_en.dll
- %APPDATA%\playready\teamviewer_staticres.dll
- %APPDATA%\playready\tv_w32.dll
- %APPDATA%\playready\tv_w32.exe
- %APPDATA%\playready\tv_x64.dll
- %APPDATA%\playready\tv_x64.exe
- %APPDATA%\playready\wmiprvse.exe
Удаляет следующие файлы
- %TEMP%\ns-cd7ro.tmp\_iscrypt.dll
- %TEMP%\ns-cd7ro.tmp\_shfoldr.dll
- %TEMP%\ns-o2eui.tmp\ns-tdrke.tmp
- %TEMP%\x70u9m3m\msi.dll
- %TEMP%\x70u9m3m\tv_w32.dll
- %TEMP%\x70u9m3m\tv_w32.exe
- %TEMP%\x70u9m3m\tv_x64.dll
- %TEMP%\x70u9m3m\tv_x64.exe
- %TEMP%\x70u9m3m\wmiprvse.exe
- %APPDATA%\playready\h72idxl08z4i.bmp
Перемещает следующие файлы
- %TEMP%\x70u9m3m\ns-664ks.tmp в %TEMP%\x70u9m3m\9fhlue06uh.bat
- %TEMP%\x70u9m3m\ns-k4m3p.tmp в %TEMP%\x70u9m3m\h72idxl08z4i.bmp
- %TEMP%\x70u9m3m\ns-20t4l.tmp в %TEMP%\x70u9m3m\msi.dll
- %TEMP%\x70u9m3m\ns-ptmo5.tmp в %TEMP%\x70u9m3m\om8gzr5nsh.cfg
- %TEMP%\x70u9m3m\ns-7jf5t.tmp в %TEMP%\x70u9m3m\teamviewer.ini
- %TEMP%\x70u9m3m\ns-3hb81.tmp в %TEMP%\x70u9m3m\teamviewer_desktop.exe
- %TEMP%\x70u9m3m\ns-o194p.tmp в %TEMP%\x70u9m3m\teamviewer_resource_en.dll
- %TEMP%\x70u9m3m\ns-ifufs.tmp в %TEMP%\x70u9m3m\teamviewer_staticres.dll
- %TEMP%\x70u9m3m\ns-9ngfj.tmp в %TEMP%\x70u9m3m\tv_w32.dll
- %TEMP%\x70u9m3m\ns-g4mne.tmp в %TEMP%\x70u9m3m\tv_w32.exe
- %TEMP%\x70u9m3m\ns-ksrcu.tmp в %TEMP%\x70u9m3m\tv_x64.dll
- %TEMP%\x70u9m3m\ns-rqlvm.tmp в %TEMP%\x70u9m3m\tv_x64.exe
- %TEMP%\x70u9m3m\ns-8oj1m.tmp в %TEMP%\x70u9m3m\wmiprvse.exe
- %APPDATA%\service.exe в %WINDIR%\syswow64\0x1.34fc00p-1015ppdata\service.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://my.###eermine.com/update.php?id################################################
- http://cr####mandarin.xyz/sec.exe
- http://my.###eermine.com/update.php?id######################################################
UDP
- DNS ASK pi###.#eamviewer.com
- DNS ASK ma#####2.teamviewer.com
- DNS ASK cl####.teamviewer.com
- DNS ASK my.###eermine.com
- DNS ASK cr####mandarin.xyz
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'TeamViewer Manager'
Создает и запускает на исполнение
- '%TEMP%\ns-o2eui.tmp\ns-tdrke.tmp' /SL6 $C0208 <Полный путь к файлу> 4684655 55296 /password=fufr1vf /verysilent
- '%APPDATA%\playready\wmiprvse.exe'
- '%TEMP%\sec.exe'
- '%APPDATA%\service.exe'
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\x70u9m3m\9fhlue06uh.bat""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /V "wmiprvse" /t REG_SZ /F /D "%APPDATA%\PLAYRE~1\wmiprvse.exe"' (со скрытым окном)
- '%TEMP%\sec.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /create /tn MyApp /tr %APPDATA%\service.exe /st 00:00 /du 9999:59 /sc daily /ri 1 /f' (со скрытым окном)
- '%APPDATA%\service.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\x70u9m3m\9fhlue06uh.bat""
- '%WINDIR%\syswow64\xcopy.exe' /Y /I /S "%TEMP%\x70u9m3m\*" "%APPDATA%\PlayReady\"
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /V "wmiprvse" /t REG_SZ /F /D "%APPDATA%\PLAYRE~1\wmiprvse.exe"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /V "wmiprvse" /t REG_SZ /F /D "%APPDATA%\PLAYRE~1\wmiprvse.exe"
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /create /tn MyApp /tr %APPDATA%\service.exe /st 00:00 /du 9999:59 /sc daily /ri 1 /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn MyApp /tr %APPDATA%\service.exe /st 00:00 /du 9999:59 /sc daily /ri 1 /f
- '<SYSTEM32>\taskeng.exe' {96230483-EB94-46CC-BA46-9491C831F12D} S-1-5-21-1960123792-2022915161-3775307078-1001:umriukbeofal\user:Interactive:[1]
