Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'wmiprvse' = '%APPDATA%\MSBuild\wmiprvse.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ns-oq0kg.tmp\ns-2msos.tmp
- %APPDATA%\msbuild\tv_x64.exe
- %APPDATA%\msbuild\tv_x64.dll
- %APPDATA%\msbuild\tv_w32.exe
- %APPDATA%\msbuild\tv_w32.dll
- %APPDATA%\msbuild\teamviewer_staticres.dll
- %APPDATA%\msbuild\teamviewer_resource_en.dll
- %APPDATA%\msbuild\teamviewer_desktop.exe
- %APPDATA%\msbuild\teamviewer.ini
- %APPDATA%\msbuild\msi.dll
- %APPDATA%\msbuild\dm01ictixm.cfg
- %APPDATA%\msbuild\5wug6ukgp7.bmp
- %APPDATA%\msbuild\4s5i6vk731.bat
- %TEMP%\em85shbdut\ns-geess.tmp
- %TEMP%\em85shbdut\ns-pvjir.tmp
- %TEMP%\em85shbdut\ns-4qv2s.tmp
- %TEMP%\em85shbdut\ns-43ddh.tmp
- %TEMP%\em85shbdut\ns-lmfq4.tmp
- %TEMP%\em85shbdut\ns-k6oqs.tmp
- %TEMP%\em85shbdut\ns-fvf7g.tmp
- %TEMP%\em85shbdut\ns-iud8l.tmp
- %TEMP%\em85shbdut\ns-a0qk5.tmp
- %TEMP%\em85shbdut\ns-8ugbt.tmp
- %TEMP%\em85shbdut\ns-5k3ng.tmp
- %TEMP%\em85shbdut\ns-hqn2s.tmp
- %TEMP%\em85shbdut\ns-fsah6.tmp
- %TEMP%\ns-31h73.tmp\_iscrypt.dll
- %TEMP%\ns-31h73.tmp\_shfoldr.dll
- %APPDATA%\msbuild\wmiprvse.exe
- %TEMP%\new.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\msbuild\msi.dll
- %APPDATA%\msbuild\teamviewer.ini
- %APPDATA%\msbuild\teamviewer_desktop.exe
- %APPDATA%\msbuild\teamviewer_resource_en.dll
- %APPDATA%\msbuild\teamviewer_staticres.dll
- %APPDATA%\msbuild\tv_w32.dll
- %APPDATA%\msbuild\tv_w32.exe
- %APPDATA%\msbuild\tv_x64.dll
- %APPDATA%\msbuild\tv_x64.exe
- %APPDATA%\msbuild\wmiprvse.exe
Удаляет следующие файлы
- %TEMP%\ns-31h73.tmp\_iscrypt.dll
- %TEMP%\ns-31h73.tmp\_shfoldr.dll
- %TEMP%\ns-oq0kg.tmp\ns-2msos.tmp
- %TEMP%\em85shbdut\msi.dll
- %TEMP%\em85shbdut\tv_w32.dll
- %TEMP%\em85shbdut\tv_w32.exe
- %TEMP%\em85shbdut\tv_x64.dll
- %TEMP%\em85shbdut\tv_x64.exe
- %TEMP%\em85shbdut\wmiprvse.exe
- %APPDATA%\msbuild\5wug6ukgp7.bmp
Перемещает следующие файлы
- %TEMP%\em85shbdut\ns-fsah6.tmp в %TEMP%\em85shbdut\4s5i6vk731.bat
- %TEMP%\em85shbdut\ns-hqn2s.tmp в %TEMP%\em85shbdut\5wug6ukgp7.bmp
- %TEMP%\em85shbdut\ns-5k3ng.tmp в %TEMP%\em85shbdut\dm01ictixm.cfg
- %TEMP%\em85shbdut\ns-8ugbt.tmp в %TEMP%\em85shbdut\msi.dll
- %TEMP%\em85shbdut\ns-a0qk5.tmp в %TEMP%\em85shbdut\teamviewer.ini
- %TEMP%\em85shbdut\ns-iud8l.tmp в %TEMP%\em85shbdut\teamviewer_desktop.exe
- %TEMP%\em85shbdut\ns-fvf7g.tmp в %TEMP%\em85shbdut\teamviewer_resource_en.dll
- %TEMP%\em85shbdut\ns-k6oqs.tmp в %TEMP%\em85shbdut\teamviewer_staticres.dll
- %TEMP%\em85shbdut\ns-lmfq4.tmp в %TEMP%\em85shbdut\tv_w32.dll
- %TEMP%\em85shbdut\ns-43ddh.tmp в %TEMP%\em85shbdut\tv_w32.exe
- %TEMP%\em85shbdut\ns-4qv2s.tmp в %TEMP%\em85shbdut\tv_x64.dll
- %TEMP%\em85shbdut\ns-pvjir.tmp в %TEMP%\em85shbdut\tv_x64.exe
- %TEMP%\em85shbdut\ns-geess.tmp в %TEMP%\em85shbdut\wmiprvse.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://pa###rmine.net/update.php?id################################################
- http://cr####mandarin.xyz/new.exe
- http://pa###rmine.net/update.php?id######################################################
- http://ad##c.live/clip.exe
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK pi###.#eamviewer.com
- DNS ASK ma#####6.teamviewer.com
- DNS ASK cl####.teamviewer.com
- DNS ASK pa###rmine.net
- DNS ASK cr####mandarin.xyz
- DNS ASK ad##c.live
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'TeamViewer Manager'
Создает и запускает на исполнение
- '%TEMP%\ns-oq0kg.tmp\ns-2msos.tmp' /SL6 $12022C <Полный путь к файлу> 4920681 291328 /password=3sh9v0s /verysilent
- '%APPDATA%\msbuild\wmiprvse.exe'
- '%TEMP%\new.exe'
- '%APPDATA%\msbuild\tv_w32.exe' --action hooks --deferlog --log %APPDATA%\TeamViewer\
- '%APPDATA%\msbuild\tv_x64.exe' --action hooks --deferlog --log %APPDATA%\TeamViewer\
- '%APPDATA%\msbuild\teamviewer_desktop.exe' --IPCport 6039
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\em85shbdut\4s5i6vk731.bat""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /V "wmiprvse" /t REG_SZ /F /D "%APPDATA%\MSBuild\wmiprvse.exe"' (со скрытым окном)
- '%TEMP%\new.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\em85shbdut\4s5i6vk731.bat""
- '%WINDIR%\syswow64\xcopy.exe' /Y /I /S "%TEMP%\em85shbdut\*" "%APPDATA%\MSBuild\"
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /V "wmiprvse" /t REG_SZ /F /D "%APPDATA%\MSBuild\wmiprvse.exe"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /V "wmiprvse" /t REG_SZ /F /D "%APPDATA%\MSBuild\wmiprvse.exe"
