Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\TeamViewer] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\TeamViewer] 'ImagePath' = '%ProgramFiles%\TeamViewer\TeamViewer_Service.exe'
Создает следующие сервисы
- 'TeamViewer' %ProgramFiles%\TeamViewer\TeamViewer_Service.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /t /im TeamViewer_Service.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /t /im teamViewer.exe
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles%\teamviewer\x64\tvmonitor.cat
- %ProgramFiles%\teamviewer\x64\tvmonitor.inf
- %ProgramFiles%\teamviewer\x64\tvmonitor.sy_
- %ProgramFiles%\teamviewer\x86\tvmonitor.cat
- %ProgramFiles%\teamviewer\x86\tvmonitor.inf
- %ProgramFiles%\teamviewer\x86\tvmonitor.sy_
- %ProgramFiles%\teamviewer\blackscreenimage.png
- %ProgramFiles%\teamviewer\logobase64.txt
- %ProgramFiles%\teamviewer\rolloutfile.tv13
- %ProgramFiles%\teamviewer\teamviewer.exe
- %ProgramFiles%\teamviewer\teamviewer.json
- %ProgramFiles%\teamviewer\teamviewer.sig
- %ProgramFiles%\teamviewer\teamviewer_desktop.exe
- %ProgramFiles%\teamviewer\teamviewer_note.exe
- %ProgramFiles%\teamviewer\teamviewer_resource_zhcn.dll
- %ProgramFiles%\teamviewer\teamviewer_service.exe
- %ProgramFiles%\teamviewer\teamviewer_staticres.dll
- %ProgramFiles%\teamviewer\tv_w32.dll
- %ProgramFiles%\teamviewer\tv_w32.exe
- %ProgramFiles%\teamviewer\tv_x64.dll
- %ProgramFiles%\teamviewer\tv_x64.exe
- %ProgramFiles%\teamviewer\tvinfo.ini
- %ProgramFiles%\teamviewer\uninstall.exe
- %ProgramFiles%\teamviewer\writedump.exe
- %ProgramFiles%\teamviewer\logo.png
- %ProgramFiles%\teamviewer\teamviewer15_logfile.log
- %WINDIR%\temp\vwvjav9wbzexlzwa
- %LOCALAPPDATA%\teamviewer\database\tvchatfilecache.db-journal
- %LOCALAPPDATA%\teamviewer\database\tvchatfilecache.db
- %ProgramFiles%\teamviewer\tvnetwork.log
Сетевая активность
Подключается к
- 'co#####l.teamviewer.com':443
- 'localhost':49692
- 'localhost':5939
- 'ro#####6.teamviewer.com':5938
- '45.##5.117.244':80
TCP
Запросы HTTP GET
Другие
- 'localhost':49692
- 'co#####l.teamviewer.com':443
- 'localhost':5939
- 'localhost':49694
- 'ro#####6.teamviewer.com':5938
UDP
- DNS ASK co#####l.teamviewer.com
- DNS ASK ro#####6.teamviewer.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'CustomRunner' WindowName: ''
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles%\teamviewer\teamviewer_service.exe'
- '%ProgramFiles%\teamviewer\teamviewer.exe'
- '%ProgramFiles%\teamviewer\tv_w32.exe' --action hooks --log %ProgramFiles%\TeamViewer\TeamViewer15_Logfile.log
- '%ProgramFiles%\teamviewer\tv_x64.exe' --action hooks --log %ProgramFiles%\TeamViewer\TeamViewer15_Logfile.log
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' stop TeamViewer (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' delete TeamViewer (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\TVInstallTemp" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\TVInstallTemp" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\TVInstallTemp" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\TVInstallTemp" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_CURRENT_USER\SOFTWARE\TVInstallTemp" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' DELETE "HKEY_LOCAL_MACHINE\SOFTWARE\TVInstallTemp" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "CustomBlackScreen" /t "REG_SZ" /d "%ProgramFiles%\TeamViewer\BlackScreenImage.png" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "CustomBlackScreen" /t "REG_SZ" /d "%ProgramFiles%\TeamViewer\BlackScreenImage.png" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAccepted" /t "REG_DWORD" /d "1" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAccepted" /t "REG_DWORD" /d "1" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAcceptedQS" /t "REG_DWORD" /d "1" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAcceptedQS" /t "REG_DWORD" /d "1" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAccepted" /t "REG_DWORD" /d "1" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAccepted" /t "REG_DWORD" /d "1" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAcceptedQS" /t "REG_DWORD" /d "1" /reg:64 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAcceptedQS" /t "REG_DWORD" /d "1" /reg:32 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAccepted" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAcceptedQS" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAccepted" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_CURRENT_USER\SOFTWARE\TeamViewer" /v "TeamViewerTermsOfUseAcceptedQS" /t "REG_DWORD" /d "1" /f (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create TeamViewer binPath= "%ProgramFiles%\TeamViewer\TeamViewer_Service.exe" DisplayName= "TeamViewer" start= "auto" (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' start TeamViewer (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /t /im TeamViewer_Service.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /t /im teamViewer.exe (со скрытым окном)
- '%ProgramFiles%\teamviewer\teamviewer.exe' (со скрытым окном)
