Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\TeamViewer5] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\TeamViewer.exe' = '%WINDIR%\TeamViewer.exe:*:Enabled:Win32load'
Создает и запускает на исполнение:
- '%WINDIR%\TeamViewer.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' firewall set allowedprogram %WINDIR%\TEAMVI~1.EXE Win32load
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\TS.dll
- %WINDIR%\tv.dll
- %WINDIR%\Teamviewer_Resource_en.dll
- %WINDIR%\tb.dll
- %WINDIR%\TeamViewer.exe
Сетевая активность:
Подключается к:
- 'ma####.dyngate.com':80
- 'ma#####.teamviewer.com':80
- 'ma#####3.teamviewer.com':80
- 'localhost':9998
- 'pi###.dyngate.com':5938
TCP:
Запросы HTTP GET:
- ma####.dyngate.com/din.aspx?s=################################################
- ma#####3.teamviewer.com/din.aspx?s=################################################
UDP:
- DNS ASK ma#####2.teamviewer.com
- DNS ASK ma#####1.teamviewer.com
- DNS ASK ma#####4.teamviewer.com
- DNS ASK ma#####6.teamviewer.com
- DNS ASK ma#####5.teamviewer.com
- DNS ASK ma#####3.teamviewer.com
- DNS ASK pi###.dyngate.com
- DNS ASK ma####.dyngate.com
- DNS ASK ma#####0.teamviewer.com
- DNS ASK ma#####.teamviewer.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
