Trojan.DownLoader11.46146

Техническая информация

Вредоносные функции:

Создает и запускает на исполнение:

'%TEMP%\HKTeam\tv_w32.exe' --action hooks --log %APPDATA%\TeamViewer\TeamViewer7_Logfile.log
'%TEMP%\HKTeam\TeamViewer.exe'

Запускает на исполнение:

'%WINDIR%\regedit.exe' /s "%TEMP%\HKTeam\Team.reg"

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Cab2B.tmp
%TEMP%\Cab2D.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab25.tmp
%TEMP%\Cab27.tmp
%TEMP%\Cab35.tmp
%TEMP%\Cab37.tmp
%TEMP%\Cab33.tmp
%TEMP%\Cab2F.tmp
%TEMP%\Cab31.tmp
%TEMP%\Cab23.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab13.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab1D.tmp
%TEMP%\Cab19.tmp
%TEMP%\Cab1B.tmp
%TEMP%\Cab53.tmp
%TEMP%\Cab55.tmp
%TEMP%\Cab51.tmp
%TEMP%\Cab4F.tmp
%APPDATA%\TeamViewer\TeamViewer7_Logfile.log
%TEMP%\Cab5D.tmp
%TEMP%\Cab5F.tmp
%TEMP%\Cab5B.tmp
%TEMP%\Cab57.tmp
%TEMP%\Cab59.tmp
%TEMP%\Cab4D.tmp
%TEMP%\Cab3F.tmp
%TEMP%\Cab41.tmp
%TEMP%\Cab3D.tmp
%TEMP%\Cab39.tmp
%TEMP%\Cab3B.tmp
%TEMP%\Cab49.tmp
%TEMP%\Cab4B.tmp
%TEMP%\Cab47.tmp
%TEMP%\Cab43.tmp
%TEMP%\Cab45.tmp
%TEMP%\CabD.tmp
%TEMP%\HKTeam\tv_x64.exe
%TEMP%\HKTeam\TeamViewer_Resource_en.dll
%TEMP%\HKTeam\tv_w32.exe
%TEMP%\HKTeam\TeamViewer_Desktop.exe
%TEMP%\HKTeam\TeamViewer_Service.exe
%TEMP%\HKTeam\tv_x64.dll
%TEMP%\HKTeam\x86\teamviewervpn.sys
%TEMP%\HKTeam\tv_w32.dll
%TEMP%\HKTeam\TeamViewer_Resource_vi.dll
%TEMP%\HKTeam\TeamViewer_StaticRes.dll
%TEMP%\HKTeam\TeamViewer.exe
%TEMP%\HKTeam.rar
%TEMP%\HKTeam\tvinfo.ini
%TEMP%\aut2.tmp
%TEMP%\aut1.tmp
<SYSTEM32>\unrar.dll
%TEMP%\HKTeam\x86\TVMonitor.inf
%TEMP%\HKTeam\x64\TVMonitor.inf
%TEMP%\HKTeam\x64\TeamViewerVPN.inf
%TEMP%\HKTeam\w2k\TeamViewerVPN.inf
%TEMP%\HKTeam\x86\TeamViewerVPN.inf
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\HKTeam\x86\TVMonitor.sy_
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab5.tmp
%TEMP%\HKTeam\w2k\teamviewervpn.sy_
%TEMP%\HKTeam\x64\TVMonitor.sys
%TEMP%\HKTeam\x64\teamviewervpn.cat
%TEMP%\HKTeam\x86\TVMonitor.sys
%TEMP%\HKTeam\w2k\teamviewervpn.sys
%TEMP%\HKTeam\x64\teamviewervpn.sys
%TEMP%\HKTeam\Team.reg
%TEMP%\HKTeam\x86\teamviewervpn.sy_
%TEMP%\HKTeam\x64\tvmonitor.cat
%TEMP%\HKTeam\x86\teamviewervpn.cat
%TEMP%\HKTeam\x86\tvmonitor.cat

Присваивает атрибут 'скрытый' для следующих файлов:

%TEMP%\HKTeam\TeamViewer_StaticRes.dll
%TEMP%\HKTeam\tv_w32.dll
%TEMP%\HKTeam\tv_x64.dll
%TEMP%\HKTeam\tvinfo.ini
%TEMP%\HKTeam\tv_w32.exe
%TEMP%\HKTeam\tv_x64.exe

Удаляет следующие файлы:

%TEMP%\Cab3F.tmp
%TEMP%\Cab3D.tmp
%TEMP%\Cab3B.tmp
%TEMP%\Cab45.tmp
%TEMP%\Cab43.tmp
%TEMP%\Cab41.tmp
%TEMP%\Cab33.tmp
%TEMP%\Cab31.tmp
%TEMP%\Cab2F.tmp
%TEMP%\Cab39.tmp
%TEMP%\Cab37.tmp
%TEMP%\Cab35.tmp
%TEMP%\Cab47.tmp
%TEMP%\Cab59.tmp
%TEMP%\Cab57.tmp
%TEMP%\Cab55.tmp
%TEMP%\Cab5F.tmp
%TEMP%\Cab5D.tmp
%TEMP%\Cab5B.tmp
%TEMP%\Cab4D.tmp
%TEMP%\Cab4B.tmp
%TEMP%\Cab49.tmp
%TEMP%\Cab53.tmp
%TEMP%\Cab51.tmp
%TEMP%\Cab4F.tmp
%TEMP%\CabD.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab9.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab11.tmp
%TEMP%\CabF.tmp
%TEMP%\HKTeam.rar
%TEMP%\aut2.tmp
%TEMP%\aut1.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab3.tmp
%TEMP%\Cab15.tmp
%TEMP%\Cab27.tmp
%TEMP%\Cab25.tmp
%TEMP%\Cab23.tmp
%TEMP%\Cab2D.tmp
%TEMP%\Cab2B.tmp
%TEMP%\Cab29.tmp
%TEMP%\Cab1B.tmp
%TEMP%\Cab19.tmp
%TEMP%\Cab17.tmp
%TEMP%\Cab21.tmp
%TEMP%\Cab1F.tmp
%TEMP%\Cab1D.tmp

Сетевая активность:

Подключается к:

'pi###.#eamviewer.com':443
'pi###.#eamviewer.com':80
'ma#####.teamviewer.com':80
'wp#d':80
'www.download.windowsupdate.com':80
'pi###.#eamviewer.com':5938

TCP:

Запросы HTTP GET:

pi###.#eamviewer.com/din.aspx?s=#####################################################
ma#####.teamviewer.com/din.aspx?s=#####################################################
ma#####.teamviewer.com/din.aspx?s=####################################################
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

UDP: