Trojan.Hosts.33410

Техническая информация

Для обеспечения автозапуска и распространения:

Создает следующие сервисы:

[<HKLM>\SYSTEM\ControlSet001\Services\StartTmSv] 'Start' = '00000002'

Вредоносные функции:

Создает и запускает на исполнение:

'C:\StartTm\Procuratorate.exe'
'C:\StartTm\autoUpdate.exe' /silent
'C:\StartTm\StartTmSrv.exe'
'C:\StartTm\StartTm.exe'
'C:\StartTm\StartTmSrv.exe' /install /silent

Запускает на исполнение:

'%WINDIR%\regedit.exe' /s surme.reg
'<SYSTEM32>\ping.exe' -n 12 127.1
'<SYSTEM32>\cmd.exe' /c ""C:\StartTm\bamiz.bat" h"
'<SYSTEM32>\cmd.exe' /c ""C:\StartTm\bamiz.bat" "
'<SYSTEM32>\mshta.exe' vbscript:createobject("wscript.shell").run("""bamiz.bat"" h",0)(window.close)

Изменения в файловой системе:

Создает следующие файлы:

C:\StartTm\i386\TeamViewer.ppd
C:\StartTm\x64\TeamViewer.ppd
C:\StartTm\x64\TeamViewer.gpd
C:\StartTm\x86\TeamViewer.gpd
C:\StartTm\x86\TeamViewerVPN.sy_
C:\StartTm\x64\TeamViewerVPN.sy_
C:\StartTm\x86\TeamViewer.ppd
C:\StartTm\surme.reg
C:\StartTm\i386\TeamViewer.gpd
C:\StartTm\x64\TVMonitor.cat
C:\StartTm\x64\tvprint.cat
C:\StartTm\x86\TeamViewerVPN.cat
C:\StartTm\x86\TVMonitor.cat
C:\StartTm\x86\tvpsprint.cat
C:\StartTm\TeamViewer.gowsa
C:\StartTm\x86\tvprint.cat
C:\StartTm\x64\tvpsprint.cat
C:\StartTm\x86\TVMonitor.sy_
%TEMP%\Cab9.tmp
%TEMP%\CabB.tmp
%TEMP%\Cab5.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab13.tmp
%TEMP%\CabD.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab3.tmp
C:\StartTm\update\update.ini
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
C:\StartTm\x64\TVMonitor.sy_
C:\StartTm\surme.goew
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab1.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
C:\StartTm\instDrv.exe
C:\StartTm\lddrv64.exe
C:\StartTm\autoUpdate.exe
C:\StartTm\hdnWnd.exe
C:\StartTm\StartTmSrv.exe
C:\StartTm\TeamViewer_Desktop.exe
C:\StartTm\Procuratorate.exe
C:\StartTm\StartTm.exe
C:\StartTm\x86\TVPSPrint.inf
C:\StartTm\x64\TeamViewerVPN.inf
C:\StartTm\x86\TVMonitor.inf
C:\StartTm\bamiz.bat
C:\StartTm\x86\TeamViewerVPN.inf
C:\StartTm\x86\TVPrint.inf
C:\StartTm\x64\TVPSPrint.inf
C:\StartTm\x64\TVMonitor.inf
C:\StartTm\x64\TVPrint.inf
C:\StartTm\tv_w32.exe
C:\StartTm\tv_x64.dll
C:\StartTm\vcLoadDll.dll
C:\StartTm\TeamViewer_StaticRes.dll
C:\StartTm\tv_w32.dll
C:\StartTm\Drivers\win7_ia64\kbdMimi.sys
C:\StartTm\x64\TeamViewerVPN.cat
C:\StartTm\Drivers\win7_x86\kbdMimi.sys
C:\StartTm\Drivers\win7_amd64\kbdMimi.sys
C:\StartTm\TeamViewer_Resource_en.dll
C:\StartTm\ijtPresd.dll
C:\StartTm\libcurl.dll
C:\StartTm\tv_x64.exe
C:\StartTm\extMods.dll
C:\StartTm\x86\Teamviewer_PrintProcessor.dll
C:\StartTm\x64\Teamviewer_PrintProcessor.dll
C:\StartTm\LoadResource.dll
C:\StartTm\msvcr100.dll

Удаляет следующие файлы:

%TEMP%\CabD.tmp
%TEMP%\CabB.tmp
%TEMP%\CabF.tmp
%TEMP%\Cab13.tmp
%TEMP%\Cab11.tmp
%TEMP%\Cab9.tmp
%TEMP%\Cab1.tmp
C:\StartTm\update\update.ini
%TEMP%\Cab3.tmp
%TEMP%\Cab7.tmp
%TEMP%\Cab5.tmp

Изменяет файл HOSTS.

Сетевая активность:

Подключается к:

'www.download.windowsupdate.com':80
'wp#d':80
'localhost':80

TCP:

Запросы HTTP GET:

www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
se#####teamviewer.com/update/StartTm/update.ini
wp#d/wpad.dat

UDP: