BackDoor.Tdss.7182

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Control\Print\Providers\tdl] 'Name' = '%TEMP%\4.tmp'

Вредоносные функции:

Создает и запускает на исполнение:

%TEMP%\TeamViewer\Version5\TeamViewer_.exe
%TEMP%\TeamViewer\Version5\TeamViewer.exe
%TEMP%\ TeamViewerQS.exe
%TEMP%\ 1271446333.do.exe

Внедряет код в

следующие системные процессы:

<SYSTEM32>\spoolsv.exe

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\TeamViewer\Version5\Teamviewer_Resource_nl.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_ja.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_pl.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_no.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_fi.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_es.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_it.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_fr.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_pt.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\A8FABA189DB7D25FBA7CAC806625FD30
%APPDATA%\Microsoft\CryptnetUrlCache\Content\60E31627FDA0A46932B0E5948949F2A5
%APPDATA%\TeamViewer\TeamViewer5_Logfile.log
%APPDATA%\Microsoft\CryptnetUrlCache\Content\A8FABA189DB7D25FBA7CAC806625FD30
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_tr.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_sv.dll
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\60E31627FDA0A46932B0E5948949F2A5
%TEMP%\nsfB.tmp\Base64.dll
%TEMP%\TeamViewer\Version5\tvinfo.ini
%TEMP%\3.tmp
%TEMP%\nskA.tmp
%WINDIR%\Temp\5.tmp
%TEMP%\ 1271446333.do.exe
%TEMP%\ TeamViewerQS.exe
%TEMP%\TeamViewer\Version5\TeamViewer_.exe
%TEMP%\nsz2.tmp\TvGetVersion.dll
%TEMP%\nsfB.tmp\TvGetVersion.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_en.dll
%TEMP%\TeamViewer\Version5\SAS.exe
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_da.dll
%TEMP%\TeamViewer\Version5\Teamviewer_Resource_de.dll
%TEMP%\TeamViewer\Version5\TeamViewer.exe
%TEMP%\nsfB.tmp\System.dll
%TEMP%\TeamViewer\Version5\TV.dll
%TEMP%\TeamViewer\Version5\TeamViewer_Service.exe

Удаляет следующие файлы:

%TEMP%\nsfB.tmp\Base64.dll
%TEMP%\nsfB.tmp\System.dll
%TEMP%\nsfB.tmp\TvGetVersion.dll
%TEMP%\4.tmp
%TEMP%\nsz2.tmp\TvGetVersion.dll
%WINDIR%\Temp\5.tmp

Сетевая активность:

Подключается к:

'ma####.dyngate.com':80
'ma#####.teamviewer.com':80
'pi###.dyngate.com':80
'ma#####5.teamviewer.com':80
'pi###.dyngate.com':5938
'crl.verisign.com':80
'wp#d':80
'localhost':9998
'cs######4-crl.verisign.com':80

TCP:

Запросы HTTP GET:

ma#####5.teamviewer.com/din.aspx?s=####################################################
ma#####5.teamviewer.com/din.aspx?s=#####################################################
ma####.dyngate.com/din.aspx?s=#####################################################
pi###.dyngate.com/din.aspx?s=####################################################
pi###.dyngate.com/din.aspx?s=#####################################################
crl.verisign.com/pca3.crl
wp#d/wpad.dat
cs######4-crl.verisign.com/CSC3-2004.crl
ma####.dyngate.com/din.aspx?s=####################################################
ma#####.teamviewer.com/din.aspx?s=#####################################################

UDP: