Trojan.DownLoader11.49548

Техническая информация

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\RarSFX0\BitTorrent.exe' = '%TEMP%\RarSFX0\BitTorrent.exe:*:Enabled:BitTorrent'

Создает и запускает на исполнение:

'%TEMP%\RarSFX0\BitTorrent.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\dlimagecache\7E8EA5239F7D412D2CCC22286D5EDC0A54F21C6D
%TEMP%\RarSFX0\dlimagecache\165F6EF40A81DD175FFAEA69E77ABFD30B27E71C
%TEMP%\utt1.tmp.new
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\RarSFX0\dlimagecache\10E6FBE4D921B475FA5FEC6E9A535A540D6FEED1
%TEMP%\RarSFX0\apps\featuredContent.btapp
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\x.png
%TEMP%\RarSFX0\apps\player.btapp
%TEMP%\RarSFX0\apps\welcome-upsell.btapp
%TEMP%\RarSFX0\apps\plus.btapp
%TEMP%\utt4.tmp.new
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%TEMP%\Cab5.tmp
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%TEMP%\Cab7.tmp
%TEMP%\RarSFX0\updates\7.9.2_36618.exe
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%TEMP%\Cab2.tmp
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\724b8556635fdc9dba749fc5009b64da_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\vid_thumb.jpg
%TEMP%\RarSFX0\rss.dat
%TEMP%\RarSFX0\resume.dat
%TEMP%\RarSFX0\settings.dat
%TEMP%\RarSFX0\toolbar_offer.benc
%TEMP%\RarSFX0\toolbar.benc
%TEMP%\RarSFX0\maindoc.ico
%TEMP%\RarSFX0\BitTorrent.exe
%TEMP%\RarSFX0\ReadMe.url
%TEMP%\RarSFX0\bittorrent.lng
%TEMP%\RarSFX0\dht_feed.dat
%TEMP%\RarSFX0\dht.dat
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\empty_movie.gif
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\btapp
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\index.html
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\main.css
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\info_icon.png
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\main.css
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\btapp
%TEMP%\RarSFX0\updates.dat
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\icon.bmp
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\index.js
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\index.html

Удаляет следующие файлы:

%TEMP%\Cab7.tmp
%TEMP%\utt4.tmp
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%TEMP%\Cab2.tmp
%TEMP%\utt1.tmp
%TEMP%\Cab5.tmp

Перемещает следующие файлы:

%TEMP%\RarSFX0\settings.dat.new в %TEMP%\RarSFX0\settings.dat
%TEMP%\utt4.tmp.new в %TEMP%\utt4.tmp
%TEMP%\utt1.tmp.new в %TEMP%\utt1.tmp
%TEMP%\RarSFX0\settings.dat в %TEMP%\RarSFX0\settings.dat.old

Сетевая активность:

Подключается к:

'cd#.###medianetwork.com':80
'www.mi###ova.org':80
'up####.bittorrent.com':80
'up####.utorrent.li':80
'up####.utorrent.com':80
'www.download.windowsupdate.com':80
'wp#d':80
'be###.utorrent.com':80
'localhost':44342
'localhost':1047

TCP:

Запросы HTTP GET:

up####.bittorrent.com/time.php
cd#.###medianetwork.com/network/index-edge.html?ta##############################################################################################
up####.utorrent.li/checkupdate.php?s=#################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################
up####.utorrent.com/checkupdate.php?s=#################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################
cd#.###medianetwork.com/network/index-edge.html?ta#################################################################################################
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
wp#d/wpad.dat
www.mi###ova.org/favicon.ico
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

Запросы HTTP POST: