Trojan.DownLoader.64219

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Xenocode\SandboxCache\24A71CD0\MODIFIED\@HKCU@\Software\Classes\.btinstall\shell\open\command] '' = '"%PROGRAM_FILES%\uTorrent\uTorrent.exe" "%1"'
[<HKCU>\Software\Xenocode\SandboxCache\24A71CD0\MODIFIED\@HKCU@\Software\Classes\.btskin\shell\open\command] '' = '"%PROGRAM_FILES%\uTorrent\uTorrent.exe" "%1"'
[<HKCU>\Software\Xenocode\SandboxCache\24A71CD0\MODIFIED\@HKCU@\Software\Classes\Magnet\shell\open\command] '' = '"%PROGRAM_FILES%\uTorrent\uTorrent.exe" "%1"'
[<HKCU>\Software\Xenocode\SandboxCache\24A71CD0\MODIFIED\@HKCU@\Software\Classes\.btapp\shell\open\command] '' = '"%PROGRAM_FILES%\uTorrent\uTorrent.exe" "%1"'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '<Текущая директория>\µTorrent\MODIFIED\@PROGRAMFILESX86@\uTorrent\uTorrent.exe' = '<Текущая директория>\µTorrent\MODIFIED\@PROGRAMFILESX86@\uTorrent\uTorrent.exe:*:Enabled:µTorrent'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\utt3.tmp
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\dlimagecache\2D78C93EC367E6C1D9894103FA04B3BE5B20A84E.__meta__
%TEMP%\utt4.tmp
%TEMP%\utt1.tmp
<Текущая директория>\µTorrent\MODIFIED\@APPDATA@\uTorrent\dlimagecache\2D78C93EC367E6C1D9894103FA04B3BE5B20A84E
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\dlimagecache\BBEEC0395D21A2A7F91889D7C7509F3D5D46FC05.__meta__
<Текущая директория>\µTorrent\MODIFIED\@APPDATA@\uTorrent\dlimagecache\BBEEC0395D21A2A7F91889D7C7509F3D5D46FC05
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\dlimagecache\10E6FBE4D921B475FA5FEC6E9A535A540D6FEED1.__meta__
<Текущая директория>\µTorrent\MODIFIED\@APPDATA@\uTorrent\dlimagecache\10E6FBE4D921B475FA5FEC6E9A535A540D6FEED1
%TEMP%\utt2.tmp
<Текущая директория>\µTorrent\MODIFIED\@APPDATA@\Microsoft\Crypto\RSA\S-1-5-21-1275210071-117609710-1801674531-500\a18ca4003deb042bbee7a40f15e1970b_ffcb838e-6d3b-4e44-a259-8ac8f5c94c4f
<Текущая директория>\µTorrent\MODIFIED\@APPDATA@\uTorrent\settings.dat.new
<Текущая директория>\µTorrent\XSandbox.bin
%APPDATA%\Microsoft\Protect\S-1-5-21-1275210071-117609710-1801674531-500\966d28ba-fa5b-4fd9-9061-26c3c94092c1
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\settings.dat.__meta__
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
<Текущая директория>\µTorrent\MODIFIED\@APPDATA@\uTorrent\dlimagecache\32F529521A3DEC709F97F761F192AABF29BDC408
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\settings.dat.old.__meta__
<Текущая директория>\µTorrent\META\@PROGRAMFILESX86@\uTorrent\uTorrent.exe.__meta__

Удаляет следующие файлы:

%TEMP%\utt3.tmp
%TEMP%\utt1.tmp
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\dlimagecache\2D78C93EC367E6C1D9894103FA04B3BE5B20A84E.__meta__
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\dlimagecache\BBEEC0395D21A2A7F91889D7C7509F3D5D46FC05.__meta__
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\dlimagecache\10E6FBE4D921B475FA5FEC6E9A535A540D6FEED1.__meta__
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\settings.dat.old.__meta__
<Текущая директория>\µTorrent\META\@APPDATA@\uTorrent\settings.dat.__meta__
<Текущая директория>\µTorrent\META\@PROGRAMFILESX86@\uTorrent\uTorrent.exe.__meta__
%TEMP%\utt4.tmp
%TEMP%\utt2.tmp

Сетевая активность:

Подключается к:

'www.mi###ova.org':80
'se###h.vuze.com':80
'74.##5.232.51':80
'www.bi###rrent.com':80
'ap##.#ittorrent.com':80

TCP:

Запросы HTTP GET:

74.##5.232.51/favicon.ico
www.mi###ova.org/favicon.ico
se###h.vuze.com/favicon.ico
www.bi###rrent.com/sites/default/files/bittorrent2_favicon.ico
ap##.#ittorrent.com/utorrent-onboarding/welcome.btapp?h=###########################################################
ap##.#ittorrent.com/discoverContent/discoverContent.btapp?h=###########################################################

UDP: