Trojan.DownLoader26.57115

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'uTorrent' = '%APPDATA%\uTorrent\uTorrent.exe /MINIMIZED'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\uTorrent\uTorrent.exe' = '%APPDATA%\uTorrent\uTorrent.exe:*:...

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\aut1.tmp
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\µTorrent.lnk
%APPDATA%\uTorrent\maindoc.ico
%APPDATA%\uTorrent\apps\featuredContent.btapp
%TEMP%\utt7.tmp
%TEMP%\Cab8.tmp
%TEMP%\CabA.tmp
%TEMP%\CabD.tmp
%TEMP%\Cab5.tmp
%TEMP%\CabF.tmp
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\5075bcb23c3ec382c86d0cc7947836d5_23ef5514-3059-436f-a4a7-4cefaab20eb1
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%APPDATA%\uTorrent\updates\3.5.4_44498\utorrentie.exe
%APPDATA%\uTorrent\utorrent.lng.new
%APPDATA%\uTorrent\apps\featuredContent.btapp.new
%HOMEPATH%\Desktop\µTorrent.lnk
%HOMEPATH%\Start Menu\µTorrent.lnk
%APPDATA%\uTorrent\uTorrent.exe
%APPDATA%\uTorrent\settings.dat.new
%APPDATA%\uTorrent\updates.dat
%APPDATA%\uTorrent\updates\3.5.4_44498.exe
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\1f91d2d17ea675d4c2c3192e241743f9_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Protect\CREDHIST
%TEMP%\uttC.tmp
%TEMP%\utt4.tmp
%APPDATA%\uTorrent\utorrent.lng
%TEMP%\settings.exe
%TEMP%\aut3.tmp
%TEMP%\setup.exe
%TEMP%\aut2.tmp
%TEMP%\SL.exe
%APPDATA%\uTorrent\apps\welcome-upsell.btapp
%APPDATA%\uTorrent\44498-utorrent.54f2.dmp

Удаляет следующие файлы:

Перемещает следующие файлы:

%APPDATA%\uTorrent\settings.dat.new в %APPDATA%\uTorrent\settings.dat
%APPDATA%\uTorrent\settings.dat в %APPDATA%\uTorrent\settings.dat.old
%APPDATA%\uTorrent\utorrent.lng в %APPDATA%\uTorrent\utorrent.lng.29672.tmp
%APPDATA%\uTorrent\apps\featuredContent.btapp в %APPDATA%\uTorrent\apps\featuredContent.btapp.29682.tmp

Подменяет следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

http://11#.#11.111.1/wpad.dat via wp#d
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
http://no#.bt.co/inclient
http://up####.utorrent.com/installstats.php?cl########################################################################################################################
http://up####.utorrent.com/installstats.php?cl#################################################################################################################################################
http://ut###ent.com/download/langpacks/dl.php?bu##################################################################
http://ap##.#ittorrent.com/utorrent-onboarding/player.btapp
http://ap##.#ittorrent.com/utorrent-onboarding/welcome-upsell.btapp

Запросы HTTP POST:

UDP:

Другое:

Ищет следующие окна:

Создает и запускает на исполнение:

'%TEMP%\SL.exe'
'%TEMP%\setup.exe' /S
'%APPDATA%\uTorrent\uTorrent.exe' /NOINSTALL /BRINGTOFRONT /S
'%APPDATA%\uTorrent\updates\3.5.4_44498\utorrentie.exe' uTorrent_3396_0017BF28_556894524 µTorrent4823DF041B09 uTorrent
'%APPDATA%\uTorrent\updates\3.5.4_44498\utorrentie.exe' uTorrent_3396_0017BFC0_1555869543 µTorrent4823DF041B09 uTorrent