Trojan.DownLoader9.55723

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'uTorrent' = '%APPDATA%\uTorrent\uTorrent.exe /MINIMIZED'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\uTorrent\uTorrent.exe' = '%APPDATA%\uTorrent\uTorrent.exe:*:Enabled:µTorrent'

Создает и запускает на исполнение:

'%APPDATA%\uTorrent\uTorrent.exe' /NOINSTALL /BRINGTOFRONT
'%TEMP%\U.temp.bcn\utorrent1.exe'

Изменения в файловой системе:

Создает следующие файлы:

%APPDATA%\uTorrent\apps\player.btapp
%APPDATA%\uTorrent\apps\welcome-upsell.btapp
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%APPDATA%\uTorrent\apps\plus.btapp
%HOMEPATH%\Desktop\µTorrent.lnk
%HOMEPATH%\Start Menu\µTorrent.lnk
%APPDATA%\uTorrent\apps\featuredContent.btapp
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\µTorrent.lnk
%TEMP%\utt6.tmp.new
%APPDATA%\uTorrent\settings.dat
%TEMP%\autE.tmp
%APPDATA%\uTorrent\utorrent.lng
%TEMP%\autF.tmp
%TEMP%\Cab9.tmp
%TEMP%\Cab7.tmp
%TEMP%\CabC.tmp
%TEMP%\uttB.tmp.new
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
%TEMP%\utt3.tmp.new
%APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
%APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
%TEMP%\cnffmiy
%TEMP%\aut1.tmp
%TEMP%\U.temp.bcn\utorrent1.exe
%TEMP%\aut2.tmp
%APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
%APPDATA%\uTorrent\settings.dat.new
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\1f91d2d17ea675d4c2c3192e241743f9_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\uTorrent\uTorrent.exe
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%TEMP%\Cab4.tmp
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\717e0279-a29a-4eb5-80fa-4b6fbca7f6c9

Удаляет следующие файлы:

%TEMP%\CabC.tmp
%TEMP%\utt6.tmp
%TEMP%\Cab9.tmp
%TEMP%\autE.tmp
%TEMP%\uttB.tmp
%TEMP%\U.temp.bcn\utorrent1.exe
%TEMP%\autF.tmp
%TEMP%\Cab7.tmp
%TEMP%\aut2.tmp
%TEMP%\cnffmiy
%TEMP%\aut1.tmp
%TEMP%\Cab4.tmp
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%TEMP%\utt3.tmp

Перемещает следующие файлы:

%TEMP%\utt6.tmp.new в %TEMP%\utt6.tmp
%TEMP%\uttB.tmp.new в %TEMP%\uttB.tmp
%APPDATA%\uTorrent\settings.dat в %APPDATA%\uTorrent\settings.dat.old
%TEMP%\utt3.tmp.new в %TEMP%\utt3.tmp
%APPDATA%\uTorrent\settings.dat.new в %APPDATA%\uTorrent\settings.dat

Сетевая активность:

Подключается к:

'be###.utorrent.com':80
'up####.utorrent.com':80
'ap##.#ittorrent.com':80
'wp#d':80
'www.download.windowsupdate.com':80
'localhost':1040

TCP:

Запросы HTTP GET:

up####.utorrent.com/installstats.php?cl############################################################################################################################################
up####.utorrent.com/installstats.php?cl###############################################################################################################################################################################
up####.utorrent.com/installstats.php?cl########################################################################################################
up####.utorrent.com/installstats.php?cl#############################################################################################################
up####.utorrent.com/installstats.php?cl#############################################################################################################################################################################################################################
up####.utorrent.com/installstats.php?cl#################################################################################################################################
up####.utorrent.com/installstats.php?cl##########################################################################################################################################
up####.utorrent.com/installstats.php?cl###########################################################################################################
ap##.#ittorrent.com/utorrent-onboarding/plus2.btapp
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
up####.utorrent.com/installoffer.php?h=###########################################################################################################
wp#d/wpad.dat
www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
ap##.#ittorrent.com/utorrent-onboarding/welcome-upsell.btapp
ap##.#ittorrent.com/utorrent-onboarding/player.btapp
up####.utorrent.com/installstats.php?cl####################################################################################################################
ap##.#ittorrent.com/featuredcontent/featuredcontent.btapp