Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\BitTorrent\BitTorrent.exe' /STARTAPP /NOINSTALL /BRINGTOFRONT /S
- '%HOMEPATH%\Setup.exe' /S
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /f /im BitTorrent.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\Internet Explorer\Quick Launch\BitTorrent.lnk
- %ALLUSERSPROFILE%\Desktop\BitTorrent.lnk
- %APPDATA%\BitTorrent\apps\featuredContent.btapp
- %APPDATA%\BitTorrent\apps\player.btapp
- %APPDATA%\BitTorrent\BitTorrent.exe
- %APPDATA%\BitTorrent\settings.dat.new
- %ALLUSERSPROFILE%\Start Menu\BitTorrent.lnk
- %HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
- %TEMP%\uttC.tmp.new
- %TEMP%\CabA.tmp
- %TEMP%\CabF.tmp
- %TEMP%\CabD.tmp
- %APPDATA%\BitTorrent\apps\plus.btapp
- %APPDATA%\BitTorrent\apps\welcome-upsell.btapp
- %TEMP%\Cab8.tmp
- %TEMP%\utt7.tmp.new
- %APPDATA%\BitTorrent\bittorrent.lng
- %TEMP%\aut3.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\2BF68F4714092295550497DD56F57004
- %TEMP%\utt4.tmp.new
- %TEMP%\fgijued
- %TEMP%\aut1.tmp
- %HOMEPATH%\Setup.exe
- %TEMP%\aut2.tmp
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\0c781647-b120-41ae-bb41-fb4b9663ca42
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\9d1627c087e30ee6fe8c9cce3c77e841_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\2BF68F4714092295550497DD56F57004
- %TEMP%\Cab5.tmp
- %APPDATA%\Microsoft\CryptnetUrlCache\Content\94308059B57B3142E455B38A6EB92015
Присваивает атрибут 'скрытый' для следующих файлов:
- %HOMEPATH%\Setup.exe
Удаляет следующие файлы:
- %TEMP%\utt7.tmp
- %TEMP%\CabA.tmp
- %TEMP%\Cab8.tmp
- %HOMEPATH%\Setup.exe
- %TEMP%\CabF.tmp
- %TEMP%\CabD.tmp
- %TEMP%\aut2.tmp
- %TEMP%\fgijued
- %TEMP%\aut1.tmp
- %TEMP%\utt4.tmp
- %TEMP%\Cab5.tmp
- %TEMP%\aut3.tmp
Перемещает следующие файлы:
- %TEMP%\utt7.tmp.new в %TEMP%\utt7.tmp
- %TEMP%\uttC.tmp.new в %TEMP%\uttC.tmp
- %APPDATA%\BitTorrent\settings.dat в %APPDATA%\BitTorrent\settings.dat.old
- %TEMP%\utt4.tmp.new в %TEMP%\utt4.tmp
- %APPDATA%\BitTorrent\settings.dat.new в %APPDATA%\BitTorrent\settings.dat
Сетевая активность:
Подключается к:
- 'ap##.#ittorrent.com':80
- 'up####.bittorrent.com':80
- 'localhost':1039
- 'wp#d':80
- 'www.download.windowsupdate.com':80
TCP:
Запросы HTTP GET:
- ap##.#ittorrent.com/utorrent-onboarding/welcome-upsell.btapp
- ap##.#ittorrent.com/featuredcontent/featuredcontent.btapp
- up####.bittorrent.com/installstats.php?cl###################################################################################################################################
- ap##.#ittorrent.com/utorrent-onboarding/plus-bt2.btapp
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
- wp#d/wpad.dat
- ap##.#ittorrent.com/utorrent-onboarding/player.btapp
- www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab
UDP:
- DNS ASK ap##.#ittorrent.com
- DNS ASK up####.bittorrent.com
- DNS ASK wp#d
- DNS ASK www.download.windowsupdate.com
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'BT4823DF041B09' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
