Trojan.DownLoader11.33483

Техническая информация

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'BitTorrent' = '%APPDATA%\Roaming\BitTorrent\BitTorrent.exe /MINIMIZED'

Вредоносные функции:

Создает и запускает на исполнение:

'%APPDATA%\Roaming\BitTorrent\BitTorrent.exe' /NOINSTALL /BRINGTOFRONT /S
'<SYSTEM32>\1.exe' /S

Запускает на исполнение:

'<SYSTEM32>\conhost.exe' /Processid:{E10F6C3A-F1AE-4ADC-AA9D-2FE65525666E}

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\utt1B6F.tmp.new
\Device\Mup\BVNSEUHJ*\MAILSLOT\NET\NETLOGON
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab1FF4.tmp
%TEMP%\utt1D30.tmp.new
%HOMEPATH%\Desktop\BitTorrent.lnk
%APPDATA%\Roaming\Microsoft\Windows\Start Menu\BitTorrent.lnk
%APPDATA%\Roaming\BitTorrent\maindoc.ico
%APPDATA%\Roaming\Microsoft\Internet Explorer\Quick Launch\BitTorrent.lnk
%APPDATA%\Roaming\BitTorrent\updates.dat
%APPDATA%\Roaming\BitTorrent\updates\7.9.2_34026.exe
%TEMP%\aut27CD.tmp
%APPDATA%\Roaming\BitTorrent\bittorrent.lng
%TEMP%\Cab205C.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab2006.tmp
%APPDATA%\Roaming\Microsoft\Crypto\RSA\S-1-5-21-2832440558-3064306045-1455513625-1000\d9fc3abfbb62c3aec1d76ea72c4a84b6_97c09787-6498-4b10-8f65-9471d842c55e
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab2075.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8A7.tmp
%TEMP%\utt5E9.tmp.new
%TEMP%\CabA2E.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8C8.tmp
%TEMP%\hniacmj
%TEMP%\aut241.tmp
<SYSTEM32>\1.exe
%TEMP%\aut2BF.tmp
%APPDATA%\Roaming\BitTorrent\apps\plus.btapp
%APPDATA%\Roaming\BitTorrent\apps\featuredContent.btapp
%APPDATA%\Roaming\BitTorrent\apps\welcome-upsell.btapp
%APPDATA%\Roaming\BitTorrent\apps\player.btapp
%APPDATA%\Roaming\Microsoft\Crypto\RSA\S-1-5-21-2832440558-3064306045-1455513625-1000\9d1627c087e30ee6fe8c9cce3c77e841_97c09787-6498-4b10-8f65-9471d842c55e
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabA40.tmp
%APPDATA%\Roaming\BitTorrent\BitTorrent.exe
%APPDATA%\Roaming\BitTorrent\settings.dat.new

Присваивает атрибут 'скрытый' для следующих файлов:

<SYSTEM32>\1.exe

Удаляет следующие файлы:

%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab1FF4.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab2006.tmp
<SYSTEM32>\1.exe
%TEMP%\utt1B6F.tmp
%TEMP%\utt1D30.tmp
%TEMP%\aut27CD.tmp
%TEMP%\Cab205C.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab2075.tmp
%TEMP%\aut2BF.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8A7.tmp
%TEMP%\aut241.tmp
%TEMP%\hniacmj
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\CabA40.tmp
%TEMP%\utt5E9.tmp
%WINDIR%\ServiceProfiles\NetworkService\AppData\Local\Temp\Cab8C8.tmp
%TEMP%\CabA2E.tmp

Перемещает следующие файлы:

%TEMP%\utt1B6F.tmp.new в %TEMP%\utt1B6F.tmp
%TEMP%\utt1D30.tmp.new в %TEMP%\utt1D30.tmp
%APPDATA%\Roaming\BitTorrent\settings.dat в %APPDATA%\Roaming\BitTorrent\settings.dat.old
%TEMP%\utt5E9.tmp.new в %TEMP%\utt5E9.tmp
%APPDATA%\Roaming\BitTorrent\settings.dat.new в %APPDATA%\Roaming\BitTorrent\settings.dat

Сетевая активность:

Подключается к:

'up####.utorrent.com':80
'ap##.#ittorrent.com':80
'localhost':5357
'ut###ent.com':80
'be###.utorrent.com':80
'ct###.#indowsupdate.com':80
'ut#####t.utorrent.com':80
'bu#####.bittorrent.com':80

TCP:

Запросы HTTP GET:

up####.utorrent.com/installstats.php?cl####################################################################################################################################################
up####.utorrent.com/installstats.php?cl###########################################################################################################################
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?ff##############
ut###ent.com/download/langpacks/dl.php?bu####################################################################
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?3b##############
ap##.#ittorrent.com/utorrent-onboarding/welcome-upsell.btapp
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab?01##############
ct###.#indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?10##############
bu#####.bittorrent.com/onboarding/bittorrent?ur########################################
ap##.#ittorrent.com/utorrent-onboarding/player.btapp
ut#####t.utorrent.com/plus/bittorrent/index.html