Trojan.DownLoader11.33576

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'uTorrent' = '%APPDATA%\uTorrent\uTorrent.exe /MINIMIZED'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\uTorrent\uTorrent.exe' = '%APPDATA%\uTorrent\uTorrent.exe:*:Enabled:μTorrent'

Создает и запускает на исполнение:

Изменения в файловой системе:

Создает следующие файлы:

%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%TEMP%\utt4.tmp.new
%APPDATA%\uTorrent\maindoc.ico
%HOMEPATH%\Desktop\µTorrent.lnk
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\µTorrent.lnk
%APPDATA%\uTorrent\updates.dat
%APPDATA%\uTorrent\utorrent.lng
%APPDATA%\uTorrent\updates\3.4.2_34024.exe
%TEMP%\utt5.tmp.new
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\f9318a4830ec3e1125c92079ffb4af0e_23ef5514-3059-436f-a4a7-4cefaab20eb1
%HOMEPATH%\Start Menu\µTorrent.lnk
<SYSTEM32>\1.exe
%TEMP%\utt3.tmp.new
%TEMP%\aut2.tmp
%TEMP%\aut1.tmp
%TEMP%\soldbsj
%APPDATA%\uTorrent\settings.dat.new
%APPDATA%\uTorrent\uTorrent.exe
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\1f91d2d17ea675d4c2c3192e241743f9_23ef5514-3059-436f-a4a7-4cefaab20eb1

Присваивает атрибут 'скрытый' для следующих файлов:

Удаляет следующие файлы:

%TEMP%\utt5.tmp
%TEMP%\utt4.tmp
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\blank[2].html
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KHMHGZ4F\blank[1].html
%TEMP%\soldbsj
%TEMP%\aut1.tmp
%TEMP%\aut2.tmp
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%TEMP%\utt3.tmp

Перемещает следующие файлы:

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

pp#.##.bittorrent.com/lrec
pp#.##.bittorrent.com/fppc
up####.bittorrent.com/time.php
up####.utorrent.com/checkupdate.php?s=######################################################################################################################################################################################################################################################################################################################################################################################################
up####.utorrent.li/checkupdate.php?s=#####################################################################################################################################################################################################################################################################################################################################################################################################
up####.utorrent.com/installstats.php?cl#############################################################################################################################################
up####.utorrent.com/installstats.php?cl####################################################################################################################
ut###ent.com/download/langpacks/dl.php?bu##################################################################
cd#.##.bittorrent.com/control/tags/ut.json
ad#.##ttorrent.com/blank.html

Запросы HTTP POST: