Trojan.DownLoader12.7435

Техническая информация

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\RarSFX0\uTorrent.exe' = '%TEMP%\RarSFX0\uTorrent.exe:*:Enabled:μTorrent'

Создает и запускает на исполнение:

'%TEMP%\RarSFX0\uTorrent.exe'

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\RarSFX0\maindoc.ico
%TEMP%\RarSFX0\updates.dat
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\empty_movie.gif
%TEMP%\RarSFX0\utorrent.lng
%TEMP%\RarSFX0\settings.dat
%TEMP%\RarSFX0\dht_feed.dat
%TEMP%\RarSFX0\dht.dat
%TEMP%\RarSFX0\rss.dat
%TEMP%\RarSFX0\resume.dat
%HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%TEMP%\utt4.tmp
%TEMP%\utt3.tmp
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\918a9720e2ed024f67e0699465eb142b_23ef5514-3059-436f-a4a7-4cefaab20eb1
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\x.png
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\info_icon.png
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\vid_thumb.jpg
%TEMP%\RarSFX0\uTorrent.exe
%TEMP%\RarSFX0\updates\3.4.2_37754.exe
%TEMP%\RarSFX0\dlimagecache\10E6FBE4D921B475FA5FEC6E9A535A540D6FEED1
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\icon.bmp
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\index.js
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\index.html
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\index.html
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\main.css
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\main.css
%TEMP%\RarSFX0\apps\player.btapp
%TEMP%\RarSFX0\apps\featuredContent.btapp
%TEMP%\RarSFX0\apps\welcome-upsell.btapp
%TEMP%\RarSFX0\apps\plus.btapp
%TEMP%\RarSFX0\toolbar_offer.benc
%TEMP%\RarSFX0\apps\72F0D3E2141065DACF6134D07A06A2DF20590748\btapp
%TEMP%\RarSFX0\dlimagecache\165F6EF40A81DD175FFAEA69E77ABFD30B27E71C
%TEMP%\RarSFX0\toolbar.benc
%TEMP%\RarSFX0\apps\D944B3378FAB35793B7951FA53E41B2AB9CC462B\btapp

Удаляет следующие файлы:

%TEMP%\utt3.tmp
%TEMP%\utt4.tmp
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\icon[3].ico
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\U98D4X8H\icon[1].ico

Перемещает следующие файлы:

%TEMP%\RarSFX0\settings.dat.new в %TEMP%\RarSFX0\settings.dat
%TEMP%\RarSFX0\settings.dat в %TEMP%\RarSFX0\settings.dat.old

Сетевая активность:

Подключается к:

'localhost':32961
'ap##.#ittorrent.com':80
'be###.utorrent.com':80
'localhost':1045

TCP:

Запросы HTTP GET:

ap##.#ittorrent.com/utorrent-onboarding/welcome-upsell.btapp?h=#############################################
ap##.#ittorrent.com/utorrent-onboarding/player.btapp?h=#############################################

Запросы HTTP POST: