Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '3663b1216850db539613a78dbc0214bf' = '"%APPDATA%\systemM.exe" ..'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '3663b1216850db539613a78dbc0214bf' = '"%APPDATA%\systemM.exe" ..'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\systemM.exe' = '%APPDATA%\systemM.exe:*:Enabled:systemM.exe'
Создает и запускает на исполнение:
- 'C:\Extracted\3.4.2_38656.exe'
- '%APPDATA%\systemM.exe'
- 'C:\Extracted\mansh.exe'
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\systemM.exe" "systemM.exe" ENABLE
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\uTorrent\settings.dat.new
- %TEMP%\t31g
- %TEMP%\HYD1.tmp.1423627664\HTA\install.1423627664.zip
- %APPDATA%\uTorrent\toolbar.benc.new
- %TEMP%\utt2.tmp.new
- %HOMEPATH%\Cookies\%USERNAME%@localhost[2].txt
- %HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
- C:\Extracted\mansh.exe
- C:\Extracted\3.4.2_38656.exe
- %TEMP%\sfx.ini
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\1f91d2d17ea675d4c2c3192e241743f9_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %APPDATA%\Microsoft\Protect\CREDHIST
- %APPDATA%\systemM.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- %HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
- %TEMP%\sfx.ini
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Перемещает следующие файлы:
- %APPDATA%\uTorrent\toolbar.benc.new в %APPDATA%\uTorrent\toolbar.benc
- %TEMP%\utt2.tmp.new в %TEMP%\utt2.tmp
- %APPDATA%\uTorrent\settings.dat.new в %APPDATA%\uTorrent\settings.dat
Сетевая активность:
Подключается к:
- 'localhost':1048
- 'be###.utorrent.com':80
- 'ra###.no-ip.biz':5552
TCP:
Запросы HTTP POST:
- be###.utorrent.com/e?i=##
UDP:
- DNS ASK ro####.bittorrent.com
- DNS ASK up####.utorrent.com
- DNS ASK be###.utorrent.com
- DNS ASK ra###.no-ip.biz
- DNS ASK ro####.utorrent.com
Другое:
Ищет следующие окна:
- ClassName: 'µTorrent4823DF041B09' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: '?Torrent4823DF041B09' WindowName: ''
