Trojan.DownLoader6.11064

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Xenocode\SandboxCache\51855DE177E1E3A1\MODIFIED\@HKCU@\Software\Classes\Magnet\shell\open\command] '' = '"%PROGRAM_FILES%\uTorrent\uTorrent.exe" "%1"'
[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'uTorrent' = '"%PROGRAM_FILES%\uTorrent\uTorrent.exe" /MINIMIZED'

Вредоносные функции:

Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:

[<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%TEMP%\SPOON\CACHE\0x51855DE177E1E3A1\ADVANCEDIO\0xCB4A9ABA55F2AA98265BA3D8AE029A6B\uTorrent.exe' = '%TEMP%\SPOON\CACHE\0x51855DE177E1E3A1\ADVANCEDIO\0xCB4A9ABA55F2AA98265BA3D8AE029A6B\uTorrent.exe:*:Enabled:µTorrent'

Создает и запускает на исполнение:

Изменяет следующие настройки браузера Windows Internet Explorer:

[<HKCU>\Software\Xenocode\SandboxCache\51855DE177E1E3A1\MODIFIED\@HKCU@\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyOverride' = 'local'

Изменения в файловой системе:

Создает следующие файлы:

<LS_APPDATA>\Spoon\Sandbox\µTorrent\3.1.3.27220\META\@APPDATA@\uTorrent\dlimagecache\32F529521A3DEC709F97F761F192AABF29BDC408.__meta__.__tmp__
<LS_APPDATA>\Spoon\Sandbox\µTorrent\3.1.3.27220\MODIFIED\@APPDATA@\uTorrent\dlimagecache\32F529521A3DEC709F97F761F192AABF29BDC408
%HOMEPATH%\Cookies\%USERNAME%@localhost[1].txt
%APPDATA%\uTorrent\apps\plus.btapp
%APPDATA%\uTorrent\apps\whatsnew-ut.btapp
%APPDATA%\uTorrent\dlimagecache\10E6FBE4D921B475FA5FEC6E9A535A540D6FEED1
%APPDATA%\uTorrent\apps.btapp
%APPDATA%\uTorrent\apps\player.btapp
<LS_APPDATA>\Spoon\Sandbox\µTorrent\3.1.3.27220\META\@APPDATA@\uTorrent\settings.dat.old.__meta__.__tmp__
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\5776ecba-af22-464e-b2c3-b67d61523407
%APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
<LS_APPDATA>\Spoon\Sandbox\µTorrent\3.1.3.27220\XSandbox.bin.__tmp__
%APPDATA%\uTorrent\settings.dat.new
<LS_APPDATA>\Spoon\Sandbox\µTorrent\3.1.3.27220\META\@APPDATA@\uTorrent\settings.dat.__meta__.__tmp__
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\57508da0b0107ae768b471d126cc09db_23ef5514-3059-436f-a4a7-4cefaab20eb1

Удаляет следующие файлы:

<LS_APPDATA>\Spoon\Sandbox\µTorrent\3.1.3.27220\META\@APPDATA@\uTorrent\settings.dat.__meta__

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

ap##.#ittorrent.com/utorrent-onboarding/player.btapp
ap##.#ittorrent.com/utorrent-onboarding/whatsnew-ut.btapp
www.mi###ova.org/favicon.ico
ap##.#ittorrent.com/utorrent-onboarding/plus2.btapp
www.bi###rrent.com/favicon.ico
ap##.#ittorrent.com/discoverContent/discoverContent.btapp?h=#########################################################

UDP: