Троянец-бэкдор. Перед установкой в систему проверяет наличие в реестре пути к месту расположения исполняемого файла в ветви HKCU(HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Taskhost, если путь совпадает с текущим значением пути, установка не выполняется.
Копирует себя в папку %APPDATA% с именем taskhost.exe или в %SystemRoot% \System32 с именем taskhost.exe. Записывает путь к файлу в ветвь реестра HKCU(HKLM)\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Taskhost. Хранит необходимые данные в файле System.log, расположенном в той же папке, где размещается исполняемый файл.
Одно из основных функциональных назначений BackDoor.Butirat.91 — кража и передача злоумышленникам паролей от популярных FTP-клиентов, среди которых — FlashFXP, Total Commander, Filezilla, FAR, WinSCP, FtpCommander, SmartFTP. Также троянец способен загружать с удаленных узлов и запускать на инфицированной машине исполняемые файлы, и «накручивать» показатели различных счетчиков посещаемости веб-страниц.
