Trojan.DownLoader36.36901

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

Изменения в файловой системе

Создает следующие файлы

%TEMP%\8b7d0a63-6fff-4a5e-b683-c2219b4a4d90\agiledotnetrt64.dll
%HOMEPATH%\music\saved music\windows music\~$c_saq_d_v3_merchant.doc
%HOMEPATH%\music\saved music\windows music\~$lps_keeper_mayer_1965.doc
%HOMEPATH%\music\saved music\windows music\~$si2013_template_for_posters.doc
%HOMEPATH%\music\saved music\windows music\issi2013_template_for_posters.doc
%HOMEPATH%\music\saved music\windows music\~wrd0000.tmp
%HOMEPATH%\music\saved music\windows music\c_f.txt
%HOMEPATH%\music\saved music\windows music\entityframework.sqlserver.dll
%HOMEPATH%\music\saved music\windows music\system.security.cryptography.protecteddata.dll
%HOMEPATH%\music\saved music\windows music\entityframework.dll
%HOMEPATH%\music\saved music\windows music\system.data.sqlite.linq.dll
%HOMEPATH%\music\saved music\windows music\system.data.sqlite.ef6.dll
%HOMEPATH%\music\saved music\windows music\system.data.sqlite.dll
%HOMEPATH%\music\saved music\windows music\newtonsoft.json.dll
%HOMEPATH%\music\saved music\windows music\bouncycastle.crypto.dll
%HOMEPATH%\music\saved music\windows music\protobuf-net.dll
%HOMEPATH%\music\saved music\windows music\~$hd_and_obesity.doc
%HOMEPATH%\music\saved music\windows music\~$le_p_00000000_1371597592.doc

Удаляет следующие файлы

Перемещает следующие файлы

%HOMEPATH%\music\saved music\windows music\~wrd0000.tmp в %HOMEPATH%\music\saved music\windows music\issi2013_template_for_posters.doc

Подменяет следующие файлы

Сетевая активность

TCP

Запросы HTTP GET

http://google.com/generate_204
http://wi#####updateserver.cf/main/alpha/admin/php/running.php
http://wi#####updateserver.cf/main/alpha/admin/php/protobuf-net.dll
http://wi#####updateserver.cf/main/alpha/admin/php/BouncyCastle.Crypto.dll
http://wi#####updateserver.cf/main/alpha/admin/php/Newtonsoft.Json.dll
http://wi#####updateserver.cf/main/alpha/admin/php/System.Data.SQLite.dll
http://wi#####updateserver.cf/main/alpha/admin/php/System.Data.SQLite.EF6.dll
http://wi#####updateserver.cf/main/alpha/admin/php/System.Data.SQLite.Linq.dll
http://wi#####updateserver.cf/main/alpha/admin/php/EntityFramework.dll
http://wi#####updateserver.cf/main/alpha/admin/php/System.Security.Cryptography.ProtectedData.dll
http://wi#####updateserver.cf/main/alpha/admin/php/EntityFramework.SqlServer.dll
http://wi#####updateserver.cf/main/alpha/admin/php/version.php

UDP

Другое

Запускает на исполнение

'<SYSTEM32>\cmd.exe'
'<SYSTEM32>\chcp.com' 65001
'%ProgramFiles%\microsoft office\office14\winword.exe' /Automation -Embedding
'<SYSTEM32>\certutil.exe' -encode "%HOMEPATH%\Music\Saved Music\Windows Music\Office.exe " %TEMP%\Office