Trojan.DownLoader26.30004

Technical Information

Malicious functions:

Injects code into

the following system processes:

%WINDIR%\Explorer.EXE

Modifies file system:

Creates the following files:

%TEMP%\aut2E.tmp
%TEMP%\rili\data\res\n13.png
%TEMP%\aut2F.tmp
%TEMP%\rili\data\res\n18.png
%TEMP%\aut2C.tmp
%TEMP%\rili\data\res\n03.png
%TEMP%\aut2D.tmp
%TEMP%\rili\data\res\n04.png
%TEMP%\aut32.tmp
%TEMP%\rili\res\Skin\g2.png
%TEMP%\aut33.tmp
%TEMP%\rili\res\Skin\Item.png
%TEMP%\aut30.tmp
%TEMP%\rili\data\res\n20.png
%TEMP%\aut31.tmp
%TEMP%\rili\data\res\Weather_none.png
%TEMP%\aut2B.tmp
%TEMP%\rili\data\res\d18.png
%TEMP%\aut25.tmp
%TEMP%\rili\data\res\d19.png
%TEMP%\aut26.tmp
%TEMP%\rili\data\res\d16.png
%TEMP%\aut23.tmp
%TEMP%\rili\data\res\d17.png
%TEMP%\aut24.tmp
%TEMP%\rili\data\res\n01.png
%TEMP%\aut29.tmp
%TEMP%\rili\data\res\n02.png
%TEMP%\aut2A.tmp
%TEMP%\rili\data\res\d20.png
%TEMP%\aut27.tmp
%TEMP%\rili\data\res\n00.png
%TEMP%\aut28.tmp
%TEMP%\rili\res\Skin\Menu.png
%TEMP%\aut3F.tmp
%TEMP%\rili\res\Skin\AppFrame\sina.png
%TEMP%\aut40.tmp
%TEMP%\rili\res\Skin\AppFrame\waiting.gif
%TEMP%\aut3D.tmp
%TEMP%\rili\res\Skin\AppFrame\Ok.png
%TEMP%\aut3E.tmp
%TEMP%\rili\res\Skin\AppFrame\qq.png
%TEMP%\Cab43.tmp
%TEMP%\rili\res\theme\default\SkinItem.png
%TEMP%\Cab47.tmp
%TEMP%\Cab45.tmp
%TEMP%\aut41.tmp
%TEMP%\rili\res\theme\default\Skin.rdb
%TEMP%\aut42.tmp
%TEMP%\rili\res\theme\default\skin.xml
%TEMP%\aut3C.tmp
%TEMP%\rili\res\Skin\waiting.gif
%TEMP%\aut36.tmp
%TEMP%\rili\res\Skin\AppFrame\combobox.bmp
%TEMP%\aut37.tmp
%TEMP%\rili\res\Skin\SkinMenu.xml
%TEMP%\aut34.tmp
%TEMP%\rili\res\Skin\slide.png
%TEMP%\aut35.tmp
%TEMP%\rili\res\Skin\AppFrame\combobox_pushed_high.png
%TEMP%\aut3A.tmp
%TEMP%\rili\res\Skin\AppFrame\logo.png
%TEMP%\aut3B.tmp
%TEMP%\rili\res\Skin\AppFrame\combobox_high.png
%TEMP%\aut38.tmp
%TEMP%\rili\res\Skin\AppFrame\combobox_pushed.bmp
%TEMP%\aut39.tmp
%TEMP%\rili\data\res\d15.png
%TEMP%\autC.tmp
%TEMP%\rili\ResLoader.dll
%TEMP%\autD.tmp
%TEMP%\rili\sqlite3.dll
%TEMP%\autA.tmp
%TEMP%\rili\LOGO.exe
%TEMP%\autB.tmp
%TEMP%\rili\pcid.dll
%TEMP%\aut10.tmp
%TEMP%\rili\utility.dll
%TEMP%\aut11.tmp
%TEMP%\rili\What is new.txt
%TEMP%\autE.tmp
%TEMP%\rili\substat.dll
%TEMP%\autF.tmp
%TEMP%\rili\udp.dll
%TEMP%\aut9.tmp
%TEMP%\rili\CalendarMain.exe
%TEMP%\aut3.tmp
%TEMP%\rili\CAutoInject.exe
%TEMP%\aut4.tmp
%TEMP%\rili\Calendar.dll
%TEMP%\aut1.tmp
%TEMP%\rili\Calendar64.dll
%TEMP%\aut2.tmp
%TEMP%\rili\InternetTime.exe
%TEMP%\aut7.tmp
%TEMP%\rili\IptHlp.dll
%TEMP%\aut8.tmp
%TEMP%\rili\City.db
%TEMP%\aut5.tmp
%TEMP%\rili\ClockHelp.dll
%TEMP%\aut6.tmp
%TEMP%\rili\data\Hol.xml
%TEMP%\aut1D.tmp
%TEMP%\rili\data\res\d09.png
%TEMP%\aut1E.tmp
%TEMP%\rili\data\res\d10.png
%TEMP%\aut1B.tmp
%TEMP%\rili\data\res\d07.png
%TEMP%\aut1C.tmp
%TEMP%\rili\data\res\d08.png
%TEMP%\aut21.tmp
%TEMP%\rili\data\res\d13.png
%TEMP%\aut22.tmp
%TEMP%\rili\data\res\d14.png
%TEMP%\aut1F.tmp
%TEMP%\rili\data\res\d11.png
%TEMP%\aut20.tmp
%TEMP%\rili\data\res\d12.png
%TEMP%\aut1A.tmp
%TEMP%\rili\data\res\d01.png
%TEMP%\aut14.tmp
%TEMP%\rili\data\res\d02.png
%TEMP%\aut15.tmp
%TEMP%\rili\data\yj.xml
%TEMP%\aut12.tmp
%TEMP%\rili\data\res\d00.png
%TEMP%\aut13.tmp
%TEMP%\rili\data\res\d05.png
%TEMP%\aut18.tmp
%TEMP%\rili\data\res\d06.png
%TEMP%\aut19.tmp
%TEMP%\rili\data\res\d03.png
%TEMP%\aut16.tmp
%TEMP%\rili\data\res\d04.png
%TEMP%\aut17.tmp

Deletes the following files:

%TEMP%\aut2F.tmp
%TEMP%\aut30.tmp
%TEMP%\aut2D.tmp
%TEMP%\aut2E.tmp
%TEMP%\aut33.tmp
%TEMP%\aut34.tmp
%TEMP%\aut31.tmp
%TEMP%\aut32.tmp
%TEMP%\aut2C.tmp
%TEMP%\aut26.tmp
%TEMP%\aut27.tmp
%TEMP%\aut24.tmp
%TEMP%\aut25.tmp
%TEMP%\aut2A.tmp
%TEMP%\aut2B.tmp
%TEMP%\aut28.tmp
%TEMP%\aut29.tmp
%TEMP%\aut40.tmp
%TEMP%\aut41.tmp
%TEMP%\aut3E.tmp
%TEMP%\aut3F.tmp
%TEMP%\Cab45.tmp
%TEMP%\Cab47.tmp
%TEMP%\aut42.tmp
%TEMP%\Cab43.tmp
%TEMP%\aut3D.tmp
%TEMP%\aut37.tmp
%TEMP%\aut38.tmp
%TEMP%\aut35.tmp
%TEMP%\aut36.tmp
%TEMP%\aut3B.tmp
%TEMP%\aut3C.tmp
%TEMP%\aut39.tmp
%TEMP%\aut3A.tmp
%TEMP%\aut23.tmp
%TEMP%\autC.tmp
%TEMP%\autD.tmp
%TEMP%\autA.tmp
%TEMP%\autB.tmp
%TEMP%\aut10.tmp
%TEMP%\aut11.tmp
%TEMP%\autE.tmp
%TEMP%\autF.tmp
%TEMP%\aut9.tmp
%TEMP%\aut3.tmp
%TEMP%\aut4.tmp
%TEMP%\aut1.tmp
%TEMP%\aut2.tmp
%TEMP%\aut7.tmp
%TEMP%\aut8.tmp
%TEMP%\aut5.tmp
%TEMP%\aut6.tmp
%TEMP%\aut1D.tmp
%TEMP%\aut1E.tmp
%TEMP%\aut1B.tmp
%TEMP%\aut1C.tmp
%TEMP%\aut21.tmp
%TEMP%\aut22.tmp
%TEMP%\aut1F.tmp
%TEMP%\aut20.tmp
%TEMP%\aut1A.tmp
%TEMP%\aut14.tmp
%TEMP%\aut15.tmp
%TEMP%\aut12.tmp
%TEMP%\aut13.tmp
%TEMP%\aut18.tmp
%TEMP%\aut19.tmp
%TEMP%\aut16.tmp
%TEMP%\aut17.tmp

Network activity:

Connects to:

'download.windowsupdate.com':80
'wp#d':80

TCP:

HTTP GET requests:

http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab via download.windowsupdate.com
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt via download.windowsupdate.com
http://11#.#11.111.3/wpad.dat via wp#d

UDP: