Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Host' = '%ALLUSERSPROFILE%\Windows Host\Windows Host.exe'
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\2536997.exe
- %TEMP%\tmpafa0.tmp
- %TEMP%\tmpaf9f.tmp
- %TEMP%\tmpaf7f.tmp
- %TEMP%\tmpaf7e.tmp
- %TEMP%\tmpaf7d.tmp
- %TEMP%\tmpaf7c.tmp
- %TEMP%\tmpaf6b.tmp
- %TEMP%\tmpaf6a.tmp
- %TEMP%\tmpaf69.tmp
- %TEMP%\tmpaf68.tmp
- %TEMP%\tmpaf58.tmp
- %TEMP%\tmpaf57.tmp
- %TEMP%\tmpafa2.tmp
- %TEMP%\tmpafa1.tmp
- %TEMP%\tmpaf44.tmp
- %TEMP%\tmpaf43.tmp
- %TEMP%\tmpaf42.tmp
- %TEMP%\tmpaf41.tmp
- %TEMP%\tmpaf30.tmp
- %TEMP%\tmpaf2f.tmp
- %TEMP%\tmpaf2e.tmp
- %TEMP%\tmpaf1e.tmp
- %TEMP%\tmpaf1d.tmp
- %TEMP%\tmpaf1c.tmp
- %TEMP%\tmpaf0b.tmp
- %TEMP%\tmpaf0a.tmp
- %TEMP%\tmpaf56.tmp
- %TEMP%\tmpae3e.tmp
- %TEMP%\tmpafa3.tmp
- %TEMP%\tmpb02c.tmp
- %TEMP%\tmpb02b.tmp
- %TEMP%\tmpb02a.tmp
- %TEMP%\tmpb029.tmp
- %TEMP%\tmpb028.tmp
- %TEMP%\tmpb018.tmp
- %TEMP%\tmpb017.tmp
- %TEMP%\tmpb016.tmp
- %TEMP%\tmpb015.tmp
- %TEMP%\tmpb004.tmp
- %TEMP%\tmpb003.tmp
- %TEMP%\tmpb002.tmp
- %TEMP%\tmpaff1.tmp
- %TEMP%\tmpaff0.tmp
- %TEMP%\tmpafef.tmp
- %TEMP%\tmpafdf.tmp
- %TEMP%\tmpafde.tmp
- %TEMP%\tmpafdd.tmp
- %TEMP%\tmpafcc.tmp
- %TEMP%\tmpafcb.tmp
- %TEMP%\tmpafca.tmp
- %TEMP%\tmpafc9.tmp
- %TEMP%\tmpafc8.tmp
- %TEMP%\tmpafb8.tmp
- %TEMP%\tmpafb7.tmp
- %TEMP%\tmpafb6.tmp
- %TEMP%\tmpafb5.tmp
- %TEMP%\tmpaf09.tmp
- %TEMP%\tmpaf55.tmp
- %TEMP%\tmpaf08.tmp
- %TEMP%\tmpaef8.tmp
- %TEMP%\tmpaef7.tmp
- %ALLUSERSPROFILE%\64\sqlite3.dll
- %TEMP%\tmpae0b.tmp
- %TEMP%\tmpaa33.tmp
- %ALLUSERSPROFILE%\77\431a9e387f2c489bffaae63d09e80ccb.txt
- %ALLUSERSPROFILE%\77\9ea4fa907e9aaf0312cb7d805b970151.txt
- %ALLUSERSPROFILE%\77\4668dcb9eb061f89f23f263f5ab7fb07.txt
- %ALLUSERSPROFILE%\77\ab27f21d9205f7269e075a4e23c16f14.txt
- %ALLUSERSPROFILE%\77\de189c6743ed1b962ee5a2ad297b1e70.txt
- %ALLUSERSPROFILE%\64\nss3.dll
- %ALLUSERSPROFILE%\64\msvcp140.dll
- %ALLUSERSPROFILE%\64\mozglue.dll
- %ALLUSERSPROFILE%\64\freebl3.dll
- %ALLUSERSPROFILE%\64\vcruntime140.dll
- %ALLUSERSPROFILE%\64\softokn3.dll
- %TEMP%\tmpae2c.tmp
- %ALLUSERSPROFILE%\6476
- %ALLUSERSPROFILE%\77\nss3.dll
- %ALLUSERSPROFILE%\77\msvcp140.dll
- %ALLUSERSPROFILE%\77\mozglue.dll
- %ALLUSERSPROFILE%\77\freebl3.dll
- %ALLUSERSPROFILE%\77\vcruntime140.dll
- %ALLUSERSPROFILE%\77\sqlite3.dll
- %ALLUSERSPROFILE%\77\softokn3.dll
- %ALLUSERSPROFILE%\7796
- %ALLUSERSPROFILE%\windows host\windows host.exe
- %ALLUSERSPROFILE%\5488480.exe
- %ALLUSERSPROFILE%\1536020.exe
- %TEMP%\tmpb03d.tmp
- %TEMP%\tmpafb4.tmp
- %TEMP%\tmpae3d.tmp
- %TEMP%\tmpae4f.tmp
- %TEMP%\tmpae2b.tmp
- %TEMP%\tmpaef6.tmp
- %TEMP%\tmpaee5.tmp
- %TEMP%\tmpaee4.tmp
- %TEMP%\tmpaee3.tmp
- %TEMP%\tmpaee2.tmp
- %TEMP%\tmpaed1.tmp
- %TEMP%\tmpaed0.tmp
- %TEMP%\tmpaeb0.tmp
- %TEMP%\tmpaeaf.tmp
- %TEMP%\tmpaeae.tmp
- %TEMP%\tmpaead.tmp
- %TEMP%\tmpae9d.tmp
- %TEMP%\tmpae9c.tmp
- %TEMP%\tmpae9b.tmp
- %TEMP%\tmpae8a.tmp
- %TEMP%\tmpae89.tmp
- %TEMP%\tmpae88.tmp
- %TEMP%\tmpae77.tmp
- %TEMP%\tmpae76.tmp
- %TEMP%\tmpae75.tmp
- %TEMP%\tmpae65.tmp
- %TEMP%\tmpae64.tmp
- %TEMP%\tmpae63.tmp
- %TEMP%\tmpae52.tmp
- %TEMP%\tmpae51.tmp
- %TEMP%\tmpae50.tmp
- %TEMP%\tmpae3f.tmp
- %ALLUSERSPROFILE%\85450.85450
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\windows host\windows host.exe
Удаляет следующие файлы
- %ALLUSERSPROFILE%\77\431a9e387f2c489bffaae63d09e80ccb.txt
- %TEMP%\tmpaf0b.tmp
- %TEMP%\tmpaf1d.tmp
- %TEMP%\tmpaf2e.tmp
- %TEMP%\tmpaf30.tmp
- %TEMP%\tmpaf42.tmp
- %TEMP%\tmpaf44.tmp
- %TEMP%\tmpaf56.tmp
- %TEMP%\tmpaf58.tmp
- %TEMP%\tmpaf69.tmp
- %TEMP%\tmpaf6b.tmp
- %TEMP%\tmpaf7d.tmp
- %TEMP%\tmpaf7f.tmp
- %TEMP%\tmpafa0.tmp
- %TEMP%\tmpafa2.tmp
- %TEMP%\tmpafb4.tmp
- %TEMP%\tmpafb6.tmp
- %TEMP%\tmpafb8.tmp
- %TEMP%\tmpafc9.tmp
- %TEMP%\tmpafcb.tmp
- %TEMP%\tmpafdd.tmp
- %TEMP%\tmpafdf.tmp
- %TEMP%\tmpaff0.tmp
- %TEMP%\tmpb002.tmp
- %TEMP%\tmpb004.tmp
- %TEMP%\tmpb016.tmp
- %TEMP%\tmpb018.tmp
- %TEMP%\tmpb029.tmp
- %TEMP%\tmpaf09.tmp
- %TEMP%\tmpb02b.tmp
- %TEMP%\tmpaef8.tmp
- %TEMP%\tmpaee4.tmp
- %ALLUSERSPROFILE%\77\4668dcb9eb061f89f23f263f5ab7fb07.txt
- %ALLUSERSPROFILE%\77\9ea4fa907e9aaf0312cb7d805b970151.txt
- %ALLUSERSPROFILE%\77\ab27f21d9205f7269e075a4e23c16f14.txt
- %ALLUSERSPROFILE%\77\de189c6743ed1b962ee5a2ad297b1e70.txt
- %ALLUSERSPROFILE%\77\freebl3.dll
- %ALLUSERSPROFILE%\77\mozglue.dll
- %ALLUSERSPROFILE%\77\msvcp140.dll
- %ALLUSERSPROFILE%\77\nss3.dll
- %ALLUSERSPROFILE%\77\softokn3.dll
- %ALLUSERSPROFILE%\77\sqlite3.dll
- %ALLUSERSPROFILE%\77\vcruntime140.dll
- %ALLUSERSPROFILE%\7796
- %TEMP%\tmpae0b.tmp
- %TEMP%\tmpae2c.tmp
- %TEMP%\tmpae3e.tmp
- %TEMP%\tmpae4f.tmp
- %TEMP%\tmpae51.tmp
- %TEMP%\tmpae63.tmp
- %TEMP%\tmpae65.tmp
- %TEMP%\tmpae76.tmp
- %TEMP%\tmpae88.tmp
- %TEMP%\tmpae8a.tmp
- %TEMP%\tmpae9c.tmp
- %TEMP%\tmpaead.tmp
- %TEMP%\tmpaeaf.tmp
- %TEMP%\tmpaed0.tmp
- %TEMP%\tmpaee2.tmp
- %TEMP%\tmpaef6.tmp
- %TEMP%\tmpb03d.tmp
Сетевая активность
Подключается к
- 'mi####dollars.xyz':443
- 'ip###ger.org':443
- 'microsoft.com':80
TCP
- 'mi####dollars.xyz':443
- 'ip###ger.org':443
- 'je####usbra1n.xyz':443
- 'po####ns3rts.xyz':443
- 'mu###islife.xyz':443
UDP
- DNS ASK mi####dollars.xyz
- DNS ASK ip###ger.org
- DNS ASK je####usbra1n.xyz
- DNS ASK microsoft.com
- DNS ASK po####ns3rts.xyz
- DNS ASK mu###islife.xyz
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\2536997.exe'
- '%ALLUSERSPROFILE%\1536020.exe'
- '%ALLUSERSPROFILE%\5488480.exe'
- '%ALLUSERSPROFILE%\windows host\windows host.exe'
