Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Host' = '%ALLUSERSPROFILE%\Windows Host\Windows Host.exe'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- 3500488.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\1652379.exe
- %TEMP%\tmpf667.tmp
- %TEMP%\tmpf678.tmp
- %TEMP%\tmpf679.tmp
- %TEMP%\tmpf689.tmp
- %TEMP%\tmpf68a.tmp
- %TEMP%\tmpf68b.tmp
- %TEMP%\tmpf69c.tmp
- %TEMP%\tmp6a2d.tmp
- %TEMP%\tmpf666.tmp
- %TEMP%\tmpf665.tmp
- %ALLUSERSPROFILE%\107462.107462
- %TEMP%\tmp69d9.tmp
- %TEMP%\tmp69ea.tmp
- %TEMP%\tmp6a0a.tmp
- %TEMP%\tmp6a1b.tmp
- %TEMP%\tmp6a1c.tmp
- %TEMP%\tmp6a1d.tmp
- %TEMP%\tmpf69d.tmp
- %TEMP%\tmpf6ae.tmp
- %TEMP%\tmpf517.tmp
- %TEMP%\tmpf69e.tmp
- %TEMP%\tmpf5fb.tmp
- %TEMP%\tmpf548.tmp
- %TEMP%\tmpf5d5.tmp
- %TEMP%\tmpf5d6.tmp
- %TEMP%\tmpf5d7.tmp
- %TEMP%\tmpf5e8.tmp
- %TEMP%\tmpf5e9.tmp
- %TEMP%\tmpf5f9.tmp
- %TEMP%\tmpf652.tmp
- %TEMP%\tmpf654.tmp
- %TEMP%\tmpf653.tmp
- %TEMP%\tmpf60d.tmp
- %TEMP%\tmpf61e.tmp
- %TEMP%\tmpf61f.tmp
- %TEMP%\tmpf62f.tmp
- %TEMP%\tmpf630.tmp
- %TEMP%\tmpf641.tmp
- %TEMP%\tmpf642.tmp
- %TEMP%\tmpf5fa.tmp
- %TEMP%\tmpf60c.tmp
- %TEMP%\tmpf537.tmp
- %TEMP%\tmp6a2e.tmp
- %TEMP%\tmp6a51.tmp
- %TEMP%\tmp6b13.tmp
- %TEMP%\tmp6b24.tmp
- %TEMP%\tmp6b25.tmp
- %TEMP%\tmp6b35.tmp
- %TEMP%\tmp6b36.tmp
- %TEMP%\tmp6b37.tmp
- %TEMP%\tmp6b38.tmp
- %TEMP%\tmp6b01.tmp
- %TEMP%\tmp6b12.tmp
- %TEMP%\tmp6b58.tmp
- %TEMP%\tmp6b5b.tmp
- %TEMP%\tmp6b9b.tmp
- %TEMP%\tmp6bab.tmp
- %TEMP%\tmp6bac.tmp
- %TEMP%\tmp6bad.tmp
- %TEMP%\tmp6bdd.tmp
- %TEMP%\tmp6bde.tmp
- %TEMP%\tmp6b59.tmp
- %TEMP%\tmp6b5a.tmp
- %TEMP%\tmp6a40.tmp
- %TEMP%\tmp6a3f.tmp
- %TEMP%\tmp6afe.tmp
- %TEMP%\tmp6a72.tmp
- %TEMP%\tmp6a82.tmp
- %TEMP%\tmp6a93.tmp
- %TEMP%\tmp6a94.tmp
- %TEMP%\tmp6aa4.tmp
- %TEMP%\tmp6aa5.tmp
- %TEMP%\tmp6aff.tmp
- %TEMP%\tmp6a50.tmp
- %TEMP%\tmp6b00.tmp
- %TEMP%\tmp6ab6.tmp
- %TEMP%\tmp6aca.tmp
- %TEMP%\tmp6ada.tmp
- %TEMP%\tmp6adb.tmp
- %TEMP%\tmp6adc.tmp
- %TEMP%\tmp6aed.tmp
- %TEMP%\tmp6aee.tmp
- %TEMP%\tmp6ab7.tmp
- %TEMP%\tmp6ac8.tmp
- %TEMP%\tmp6ac9.tmp
- %TEMP%\tmpf506.tmp
- %TEMP%\tmpf4f6.tmp
- %TEMP%\tmpf4d6.tmp
- %ALLUSERSPROFILE%\47\b4e02c646c92b4a2659600713100bc36.txt
- %ALLUSERSPROFILE%\47\45e918cb4bf90261fb22fd5cddcdf99f.txt
- %ALLUSERSPROFILE%\47\01cb61491b6b3e220f9fdabf31e92c81.txt
- %TEMP%\tmpe8c8.tmp
- %TEMP%\tmpeba6.tmp
- %TEMP%\tmpebd6.tmp
- %TEMP%\tmpebe7.tmp
- %ALLUSERSPROFILE%\47\e2b018f19d758f23b08f552d89a23725.txt
- %TEMP%\tmpec4f.tmp
- %ALLUSERSPROFILE%\47\368843c92d68814b53942c56954b7921.txt
- %TEMP%\tmpec0a.tmp
- %TEMP%\tmpec1b.tmp
- %TEMP%\tmpec1c.tmp
- %TEMP%\tmpec1d.tmp
- %TEMP%\tmpec2d.tmp
- %TEMP%\tmpec3e.tmp
- %TEMP%\tmpec4e.tmp
- %TEMP%\tmpebf8.tmp
- %TEMP%\tmpebe8.tmp
- %TEMP%\tmpebf9.tmp
- %ALLUSERSPROFILE%\61\msvcp140.dll
- %ALLUSERSPROFILE%\47\msvcp140.dll
- %APPDATA%\3500488.exe
- %ALLUSERSPROFILE%\windows host\windows host.exe
- %APPDATA%\2278473.exe
- %ALLUSERSPROFILE%\4750
- %ALLUSERSPROFILE%\47\softokn3.dll
- %ALLUSERSPROFILE%\47\sqlite3.dll
- %ALLUSERSPROFILE%\47\vcruntime140.dll
- %ALLUSERSPROFILE%\61\nss3.dll
- %TEMP%\tmpec60.tmp
- %APPDATA%\4024862.exe
- %ALLUSERSPROFILE%\47\nss3.dll
- %ALLUSERSPROFILE%\6171
- %ALLUSERSPROFILE%\61\softokn3.dll
- %ALLUSERSPROFILE%\61\sqlite3.dll
- %ALLUSERSPROFILE%\61\vcruntime140.dll
- %ALLUSERSPROFILE%\61\freebl3.dll
- %ALLUSERSPROFILE%\61\mozglue.dll
- %ALLUSERSPROFILE%\47\mozglue.dll
- %ALLUSERSPROFILE%\47\freebl3.dll
- %ALLUSERSPROFILE%\47\fd5e9b156e4a905193cfa61c0f9d9675.txt
- %TEMP%\tmpec71.tmp
- %TEMP%\tmpedf0.tmp
- %TEMP%\tmpee02.tmp
- %TEMP%\tmpee03.tmp
- %TEMP%\tmpee14.tmp
- %TEMP%\tmpee15.tmp
- %TEMP%\tmpee25.tmp
- %TEMP%\tmpeec2.tmp
- %TEMP%\tmpede0.tmp
- %TEMP%\tmped71.tmp
- %TEMP%\tmpedf1.tmp
- %TEMP%\tmpef30.tmp
- %TEMP%\tmpf04d.tmp
- %TEMP%\tmpf05e.tmp
- %TEMP%\tmpf05f.tmp
- %TEMP%\tmpf446.tmp
- %TEMP%\tmpf4a5.tmp
- %TEMP%\tmpf4c5.tmp
- %TEMP%\tmpf00c.tmp
- %TEMP%\tmpf00d.tmp
- %TEMP%\tmpf04c.tmp
- %TEMP%\tmped72.tmp
- %TEMP%\tmped60.tmp
- %TEMP%\tmpec72.tmp
- %TEMP%\tmpec93.tmp
- %TEMP%\tmpec94.tmp
- %TEMP%\tmpeca4.tmp
- %TEMP%\tmpeca5.tmp
- %TEMP%\tmpecb6.tmp
- %TEMP%\tmpecb7.tmp
- %TEMP%\tmpecc8.tmp
- %TEMP%\tmpecc9.tmp
- %TEMP%\tmpec82.tmp
- %TEMP%\tmpecd9.tmp
- %TEMP%\tmpeceb.tmp
- %TEMP%\tmpecec.tmp
- %TEMP%\tmpecfc.tmp
- %TEMP%\tmpecfd.tmp
- %TEMP%\tmped1e.tmp
- %TEMP%\tmped1f.tmp
- %TEMP%\tmped2f.tmp
- %TEMP%\tmped30.tmp
- %TEMP%\tmpecda.tmp
- %TEMP%\tmp6bfe.tmp
- %TEMP%\tmp6c0f.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\windows host\windows host.exe
Удаляет следующие файлы
- %ALLUSERSPROFILE%\47\01cb61491b6b3e220f9fdabf31e92c81.txt
- %TEMP%\tmp6ac9.tmp
- %TEMP%\tmp6ab6.tmp
- %TEMP%\tmp6ab7.tmp
- %TEMP%\tmp6aa4.tmp
- %TEMP%\tmp6aa5.tmp
- %TEMP%\tmp6a93.tmp
- %TEMP%\tmp6a94.tmp
- %TEMP%\tmp6a72.tmp
- %TEMP%\tmp6a82.tmp
- %TEMP%\tmp6a50.tmp
- %TEMP%\tmp6a51.tmp
- %TEMP%\tmp6ada.tmp
- %TEMP%\tmp6ac8.tmp
- %TEMP%\tmp6a2d.tmp
- %TEMP%\tmp6a2e.tmp
- %TEMP%\tmp6a1c.tmp
- %TEMP%\tmp6a1d.tmp
- %TEMP%\tmp6a0a.tmp
- %TEMP%\tmp6a1b.tmp
- %TEMP%\tmp69d9.tmp
- %TEMP%\tmp69ea.tmp
- %TEMP%\tmpf6ae.tmp
- %TEMP%\tmpf69d.tmp
- %TEMP%\tmpf68b.tmp
- %TEMP%\tmp6a3f.tmp
- %TEMP%\tmpeceb.tmp
- %TEMP%\tmp6aca.tmp
- %TEMP%\tmp6bdd.tmp
- %TEMP%\tmp6bde.tmp
- %TEMP%\tmp6bac.tmp
- %TEMP%\tmp6bad.tmp
- %TEMP%\tmp6b9b.tmp
- %TEMP%\tmp6bab.tmp
- %TEMP%\tmp6b5a.tmp
- %TEMP%\tmp6b5b.tmp
- %TEMP%\tmp6b58.tmp
- %TEMP%\tmp6b59.tmp
- %TEMP%\tmp6b37.tmp
- %TEMP%\tmp6b38.tmp
- %TEMP%\tmp6b35.tmp
- %TEMP%\tmp6b36.tmp
- %TEMP%\tmp6b24.tmp
- %TEMP%\tmp6b25.tmp
- %TEMP%\tmp6b12.tmp
- %TEMP%\tmp6b13.tmp
- %TEMP%\tmp6b00.tmp
- %TEMP%\tmp6b01.tmp
- %TEMP%\tmp6afe.tmp
- %TEMP%\tmp6aff.tmp
- %TEMP%\tmp6aed.tmp
- %TEMP%\tmp6aee.tmp
- %TEMP%\tmp6adb.tmp
- %TEMP%\tmpf689.tmp
- %TEMP%\tmp6a40.tmp
- %TEMP%\tmpf678.tmp
- %TEMP%\tmpf666.tmp
- %TEMP%\tmpf654.tmp
- %ALLUSERSPROFILE%\4750
- %TEMP%\tmpeca4.tmp
- %TEMP%\tmpec93.tmp
- %TEMP%\tmpec72.tmp
- %TEMP%\tmpec60.tmp
- %TEMP%\tmpec4e.tmp
- %TEMP%\tmpec2d.tmp
- %TEMP%\tmpec1c.tmp
- %TEMP%\tmpec0a.tmp
- %TEMP%\tmpebf8.tmp
- %TEMP%\tmpebe7.tmp
- %TEMP%\tmpeba6.tmp
- %ALLUSERSPROFILE%\47\vcruntime140.dll
- %TEMP%\tmpecc8.tmp
- %ALLUSERSPROFILE%\47\sqlite3.dll
- %ALLUSERSPROFILE%\47\softokn3.dll
- %ALLUSERSPROFILE%\47\nss3.dll
- %ALLUSERSPROFILE%\47\msvcp140.dll
- %ALLUSERSPROFILE%\47\mozglue.dll
- %ALLUSERSPROFILE%\47\freebl3.dll
- %ALLUSERSPROFILE%\47\fd5e9b156e4a905193cfa61c0f9d9675.txt
- %ALLUSERSPROFILE%\47\e2b018f19d758f23b08f552d89a23725.txt
- %ALLUSERSPROFILE%\47\b4e02c646c92b4a2659600713100bc36.txt
- %ALLUSERSPROFILE%\47\45e918cb4bf90261fb22fd5cddcdf99f.txt
- %ALLUSERSPROFILE%\47\368843c92d68814b53942c56954b7921.txt
- %TEMP%\tmp6c0f.tmp
- %TEMP%\tmp6adc.tmp
- %TEMP%\tmpecd9.tmp
- %TEMP%\tmped1e.tmp
- %TEMP%\tmpecb6.tmp
- %TEMP%\tmpf652.tmp
- %TEMP%\tmpf641.tmp
- %TEMP%\tmpf62f.tmp
- %TEMP%\tmpf61e.tmp
- %TEMP%\tmpf60c.tmp
- %TEMP%\tmpf5fa.tmp
- %TEMP%\tmpf5e9.tmp
- %TEMP%\tmpf5d7.tmp
- %TEMP%\tmpf5d5.tmp
- %TEMP%\tmpf537.tmp
- %TEMP%\tmpf506.tmp
- %TEMP%\tmpf4d6.tmp
- %TEMP%\tmpf4a5.tmp
- %TEMP%\tmpf05f.tmp
- %TEMP%\tmpf04d.tmp
- %TEMP%\tmpf00d.tmp
- %TEMP%\tmpef30.tmp
- %TEMP%\tmpee25.tmp
- %TEMP%\tmpee14.tmp
- %TEMP%\tmpee02.tmp
- %TEMP%\tmpedf0.tmp
- %TEMP%\tmped72.tmp
- %TEMP%\tmped60.tmp
- %TEMP%\tmped2f.tmp
- %TEMP%\tmpecfc.tmp
- %TEMP%\tmp6bfe.tmp
Сетевая активность
Подключается к
- 'ne####ystems.xyz':443
- 'ip###ger.org':443
- 'microsoft.com':80
- 'ap#.ip.sb':443
TCP
Запросы HTTP POST
- http://xo###uilsh.xyz//
UDP
- DNS ASK ne####ystems.xyz
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK je####usbra1n.xyz
- DNS ASK ga###home.xyz
- DNS ASK mu###islife.xyz
- DNS ASK xo###uilsh.xyz
- DNS ASK ap#.ip.sb
Другое
Создает и запускает на исполнение
- '%APPDATA%\1652379.exe'
- '%APPDATA%\4024862.exe'
- '%APPDATA%\3500488.exe'
- '%APPDATA%\2278473.exe'
- '%ALLUSERSPROFILE%\windows host\windows host.exe'
- '%APPDATA%\1652379.exe' ' (со скрытым окном)
- '%APPDATA%\4024862.exe' ' (со скрытым окном)
- '%APPDATA%\3500488.exe' ' (со скрытым окном)
- '%APPDATA%\2278473.exe' ' (со скрытым окном)
