Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WinHost' = '%APPDATA%\WinHost\WinHoster.exe'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\570100.exe
- %TEMP%\tmp6b87.tmp
- %TEMP%\tmp6b97.tmp
- %TEMP%\tmp6ba8.tmp
- %TEMP%\tmp6bb9.tmp
- %TEMP%\tmp6bba.tmp
- %TEMP%\tmp6bbb.tmp
- %TEMP%\tmp6bcb.tmp
- %TEMP%\tmp6bcc.tmp
- %TEMP%\tmp6ae9.tmp
- %TEMP%\tmp6bdd.tmp
- %TEMP%\tmp6bdf.tmp
- %TEMP%\tmp6bef.tmp
- %TEMP%\tmp6bf0.tmp
- %TEMP%\tmp6bf1.tmp
- %TEMP%\tmp6c02.tmp
- %TEMP%\tmp6c03.tmp
- %TEMP%\tmp6c04.tmp
- %TEMP%\tmp6c15.tmp
- %TEMP%\tmp6c16.tmp
- %TEMP%\tmp6b74.tmp
- %TEMP%\tmp6bde.tmp
- %TEMP%\tmp6b86.tmp
- %TEMP%\tmp6b75.tmp
- %TEMP%\tmp6b64.tmp
- %TEMP%\tmp6b63.tmp
- %ALLUSERSPROFILE%\41\msvcp140.dll
- %ALLUSERSPROFILE%\41\nss3.dll
- %TEMP%\tmp649c.tmp
- %TEMP%\tmp69ab.tmp
- %TEMP%\tmp6aa6.tmp
- %TEMP%\tmp6aa7.tmp
- %TEMP%\tmp6ac7.tmp
- %TEMP%\tmp6ad8.tmp
- %TEMP%\tmp6c26.tmp
- %TEMP%\tmp6ae8.tmp
- %ALLUSERSPROFILE%\41\vcruntime140.dll
- %TEMP%\tmp6afa.tmp
- %TEMP%\tmp6b0c.tmp
- %TEMP%\tmp6b1c.tmp
- %TEMP%\tmp6b2d.tmp
- %TEMP%\tmp6b2e.tmp
- %TEMP%\tmp6b3e.tmp
- %TEMP%\tmp6b3f.tmp
- %TEMP%\tmp6b40.tmp
- %TEMP%\tmp6b51.tmp
- %ALLUSERSPROFILE%\41\freebl3.dll
- %TEMP%\tmp6b52.tmp
- %TEMP%\tmp6b0b.tmp
- %ALLUSERSPROFILE%\41\mozglue.dll
- %TEMP%\tmp6c37.tmp
- %TEMP%\tmp6c4a.tmp
- %TEMP%\tmp6cf1.tmp
- %TEMP%\tmp6d01.tmp
- %TEMP%\tmp6d02.tmp
- %TEMP%\tmp6d03.tmp
- %TEMP%\tmp6d24.tmp
- %TEMP%\tmp6d25.tmp
- %TEMP%\tmp6d35.tmp
- %TEMP%\tmp6d36.tmp
- %TEMP%\tmp6d56.tmp
- %TEMP%\tmp6cdd.tmp
- %TEMP%\tmp6d57.tmp
- %TEMP%\tmp6d79.tmp
- %TEMP%\tmp6d7a.tmp
- %TEMP%\tmp6d8a.tmp
- %TEMP%\tmp6d9b.tmp
- %TEMP%\tmp6dab.tmp
- %TEMP%\tmp6dac.tmp
- %TEMP%\tmp6dad.tmp
- %TEMP%\tmp6dbe.tmp
- %TEMP%\tmp6dbf.tmp
- %TEMP%\tmp6cdf.tmp
- %TEMP%\tmp6cf0.tmp
- %TEMP%\tmp6cde.tmp
- %TEMP%\tmp6ccd.tmp
- %TEMP%\tmp3dc7.tmp
- %TEMP%\tmp6c4b.tmp
- %TEMP%\tmp6c5c.tmp
- %TEMP%\tmp6c5d.tmp
- %TEMP%\tmp6c5e.tmp
- %TEMP%\tmp6c6f.tmp
- %TEMP%\tmp6c70.tmp
- %TEMP%\tmp6c71.tmp
- %TEMP%\tmp6c81.tmp
- %TEMP%\tmp6c38.tmp
- %TEMP%\tmp6c49.tmp
- %TEMP%\tmp6c39.tmp
- %TEMP%\tmp6c82.tmp
- %TEMP%\tmp6ca5.tmp
- %TEMP%\tmp6ca6.tmp
- %TEMP%\tmp6cb7.tmp
- %TEMP%\tmp6cb8.tmp
- %TEMP%\tmp6cb9.tmp
- %TEMP%\tmp6cba.tmp
- %TEMP%\tmp6ccb.tmp
- %TEMP%\tmp6ccc.tmp
- %TEMP%\tmp6c83.tmp
- %TEMP%\tmp6c94.tmp
- %TEMP%\tmp6c95.tmp
- %ALLUSERSPROFILE%\41\sqlite3.dll
- %ALLUSERSPROFILE%\41\softokn3.dll
- %ALLUSERSPROFILE%\4142
- %TEMP%\tmp3c1f.tmp
- %TEMP%\tmp3c30.tmp
- %TEMP%\tmp3c31.tmp
- %TEMP%\tmp3c41.tmp
- %TEMP%\tmp3c52.tmp
- %TEMP%\tmp3c53.tmp
- %TEMP%\tmp3c63.tmp
- %TEMP%\tmp3c64.tmp
- %TEMP%\tmp3c75.tmp
- %TEMP%\tmp3cee.tmp
- %TEMP%\tmp3c76.tmp
- %TEMP%\tmp3c88.tmp
- %TEMP%\tmp3c98.tmp
- %TEMP%\tmp3c99.tmp
- %TEMP%\tmp3caa.tmp
- %TEMP%\tmp3cab.tmp
- %TEMP%\tmp3cbb.tmp
- %TEMP%\tmp3cbc.tmp
- %TEMP%\tmp3ccd.tmp
- %TEMP%\tmp3bfd.tmp
- %TEMP%\tmp3bfc.tmp
- %TEMP%\tmp3c0e.tmp
- %TEMP%\tmp3beb.tmp
- %TEMP%\tmp3bcb.tmp
- %ALLUSERSPROFILE%\6713163.exe
- %APPDATA%\winhost\winhoster.exe
- %TEMP%\tmp369a.tmp
- %TEMP%\tmp3939.tmp
- %TEMP%\tmp3b0e.tmp
- %TEMP%\tmp3b1f.tmp
- %TEMP%\tmp3b20.tmp
- %TEMP%\tmp3b31.tmp
- %TEMP%\tmp3b41.tmp
- %TEMP%\tmp3cde.tmp
- %TEMP%\tmp3b42.tmp
- %TEMP%\tmp3c87.tmp
- %TEMP%\tmp3b63.tmp
- %TEMP%\tmp3b75.tmp
- %TEMP%\tmp3b76.tmp
- %TEMP%\tmp3b87.tmp
- %TEMP%\tmp3b97.tmp
- %TEMP%\tmp3b98.tmp
- %TEMP%\tmp3ba9.tmp
- %TEMP%\tmp3bb9.tmp
- %TEMP%\tmp3bca.tmp
- %TEMP%\tmp3b53.tmp
- %ALLUSERSPROFILE%\3091937.exe
- %TEMP%\tmp3b64.tmp
- %TEMP%\tmp3c0d.tmp
- %TEMP%\tmp3cef.tmp
- %TEMP%\tmp3e72.tmp
- %TEMP%\tmp3e74.tmp
- %TEMP%\tmp3e85.tmp
- %TEMP%\tmp3e86.tmp
- %TEMP%\tmp3e96.tmp
- %TEMP%\tmp3e97.tmp
- %TEMP%\tmp3e98.tmp
- %TEMP%\tmp3ea9.tmp
- %TEMP%\tmp3eaa.tmp
- %TEMP%\tmp3e61.tmp
- %TEMP%\tmp3d00.tmp
- %TEMP%\tmp3e73.tmp
- %TEMP%\tmp3eba.tmp
- %TEMP%\tmp3ede.tmp
- %TEMP%\tmp3eee.tmp
- %TEMP%\tmp3eef.tmp
- %TEMP%\tmp3ef0.tmp
- %TEMP%\tmp3f01.tmp
- %TEMP%\tmp3f02.tmp
- %TEMP%\tmp3f12.tmp
- %TEMP%\tmp3f13.tmp
- %TEMP%\tmp3ebb.tmp
- %TEMP%\tmp3ecc.tmp
- %TEMP%\tmp3ecd.tmp
- %TEMP%\tmp6d68.tmp
- %TEMP%\tmp6dd0.tmp
- %TEMP%\tmp3e30.tmp
- %TEMP%\tmp3d21.tmp
- %TEMP%\tmp3d41.tmp
- %TEMP%\tmp3d52.tmp
- %TEMP%\tmp3d53.tmp
- %TEMP%\tmp3d63.tmp
- %TEMP%\tmp3d84.tmp
- %TEMP%\tmp3d94.tmp
- %TEMP%\tmp3da5.tmp
- %TEMP%\tmp3db5.tmp
- %TEMP%\tmp3e5f.tmp
- %TEMP%\tmp3e60.tmp
- %TEMP%\tmp3db6.tmp
- %TEMP%\tmp3dd9.tmp
- %TEMP%\tmp3df9.tmp
- %TEMP%\tmp3dfa.tmp
- %TEMP%\tmp3dfb.tmp
- %TEMP%\tmp3e0b.tmp
- %TEMP%\tmp3e0c.tmp
- %TEMP%\tmp3e1d.tmp
- %TEMP%\tmp3e2e.tmp
- %TEMP%\tmp3e2f.tmp
- %TEMP%\tmp3d10.tmp
- %TEMP%\tmp3dc8.tmp
- %TEMP%\tmp6dd1.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\winhost\winhoster.exe
Удаляет следующие файлы
- %TEMP%\tmp3939.tmp
- %TEMP%\tmp6c38.tmp
- %TEMP%\tmp6c26.tmp
- %TEMP%\tmp6c15.tmp
- %TEMP%\tmp6c03.tmp
- %TEMP%\tmp6bf1.tmp
- %TEMP%\tmp6bef.tmp
- %TEMP%\tmp6bde.tmp
- %TEMP%\tmp6bcc.tmp
- %TEMP%\tmp6bbb.tmp
- %TEMP%\tmp6aa7.tmp
- %TEMP%\tmp6bb9.tmp
- %TEMP%\tmp6b86.tmp
- %TEMP%\tmp6b74.tmp
- %TEMP%\tmp6b63.tmp
- %TEMP%\tmp6b51.tmp
- %TEMP%\tmp6b3f.tmp
- %TEMP%\tmp6b2e.tmp
- %TEMP%\tmp6b1c.tmp
- %TEMP%\tmp6b0b.tmp
- %TEMP%\tmp6ae9.tmp
- %TEMP%\tmp6b97.tmp
- %TEMP%\tmp6ad8.tmp
- %TEMP%\tmp6c49.tmp
- %TEMP%\tmp6cde.tmp
- %TEMP%\tmp6dad.tmp
- %TEMP%\tmp6dab.tmp
- %TEMP%\tmp6d8a.tmp
- %TEMP%\tmp6d79.tmp
- %TEMP%\tmp6d57.tmp
- %TEMP%\tmp6d36.tmp
- %TEMP%\tmp6d25.tmp
- %TEMP%\tmp6d03.tmp
- %TEMP%\tmp6d01.tmp
- %TEMP%\tmp6c5d.tmp
- %TEMP%\tmp6c4b.tmp
- %TEMP%\tmp6ccd.tmp
- %TEMP%\tmp6ccb.tmp
- %TEMP%\tmp6cb9.tmp
- %TEMP%\tmp6cb7.tmp
- %TEMP%\tmp6ca5.tmp
- %TEMP%\tmp6c94.tmp
- %TEMP%\tmp6c82.tmp
- %TEMP%\tmp6c71.tmp
- %TEMP%\tmp6c6f.tmp
- %TEMP%\tmp6cf0.tmp
- %TEMP%\tmp69ab.tmp
- %TEMP%\tmp3f13.tmp
- %TEMP%\tmp3f02.tmp
- %TEMP%\tmp3caa.tmp
- %TEMP%\tmp3c98.tmp
- %TEMP%\tmp3c87.tmp
- %TEMP%\tmp3c75.tmp
- %TEMP%\tmp3c63.tmp
- %TEMP%\tmp3c52.tmp
- %TEMP%\tmp3c31.tmp
- %TEMP%\tmp3c1f.tmp
- %TEMP%\tmp3ccd.tmp
- %TEMP%\tmp3c0d.tmp
- %TEMP%\tmp3bcb.tmp
- %TEMP%\tmp3bb9.tmp
- %TEMP%\tmp3b98.tmp
- %TEMP%\tmp3b87.tmp
- %TEMP%\tmp3b75.tmp
- %TEMP%\tmp3b63.tmp
- %TEMP%\tmp3b42.tmp
- %TEMP%\tmp3b31.tmp
- %TEMP%\tmp3b1f.tmp
- %TEMP%\tmp3bfc.tmp
- %TEMP%\tmp3cee.tmp
- %TEMP%\tmp3cbb.tmp
- %TEMP%\tmp3d00.tmp
- %TEMP%\tmp3ef0.tmp
- %TEMP%\tmp3e5f.tmp
- %TEMP%\tmp3eee.tmp
- %TEMP%\tmp3ecd.tmp
- %TEMP%\tmp3ebb.tmp
- %TEMP%\tmp3eaa.tmp
- %TEMP%\tmp3e98.tmp
- %TEMP%\tmp3e96.tmp
- %TEMP%\tmp3e85.tmp
- %TEMP%\tmp3e73.tmp
- %TEMP%\tmp3e61.tmp
- %TEMP%\tmp3e2f.tmp
- %TEMP%\tmp3d21.tmp
- %TEMP%\tmp3e1d.tmp
- %TEMP%\tmp3e0b.tmp
- %TEMP%\tmp3dfa.tmp
- %TEMP%\tmp3dd9.tmp
- %TEMP%\tmp3dc7.tmp
- %TEMP%\tmp3db5.tmp
- %TEMP%\tmp3d94.tmp
- %TEMP%\tmp3d63.tmp
- %TEMP%\tmp3d52.tmp
- %TEMP%\tmp6dbf.tmp
- %TEMP%\tmp6dd1.tmp
Сетевая активность
Подключается к
- 'st###upmart.bar':443
- 'ip###ger.org':443
- 'wh###llc.bar':443
- 'ph###fix.bar':443
TCP
Другие
- 'st###upmart.bar':443
- 'ip###ger.org':443
- 'wh###llc.bar':443
- 'ph###fix.bar':443
UDP
- DNS ASK st###upmart.bar
- DNS ASK ip###ger.org
- DNS ASK wh###llc.bar
- DNS ASK ph###fix.bar
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\570100.exe'
- '%ALLUSERSPROFILE%\6713163.exe'
- '%ALLUSERSPROFILE%\3091937.exe'
- '%APPDATA%\winhost\winhoster.exe'
- '%ALLUSERSPROFILE%\570100.exe' ' (со скрытым окном)
- '%ALLUSERSPROFILE%\6713163.exe' ' (со скрытым окном)
- '%ALLUSERSPROFILE%\3091937.exe' ' (со скрытым окном)
