Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WinHost' = '%APPDATA%\WinHost\WinHoster.exe'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\8270454.exe
- %TEMP%\tmpa645.tmp
- %TEMP%\tmpa646.tmp
- %TEMP%\tmpa657.tmp
- %TEMP%\tmpa658.tmp
- %TEMP%\tmpa669.tmp
- %TEMP%\tmpa66a.tmp
- %TEMP%\tmpa67a.tmp
- %TEMP%\tmpa67b.tmp
- %TEMP%\tmpa598.tmp
- %TEMP%\tmpa68c.tmp
- %TEMP%\tmpa69d.tmp
- %TEMP%\tmpa69e.tmp
- %TEMP%\tmpa69f.tmp
- %TEMP%\tmpa6b0.tmp
- %TEMP%\tmpa6b1.tmp
- %TEMP%\tmpa6c2.tmp
- %TEMP%\tmpa6c3.tmp
- %TEMP%\tmpa6d3.tmp
- %TEMP%\tmpa6d4.tmp
- %TEMP%\tmpa623.tmp
- %TEMP%\tmpa68d.tmp
- %TEMP%\tmpa635.tmp
- %TEMP%\tmpa634.tmp
- %TEMP%\tmpa613.tmp
- %TEMP%\tmpa612.tmp
- %ALLUSERSPROFILE%\51\msvcp140.dll
- %ALLUSERSPROFILE%\51\nss3.dll
- %TEMP%\tmpa41b.tmp
- %TEMP%\tmpa516.tmp
- %TEMP%\tmpa565.tmp
- %TEMP%\tmpa575.tmp
- %TEMP%\tmpa576.tmp
- %TEMP%\tmpa587.tmp
- %TEMP%\tmpa6e5.tmp
- %TEMP%\tmpa597.tmp
- %ALLUSERSPROFILE%\51\vcruntime140.dll
- %TEMP%\tmpa5a9.tmp
- %TEMP%\tmpa5bb.tmp
- %TEMP%\tmpa5cb.tmp
- %TEMP%\tmpa5cc.tmp
- %TEMP%\tmpa5dd.tmp
- %TEMP%\tmpa5de.tmp
- %TEMP%\tmpa5ee.tmp
- %TEMP%\tmpa5ef.tmp
- %TEMP%\tmpa600.tmp
- %ALLUSERSPROFILE%\51\freebl3.dll
- %TEMP%\tmpa611.tmp
- %TEMP%\tmpa5aa.tmp
- %ALLUSERSPROFILE%\51\mozglue.dll
- %TEMP%\tmpa6e6.tmp
- %TEMP%\tmpa709.tmp
- %TEMP%\tmpa7af.tmp
- %TEMP%\tmpa7c0.tmp
- %TEMP%\tmpa7c1.tmp
- %TEMP%\tmpa7d2.tmp
- %TEMP%\tmpa7d3.tmp
- %TEMP%\tmpa7e3.tmp
- %TEMP%\tmpa7e4.tmp
- %TEMP%\tmpa7e5.tmp
- %TEMP%\tmpa7f6.tmp
- %TEMP%\tmpa79c.tmp
- %TEMP%\tmpa7f7.tmp
- %TEMP%\tmpa808.tmp
- %TEMP%\tmpa809.tmp
- %TEMP%\tmpa81a.tmp
- %TEMP%\tmpa81b.tmp
- %TEMP%\tmpa82c.tmp
- %TEMP%\tmpa82d.tmp
- %TEMP%\tmpa83d.tmp
- %TEMP%\tmpa83e.tmp
- %TEMP%\tmpa83f.tmp
- %TEMP%\tmpa7ad.tmp
- %TEMP%\tmpa7ae.tmp
- %TEMP%\tmpa79d.tmp
- %TEMP%\tmpa79b.tmp
- %TEMP%\tmp6f81.tmp
- %TEMP%\tmpa70a.tmp
- %TEMP%\tmpa71b.tmp
- %TEMP%\tmpa71c.tmp
- %TEMP%\tmpa72c.tmp
- %TEMP%\tmpa72d.tmp
- %TEMP%\tmpa72e.tmp
- %TEMP%\tmpa73f.tmp
- %TEMP%\tmpa740.tmp
- %TEMP%\tmpa6f6.tmp
- %TEMP%\tmpa708.tmp
- %TEMP%\tmpa6f7.tmp
- %TEMP%\tmpa741.tmp
- %TEMP%\tmpa764.tmp
- %TEMP%\tmpa765.tmp
- %TEMP%\tmpa776.tmp
- %TEMP%\tmpa777.tmp
- %TEMP%\tmpa778.tmp
- %TEMP%\tmpa788.tmp
- %TEMP%\tmpa789.tmp
- %TEMP%\tmpa78a.tmp
- %TEMP%\tmpa751.tmp
- %TEMP%\tmpa752.tmp
- %TEMP%\tmpa753.tmp
- %ALLUSERSPROFILE%\51\sqlite3.dll
- %ALLUSERSPROFILE%\51\softokn3.dll
- %ALLUSERSPROFILE%\5156
- %TEMP%\tmp6e46.tmp
- %TEMP%\tmp6e47.tmp
- %TEMP%\tmp6e57.tmp
- %TEMP%\tmp6e58.tmp
- %TEMP%\tmp6e69.tmp
- %TEMP%\tmp6e6a.tmp
- %TEMP%\tmp6e7b.tmp
- %TEMP%\tmp6e7c.tmp
- %TEMP%\tmp6e8c.tmp
- %TEMP%\tmp6f15.tmp
- %TEMP%\tmp6e8d.tmp
- %TEMP%\tmp6eae.tmp
- %TEMP%\tmp6ebf.tmp
- %TEMP%\tmp6ed0.tmp
- %TEMP%\tmp6ed1.tmp
- %TEMP%\tmp6ee1.tmp
- %TEMP%\tmp6ef2.tmp
- %TEMP%\tmp6ef3.tmp
- %TEMP%\tmp6f03.tmp
- %TEMP%\tmp6e24.tmp
- %TEMP%\tmp6e13.tmp
- %TEMP%\tmp6e35.tmp
- %TEMP%\tmp6e12.tmp
- %TEMP%\tmp6e01.tmp
- %ALLUSERSPROFILE%\2320152.exe
- %ALLUSERSPROFILE%\5891169.exe
- %TEMP%\tmp6b7e.tmp
- %TEMP%\tmp6cd7.tmp
- %TEMP%\tmp6d54.tmp
- %TEMP%\tmp6d65.tmp
- %TEMP%\tmp6d66.tmp
- %TEMP%\tmp6d77.tmp
- %TEMP%\tmp6d87.tmp
- %TEMP%\tmp6f04.tmp
- %TEMP%\tmp6d88.tmp
- %TEMP%\tmp6e9e.tmp
- %TEMP%\tmp6da9.tmp
- %TEMP%\tmp6dbb.tmp
- %TEMP%\tmp6dbc.tmp
- %TEMP%\tmp6dcd.tmp
- %TEMP%\tmp6ddd.tmp
- %TEMP%\tmp6dde.tmp
- %TEMP%\tmp6def.tmp
- %TEMP%\tmp6df0.tmp
- %TEMP%\tmp6e00.tmp
- %TEMP%\tmp6d99.tmp
- %APPDATA%\winhost\winhoster.exe
- %TEMP%\tmp6daa.tmp
- %TEMP%\tmp6e25.tmp
- %TEMP%\tmp6f16.tmp
- %TEMP%\tmp6ffd.tmp
- %TEMP%\tmp700e.tmp
- %TEMP%\tmp700f.tmp
- %TEMP%\tmp7020.tmp
- %TEMP%\tmp7031.tmp
- %TEMP%\tmp7032.tmp
- %TEMP%\tmp7042.tmp
- %TEMP%\tmp7043.tmp
- %TEMP%\tmp7044.tmp
- %TEMP%\tmp6ffc.tmp
- %TEMP%\tmp6f27.tmp
- %TEMP%\tmp700d.tmp
- %TEMP%\tmp7045.tmp
- %TEMP%\tmp7068.tmp
- %TEMP%\tmp7069.tmp
- %TEMP%\tmp706a.tmp
- %TEMP%\tmp707b.tmp
- %TEMP%\tmp707c.tmp
- %TEMP%\tmp708d.tmp
- %TEMP%\tmp708e.tmp
- %TEMP%\tmp708f.tmp
- %TEMP%\tmp7056.tmp
- %TEMP%\tmp7057.tmp
- %TEMP%\tmp7067.tmp
- %TEMP%\tmpa807.tmp
- %TEMP%\tmpa850.tmp
- %TEMP%\tmp6fe9.tmp
- %TEMP%\tmp6f38.tmp
- %TEMP%\tmp6f39.tmp
- %TEMP%\tmp6f4a.tmp
- %TEMP%\tmp6f4b.tmp
- %TEMP%\tmp6f5b.tmp
- %TEMP%\tmp6f5c.tmp
- %TEMP%\tmp6f5d.tmp
- %TEMP%\tmp6f6e.tmp
- %TEMP%\tmp6f6f.tmp
- %TEMP%\tmp6fea.tmp
- %TEMP%\tmp6ffb.tmp
- %TEMP%\tmp6f80.tmp
- %TEMP%\tmp6fa2.tmp
- %TEMP%\tmp6fb2.tmp
- %TEMP%\tmp6fb3.tmp
- %TEMP%\tmp6fc4.tmp
- %TEMP%\tmp6fc5.tmp
- %TEMP%\tmp6fd6.tmp
- %TEMP%\tmp6fd7.tmp
- %TEMP%\tmp6fd8.tmp
- %TEMP%\tmp6fe8.tmp
- %TEMP%\tmp6f28.tmp
- %TEMP%\tmp6f82.tmp
- %TEMP%\tmpa860.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\winhost\winhoster.exe
Удаляет следующие файлы
- %TEMP%\tmp6cd7.tmp
- %TEMP%\tmpa6f6.tmp
- %TEMP%\tmpa6e5.tmp
- %TEMP%\tmpa6d3.tmp
- %TEMP%\tmpa6c2.tmp
- %TEMP%\tmpa6b0.tmp
- %TEMP%\tmpa69e.tmp
- %TEMP%\tmpa68d.tmp
- %TEMP%\tmpa67b.tmp
- %TEMP%\tmpa66a.tmp
- %TEMP%\tmpa575.tmp
- %TEMP%\tmpa658.tmp
- %TEMP%\tmpa635.tmp
- %TEMP%\tmpa623.tmp
- %TEMP%\tmpa612.tmp
- %TEMP%\tmpa600.tmp
- %TEMP%\tmpa5ee.tmp
- %TEMP%\tmpa5dd.tmp
- %TEMP%\tmpa5cb.tmp
- %TEMP%\tmpa5aa.tmp
- %TEMP%\tmpa598.tmp
- %TEMP%\tmpa646.tmp
- %TEMP%\tmpa587.tmp
- %TEMP%\tmpa708.tmp
- %TEMP%\tmpa79d.tmp
- %TEMP%\tmpa83d.tmp
- %TEMP%\tmpa82c.tmp
- %TEMP%\tmpa81a.tmp
- %TEMP%\tmpa808.tmp
- %TEMP%\tmpa7f7.tmp
- %TEMP%\tmpa7e5.tmp
- %TEMP%\tmpa7e3.tmp
- %TEMP%\tmpa7d2.tmp
- %TEMP%\tmpa7c0.tmp
- %TEMP%\tmpa71c.tmp
- %TEMP%\tmpa70a.tmp
- %TEMP%\tmpa79b.tmp
- %TEMP%\tmpa789.tmp
- %TEMP%\tmpa778.tmp
- %TEMP%\tmpa776.tmp
- %TEMP%\tmpa764.tmp
- %TEMP%\tmpa752.tmp
- %TEMP%\tmpa741.tmp
- %TEMP%\tmpa73f.tmp
- %TEMP%\tmpa72d.tmp
- %TEMP%\tmpa7ae.tmp
- %TEMP%\tmpa516.tmp
- %TEMP%\tmp708f.tmp
- %TEMP%\tmp708d.tmp
- %TEMP%\tmp6ed1.tmp
- %TEMP%\tmp6ebf.tmp
- %TEMP%\tmp6e9e.tmp
- %TEMP%\tmp6e8c.tmp
- %TEMP%\tmp6e7b.tmp
- %TEMP%\tmp6e69.tmp
- %TEMP%\tmp6e57.tmp
- %TEMP%\tmp6e46.tmp
- %TEMP%\tmp6f03.tmp
- %TEMP%\tmp6e25.tmp
- %TEMP%\tmp6e01.tmp
- %TEMP%\tmp6df0.tmp
- %TEMP%\tmp6dde.tmp
- %TEMP%\tmp6dcd.tmp
- %TEMP%\tmp6dbb.tmp
- %TEMP%\tmp6da9.tmp
- %TEMP%\tmp6d88.tmp
- %TEMP%\tmp6d77.tmp
- %TEMP%\tmp6d65.tmp
- %TEMP%\tmp6e13.tmp
- %TEMP%\tmp6f15.tmp
- %TEMP%\tmp6ef2.tmp
- %TEMP%\tmp6f27.tmp
- %TEMP%\tmp707b.tmp
- %TEMP%\tmp6fea.tmp
- %TEMP%\tmp7069.tmp
- %TEMP%\tmp7067.tmp
- %TEMP%\tmp7056.tmp
- %TEMP%\tmp7044.tmp
- %TEMP%\tmp7042.tmp
- %TEMP%\tmp7031.tmp
- %TEMP%\tmp700f.tmp
- %TEMP%\tmp700d.tmp
- %TEMP%\tmp6ffc.tmp
- %TEMP%\tmp6fe8.tmp
- %TEMP%\tmp6f38.tmp
- %TEMP%\tmp6fd7.tmp
- %TEMP%\tmp6fc5.tmp
- %TEMP%\tmp6fb3.tmp
- %TEMP%\tmp6fa2.tmp
- %TEMP%\tmp6f81.tmp
- %TEMP%\tmp6f6f.tmp
- %TEMP%\tmp6f5d.tmp
- %TEMP%\tmp6f5b.tmp
- %TEMP%\tmp6f4a.tmp
- %TEMP%\tmpa83f.tmp
- %TEMP%\tmpa860.tmp
Сетевая активность
Подключается к
- 'st###upmart.bar':443
- '2n#.co':443
- 'wh###llc.bar':443
- 'ph###fix.bar':443
TCP
Другие
- 'st###upmart.bar':443
- '2n#.co':443
- 'wh###llc.bar':443
- 'ph###fix.bar':443
UDP
- DNS ASK re####network.xyz
- DNS ASK st###upmart.bar
- DNS ASK 2n#.co
- DNS ASK wh###llc.bar
- DNS ASK ph###fix.bar
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\8270454.exe'
- '%ALLUSERSPROFILE%\2320152.exe'
- '%ALLUSERSPROFILE%\5891169.exe'
- '%APPDATA%\winhost\winhoster.exe'
