Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsHostManager' = '"%APPDATA%\WindowsHostManager.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%APPDATA%\WindowsHostManager.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\hostmanager\service
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Патчит код
в динамической библиотеке AMSI
- Процесс fxdtztux.exe, модуль Amsi.dll
- Процесс windowshostmanager.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс fxdtztux.exe, модуль ntdll.dll
- Процесс windowshostmanager.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\whm_libs_592\vcruntime140.dll
- %TEMP%\whm_libs_592\vcruntime140_1.dll
- %TEMP%\whm_libs_592\msvcp140.dll
- %TEMP%\whm_libs_592\msvcp140_1.dll
- %TEMP%\whm_libs_592\msvcp140_2.dll
- %TEMP%\whm_libs_592\sqlite.interop_embed.dll
- %TEMP%\whm_libs_592\e_sqlite3_embed.dll
- %APPDATA%\windowshostmanager.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\whm_libs_2196\vcruntime140.dll
- %TEMP%\whm_libs_2196\vcruntime140_1.dll
- %TEMP%\whm_libs_2196\msvcp140.dll
- %TEMP%\whm_libs_2196\msvcp140_1.dll
- %TEMP%\whm_libs_2196\msvcp140_2.dll
- %TEMP%\whm_libs_2196\sqlite.interop_embed.dll
- %TEMP%\whm_libs_2196\e_sqlite3_embed.dll
- %APPDATA%\whm_ws.log
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\windowshostmanager.exe
Сетевая активность
Подключается к
- 'localhost':5000
- '<LOCALNET>..20.1':445
- '<LOCALNET>..20.1':139
- '<LOCALNET>..20.1':135
- '23#.#55.255.250':445
- '23#.#55.255.250':135
UDP
- DNS ASK lu############supplements-gold.trycloudflare.com
- DNS ASK 1.##.#.10.in-addr.arpa
- DNS ASK 25#.###.#55.239.in-addr.arpa
Другое
Создает и запускает на исполнение
- '%APPDATA%\windowshostmanager.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "Microsoft\Windows\HostManager\Service" /TR "\"%APPDATA%\WindowsHostManager.exe\"" /RL HIGHEST /SC ONLOGON /F
- '<SYSTEM32>\arp.exe' -a
- '%APPDATA%\windowshostmanager.exe' (со скрытым окном)
