Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Host' = '%ALLUSERSPROFILE%\Windows Host\Windows Host.exe'
Malicious functions
Injects code into
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
the following user processes:
- 1594610.exe
Terminates or attempts to terminate
the following system processes:
- %WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
the following user processes:
- firefox.exe
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\sdszfo.docx
Modifies file system
Creates the following files
- %APPDATA%\7746501.exe
- %TEMP%\tmp47e8.tmp
- %TEMP%\tmp47f8.tmp
- %TEMP%\tmp47f9.tmp
- %TEMP%\tmp47fa.tmp
- %TEMP%\tmp47fb.tmp
- %TEMP%\tmp47fc.tmp
- %TEMP%\tmp47fd.tmp
- %TEMP%\tmp47fe.tmp
- %TEMP%\tmp480f.tmp
- %TEMP%\tmp4810.tmp
- %TEMP%\tmp4811.tmp
- %TEMP%\tmp47e6.tmp
- %TEMP%\tmp47e7.tmp
- %TEMP%\tmp4812.tmp
- %TEMP%\tmp4825.tmp
- %TEMP%\tmp4826.tmp
- %TEMP%\tmp4827.tmp
- %TEMP%\tmp4828.tmp
- %TEMP%\tmp4838.tmp
- %TEMP%\tmp4839.tmp
- %TEMP%\tmp483a.tmp
- %TEMP%\tmp483b.tmp
- %TEMP%\tmp483c.tmp
- %TEMP%\tmp483d.tmp
- %TEMP%\tmp484e.tmp
- %TEMP%\tmp4813.tmp
- %TEMP%\tmp4824.tmp
- %TEMP%\tmp47e5.tmp
- %TEMP%\tmp47d4.tmp
- %TEMP%\tmp47d3.tmp
- %TEMP%\tmp471d.tmp
- %TEMP%\tmp472e.tmp
- %TEMP%\tmp472f.tmp
- %TEMP%\tmp4730.tmp
- %TEMP%\tmp4731.tmp
- %TEMP%\tmp4732.tmp
- %TEMP%\tmp4742.tmp
- %TEMP%\tmp4743.tmp
- %TEMP%\tmp4773.tmp
- %TEMP%\tmp4774.tmp
- %TEMP%\tmp4785.tmp
- %TEMP%\tmp4786.tmp
- %ALLUSERSPROFILE%\65160.65160
- %TEMP%\tmp4787.tmp
- %TEMP%\tmp4798.tmp
- %TEMP%\tmp4799.tmp
- %TEMP%\tmp479a.tmp
- %TEMP%\tmp47ab.tmp
- %TEMP%\tmp47ac.tmp
- %TEMP%\tmp47ad.tmp
- %TEMP%\tmp47ae.tmp
- %TEMP%\tmp47bf.tmp
- %TEMP%\tmp47c0.tmp
- %TEMP%\tmp47c1.tmp
- %TEMP%\tmp47d1.tmp
- %TEMP%\tmp47d2.tmp
- %TEMP%\tmp4788.tmp
- %TEMP%\tmp485e.tmp
- %TEMP%\tmp485f.tmp
- %TEMP%\tmp4880.tmp
- %TEMP%\tmp4881.tmp
- %TEMP%\tmpb15f.tmp
- %TEMP%\tmpb16f.tmp
- %TEMP%\tmpb170.tmp
- %TEMP%\tmpb171.tmp
- %TEMP%\tmpb172.tmp
- %TEMP%\tmpb173.tmp
- %TEMP%\tmpb184.tmp
- %TEMP%\tmpb185.tmp
- %TEMP%\tmpb186.tmp
- %TEMP%\tmpb187.tmp
- %TEMP%\tmpb188.tmp
- %TEMP%\tmpb198.tmp
- %TEMP%\tmpb199.tmp
- %TEMP%\tmpb19a.tmp
- %TEMP%\tmpb19b.tmp
- %TEMP%\tmpb19c.tmp
- %TEMP%\tmpb1ad.tmp
- %TEMP%\tmpb1ae.tmp
- %TEMP%\tmpb1af.tmp
- %TEMP%\tmpb1b0.tmp
- %TEMP%\tmpb1b1.tmp
- %TEMP%\tmpb1b2.tmp
- %TEMP%\tmpb1d2.tmp
- %TEMP%\tmpb1d3.tmp
- %TEMP%\tmpb1f3.tmp
- %TEMP%\tmpb204.tmp
- %TEMP%\tmpb215.tmp
- %TEMP%\tmpb15e.tmp
- %TEMP%\tmpb15c.tmp
- %TEMP%\tmpb15d.tmp
- %TEMP%\tmpb14b.tmp
- %TEMP%\tmp4891.tmp
- %TEMP%\tmp48a2.tmp
- %TEMP%\tmp48b2.tmp
- %TEMP%\tmp48e2.tmp
- %TEMP%\tmp48e3.tmp
- %TEMP%\tmpb0d7.tmp
- %TEMP%\tmpb0d8.tmp
- %TEMP%\tmpb0e9.tmp
- %TEMP%\tmpb0ea.tmp
- %TEMP%\tmpb0eb.tmp
- %TEMP%\tmpb0fc.tmp
- %TEMP%\tmpb0fd.tmp
- %TEMP%\tmpb0fe.tmp
- %TEMP%\tmpb0ff.tmp
- %TEMP%\tmpb10f.tmp
- %TEMP%\tmpb110.tmp
- %TEMP%\tmpb111.tmp
- %TEMP%\tmpb112.tmp
- %TEMP%\tmpb123.tmp
- %TEMP%\tmpb124.tmp
- %TEMP%\tmpb125.tmp
- %TEMP%\tmpb135.tmp
- %TEMP%\tmpb136.tmp
- %TEMP%\tmpb147.tmp
- %TEMP%\tmpb148.tmp
- %TEMP%\tmpb149.tmp
- %TEMP%\tmpb14a.tmp
- %TEMP%\tmpb216.tmp
- %TEMP%\tmp369b.tmp
- %TEMP%\tmp369a.tmp
- %TEMP%\tmp3689.tmp
- %TEMP%\tmp3400.tmp
- %TEMP%\tmp3410.tmp
- %TEMP%\tmp3411.tmp
- %TEMP%\tmp3422.tmp
- %TEMP%\tmp3423.tmp
- %TEMP%\tmp3434.tmp
- %TEMP%\tmp3444.tmp
- %TEMP%\tmp3445.tmp
- %TEMP%\tmp3446.tmp
- %TEMP%\tmp3457.tmp
- %TEMP%\tmp3458.tmp
- %TEMP%\tmp33ee.tmp
- %TEMP%\tmp33ff.tmp
- %TEMP%\tmp3459.tmp
- %TEMP%\tmp346b.tmp
- %TEMP%\tmp347c.tmp
- %TEMP%\tmp347d.tmp
- %TEMP%\tmp347e.tmp
- %TEMP%\tmp348f.tmp
- %TEMP%\tmp3490.tmp
- %TEMP%\tmp3491.tmp
- %TEMP%\tmp34a1.tmp
- %TEMP%\tmp34c1.tmp
- %TEMP%\tmp34c2.tmp
- %TEMP%\tmp34d3.tmp
- %TEMP%\tmp3469.tmp
- %TEMP%\tmp346a.tmp
- %TEMP%\tmp33ed.tmp
- %TEMP%\tmp33bd.tmp
- %TEMP%\tmp3236.tmp
- %APPDATA%\1394926.exe
- %ALLUSERSPROFILE%\windows host\windows host.exe
- %APPDATA%\1594610.exe
- %APPDATA%\5947281.exe
- %APPDATA%\6339575.exe
- %ALLUSERSPROFILE%\7796
- %ALLUSERSPROFILE%\77\softokn3.dll
- %ALLUSERSPROFILE%\77\sqlite3.dll
- %ALLUSERSPROFILE%\77\vcruntime140.dll
- %ALLUSERSPROFILE%\77\freebl3.dll
- %ALLUSERSPROFILE%\77\mozglue.dll
- %ALLUSERSPROFILE%\77\msvcp140.dll
- %APPDATA%\6132191.exe
- %ALLUSERSPROFILE%\77\nss3.dll
- %ALLUSERSPROFILE%\77\79513f1bc032a2f4e0ffa8745cdf34b9.txt
- %ALLUSERSPROFILE%\77\fa39887f2e91b4380e0209033c48142e.txt
- %ALLUSERSPROFILE%\77\b031b9cd4f7a44846ddadfc4b0bbb597.txt
- %ALLUSERSPROFILE%\5461
- %ALLUSERSPROFILE%\54\softokn3.dll
- %ALLUSERSPROFILE%\54\sqlite3.dll
- %ALLUSERSPROFILE%\54\vcruntime140.dll
- %ALLUSERSPROFILE%\54\freebl3.dll
- %ALLUSERSPROFILE%\54\mozglue.dll
- %ALLUSERSPROFILE%\54\msvcp140.dll
- %ALLUSERSPROFILE%\54\nss3.dll
- %ALLUSERSPROFILE%\77\dd73845f5a47ec003ff053c03aa4a09a.txt
- %ALLUSERSPROFILE%\77\4dc70bb82bca963e8f8b29c121441bae.txt
- %TEMP%\tmp34d4.tmp
- %TEMP%\tmp34d5.tmp
- %TEMP%\tmp3553.tmp
- %TEMP%\tmp3554.tmp
- %TEMP%\tmp3610.tmp
- %TEMP%\tmp3611.tmp
- %TEMP%\tmp3612.tmp
- %TEMP%\tmp3613.tmp
- %TEMP%\tmp3623.tmp
- %TEMP%\tmp3624.tmp
- %TEMP%\tmp3625.tmp
- %TEMP%\tmp3626.tmp
- %TEMP%\tmp3637.tmp
- %TEMP%\tmp3638.tmp
- %TEMP%\tmp3639.tmp
- %TEMP%\tmp363a.tmp
- %TEMP%\tmp364b.tmp
- %TEMP%\tmp364c.tmp
- %TEMP%\tmp364d.tmp
- %TEMP%\tmp364e.tmp
- %TEMP%\tmp365e.tmp
- %TEMP%\tmp365f.tmp
- %TEMP%\tmp3660.tmp
- %TEMP%\tmp3661.tmp
- %TEMP%\tmp3672.tmp
- %TEMP%\tmp3673.tmp
- %TEMP%\tmp3674.tmp
- %TEMP%\tmp3675.tmp
- %TEMP%\tmp3676.tmp
- %TEMP%\tmp3686.tmp
- %TEMP%\tmp3687.tmp
- %TEMP%\tmp35ff.tmp
- %TEMP%\tmp35fd.tmp
- %TEMP%\tmp35fe.tmp
- %TEMP%\tmp35fc.tmp
- %TEMP%\tmp3564.tmp
- %TEMP%\tmp3565.tmp
- %TEMP%\tmp3566.tmp
- %TEMP%\tmp3577.tmp
- %TEMP%\tmp3578.tmp
- %TEMP%\tmp3579.tmp
- %TEMP%\tmp358a.tmp
- %TEMP%\tmp358b.tmp
- %TEMP%\tmp358c.tmp
- %TEMP%\tmp359c.tmp
- %TEMP%\tmp359d.tmp
- %TEMP%\tmp359e.tmp
- %TEMP%\tmp35af.tmp
- %TEMP%\tmp35b0.tmp
- %TEMP%\tmp35b1.tmp
- %TEMP%\tmp35c1.tmp
- %TEMP%\tmp35c2.tmp
- %TEMP%\tmp35c3.tmp
- %TEMP%\tmp35c4.tmp
- %TEMP%\tmp35d5.tmp
- %TEMP%\tmp35d6.tmp
- %TEMP%\tmp35d7.tmp
- %TEMP%\tmp35d8.tmp
- %TEMP%\tmp35e9.tmp
- %TEMP%\tmp35ea.tmp
- %TEMP%\tmp35eb.tmp
- %TEMP%\tmp35ec.tmp
- %TEMP%\tmp3688.tmp
- %TEMP%\tmpb217.tmp
Sets the 'hidden' attribute to the following files
- %ALLUSERSPROFILE%\windows host\windows host.exe
Deletes the following files
- %ALLUSERSPROFILE%\77\4dc70bb82bca963e8f8b29c121441bae.txt
- %TEMP%\tmp483d.tmp
- %TEMP%\tmp485f.tmp
- %TEMP%\tmp485e.tmp
- %TEMP%\tmp4881.tmp
- %TEMP%\tmp4880.tmp
- %TEMP%\tmp4891.tmp
- %TEMP%\tmp48a2.tmp
- %TEMP%\tmp483b.tmp
- %TEMP%\tmp484e.tmp
- %TEMP%\tmp48b2.tmp
- %TEMP%\tmpb0d8.tmp
- %TEMP%\tmpb0d7.tmp
- %TEMP%\tmpb0ea.tmp
- %TEMP%\tmpb0e9.tmp
- %TEMP%\tmpb0fc.tmp
- %TEMP%\tmpb0eb.tmp
- %TEMP%\tmpb0fe.tmp
- %TEMP%\tmp48e2.tmp
- %TEMP%\tmp48e3.tmp
- %TEMP%\tmp483c.tmp
- %TEMP%\tmp4839.tmp
- %TEMP%\tmp483a.tmp
- %TEMP%\tmp47f9.tmp
- %TEMP%\tmp47f8.tmp
- %TEMP%\tmp47fb.tmp
- %TEMP%\tmp47fa.tmp
- %TEMP%\tmp47fd.tmp
- %TEMP%\tmp47fc.tmp
- %TEMP%\tmp480f.tmp
- %TEMP%\tmp47fe.tmp
- %TEMP%\tmp47e7.tmp
- %TEMP%\tmp4811.tmp
- %TEMP%\tmp4813.tmp
- %TEMP%\tmp4812.tmp
- %TEMP%\tmp4825.tmp
- %TEMP%\tmp4824.tmp
- %TEMP%\tmp4827.tmp
- %TEMP%\tmp4826.tmp
- %TEMP%\tmp4838.tmp
- %TEMP%\tmp4828.tmp
- %TEMP%\tmp4810.tmp
- %TEMP%\tmpb0fd.tmp
- %TEMP%\tmpb10f.tmp
- %TEMP%\tmpb0ff.tmp
- %TEMP%\tmpb111.tmp
- %TEMP%\tmpb187.tmp
- %TEMP%\tmpb186.tmp
- %TEMP%\tmpb198.tmp
- %TEMP%\tmpb188.tmp
- %TEMP%\tmpb19a.tmp
- %TEMP%\tmpb199.tmp
- %TEMP%\tmpb19c.tmp
- %TEMP%\tmpb19b.tmp
- %TEMP%\tmpb1ae.tmp
- %TEMP%\tmpb1ad.tmp
- %TEMP%\tmpb1b0.tmp
- %TEMP%\tmpb1af.tmp
- %TEMP%\tmpb1b2.tmp
- %TEMP%\tmpb1b1.tmp
- %TEMP%\tmpb1d3.tmp
- %TEMP%\tmpb1d2.tmp
- %TEMP%\tmpb204.tmp
- %TEMP%\tmpb1f3.tmp
- %TEMP%\tmpb215.tmp
- %TEMP%\tmpb184.tmp
- %TEMP%\tmpb172.tmp
- %TEMP%\tmpb185.tmp
- %TEMP%\tmpb173.tmp
- %TEMP%\tmpb110.tmp
- %TEMP%\tmpb123.tmp
- %TEMP%\tmpb112.tmp
- %TEMP%\tmpb125.tmp
- %TEMP%\tmpb124.tmp
- %TEMP%\tmpb136.tmp
- %TEMP%\tmpb135.tmp
- %TEMP%\tmpb148.tmp
- %TEMP%\tmpb147.tmp
- %TEMP%\tmpb14a.tmp
- %TEMP%\tmpb149.tmp
- %TEMP%\tmpb15c.tmp
- %TEMP%\tmpb14b.tmp
- %TEMP%\tmpb15e.tmp
- %TEMP%\tmpb15d.tmp
- %TEMP%\tmpb16f.tmp
- %TEMP%\tmpb15f.tmp
- %TEMP%\tmpb171.tmp
- %TEMP%\tmpb170.tmp
- %TEMP%\tmpb216.tmp
- %TEMP%\tmp47e8.tmp
- %TEMP%\tmp47e5.tmp
- %TEMP%\tmp47e6.tmp
- %TEMP%\tmp3491.tmp
- %TEMP%\tmp34c1.tmp
- %TEMP%\tmp34d3.tmp
- %TEMP%\tmp34d5.tmp
- %TEMP%\tmp3554.tmp
- %TEMP%\tmp3565.tmp
- %TEMP%\tmp3577.tmp
- %TEMP%\tmp347d.tmp
- %TEMP%\tmp348f.tmp
- %TEMP%\tmp3579.tmp
- %TEMP%\tmp359e.tmp
- %TEMP%\tmp35b0.tmp
- %TEMP%\tmp35c1.tmp
- %TEMP%\tmp35c3.tmp
- %TEMP%\tmp35d5.tmp
- %TEMP%\tmp35d7.tmp
- %TEMP%\tmp35e9.tmp
- %TEMP%\tmp358b.tmp
- %TEMP%\tmp359c.tmp
- %TEMP%\tmp346b.tmp
- %TEMP%\tmp3469.tmp
- %TEMP%\tmp3458.tmp
- %ALLUSERSPROFILE%\77\b031b9cd4f7a44846ddadfc4b0bbb597.txt
- %ALLUSERSPROFILE%\77\dd73845f5a47ec003ff053c03aa4a09a.txt
- %ALLUSERSPROFILE%\77\fa39887f2e91b4380e0209033c48142e.txt
- %ALLUSERSPROFILE%\77\freebl3.dll
- %ALLUSERSPROFILE%\77\mozglue.dll
- %ALLUSERSPROFILE%\77\msvcp140.dll
- %ALLUSERSPROFILE%\77\nss3.dll
- %ALLUSERSPROFILE%\77\softokn3.dll
- %ALLUSERSPROFILE%\77\79513f1bc032a2f4e0ffa8745cdf34b9.txt
- %ALLUSERSPROFILE%\77\sqlite3.dll
- %ALLUSERSPROFILE%\7796
- %TEMP%\tmp33bd.tmp
- %TEMP%\tmp33ee.tmp
- %TEMP%\tmp3400.tmp
- %TEMP%\tmp3411.tmp
- %TEMP%\tmp3423.tmp
- %TEMP%\tmp3444.tmp
- %TEMP%\tmp3446.tmp
- %ALLUSERSPROFILE%\77\vcruntime140.dll
- %TEMP%\tmp35eb.tmp
- %TEMP%\tmp35fc.tmp
- %TEMP%\tmp35fe.tmp
- %TEMP%\tmp3610.tmp
- %TEMP%\tmp4774.tmp
- %TEMP%\tmp4773.tmp
- %TEMP%\tmp4786.tmp
- %TEMP%\tmp4785.tmp
- %TEMP%\tmp4788.tmp
- %TEMP%\tmp4787.tmp
- %TEMP%\tmp4799.tmp
- %TEMP%\tmp4798.tmp
- %TEMP%\tmp47ab.tmp
- %TEMP%\tmp479a.tmp
- %TEMP%\tmp47ad.tmp
- %TEMP%\tmp47ac.tmp
- %TEMP%\tmp47bf.tmp
- %TEMP%\tmp47ae.tmp
- %TEMP%\tmp47c1.tmp
- %TEMP%\tmp47c0.tmp
- %TEMP%\tmp47d2.tmp
- %TEMP%\tmp47d1.tmp
- %TEMP%\tmp47d4.tmp
- %TEMP%\tmp4743.tmp
- %TEMP%\tmp4732.tmp
- %TEMP%\tmp4742.tmp
- %TEMP%\tmp4731.tmp
- %TEMP%\tmp3612.tmp
- %TEMP%\tmp3623.tmp
- %TEMP%\tmp3625.tmp
- %TEMP%\tmp3637.tmp
- %TEMP%\tmp3639.tmp
- %TEMP%\tmp364b.tmp
- %TEMP%\tmp364d.tmp
- %TEMP%\tmp365e.tmp
- %TEMP%\tmp3660.tmp
- %TEMP%\tmp3672.tmp
- %TEMP%\tmp3674.tmp
- %TEMP%\tmp3676.tmp
- %TEMP%\tmp3687.tmp
- %TEMP%\tmp3689.tmp
- %TEMP%\tmp369b.tmp
- %TEMP%\tmp471d.tmp
- %TEMP%\tmp472e.tmp
- %TEMP%\tmp472f.tmp
- %TEMP%\tmp4730.tmp
- %TEMP%\tmp47d3.tmp
- %TEMP%\tmpb217.tmp
Network activity
Connects to
- 'ne####ystems.xyz':443
- 'ip###ger.org':443
- 'microsoft.com':80
- '87.##1.71.153':80
- 'pu###ecafe.ru':443
- 'ap#.ip.sb':443
- '45.##.228.131':9603
TCP
HTTP POST requests
- http://87.##1.71.153//
- http://45.##.228.131:9603// via 45.##.228.131
UDP
- DNS ASK ne####ystems.xyz
- DNS ASK ip###ger.org
- DNS ASK ho####gfr0nts.xyz
- DNS ASK microsoft.com
- DNS ASK ga###home.xyz
- DNS ASK pu###ecafe.ru
- DNS ASK ap#.ip.sb
- DNS ASK mu###islife.xyz
Miscellaneous
Creates and executes the following
- '%APPDATA%\7746501.exe'
- '%APPDATA%\6132191.exe'
- '%APPDATA%\1394926.exe'
- '%ALLUSERSPROFILE%\windows host\windows host.exe'
- '%APPDATA%\1594610.exe'
- '%APPDATA%\5947281.exe'
- '%APPDATA%\6339575.exe'
- '%APPDATA%\7746501.exe' ' (with hidden window)
- '%APPDATA%\6132191.exe' ' (with hidden window)
- '%APPDATA%\1394926.exe' ' (with hidden window)
- '%APPDATA%\1594610.exe' ' (with hidden window)
- '%APPDATA%\5947281.exe' ' (with hidden window)
- '%APPDATA%\6339575.exe' ' (with hidden window)
