Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WinHost' = '%APPDATA%\WinHost\WinHoster.exe'
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %APPDATA%\4986477.exe
- %TEMP%\tmpc48c.tmp
- %TEMP%\tmpc48b.tmp
- %TEMP%\tmpc47a.tmp
- %TEMP%\tmpc479.tmp
- %TEMP%\tmpc469.tmp
- %TEMP%\tmpc468.tmp
- %TEMP%\tmpc457.tmp
- %TEMP%\tmpc446.tmp
- %TEMP%\tmpc445.tmp
- %TEMP%\tmpc435.tmp
- %TEMP%\tmpc434.tmp
- %TEMP%\tmpc433.tmp
- %TEMP%\tmpc422.tmp
- %TEMP%\tmpc421.tmp
- %TEMP%\tmpc411.tmp
- %TEMP%\tmpc410.tmp
- %TEMP%\tmpc40f.tmp
- %TEMP%\tmpc3fe.tmp
- %TEMP%\tmpc3fd.tmp
- %TEMP%\tmpc3fc.tmp
- %TEMP%\tmpc3eb.tmp
- %TEMP%\tmpc49c.tmp
- %TEMP%\tmpc49e.tmp
- %TEMP%\tmpc561.tmp
- %TEMP%\tmpc4af.tmp
- %TEMP%\tmpc560.tmp
- %TEMP%\tmpc54f.tmp
- %TEMP%\tmpc54e.tmp
- %TEMP%\tmpc53e.tmp
- %TEMP%\tmpc53d.tmp
- %TEMP%\tmpc53c.tmp
- %TEMP%\tmpc53b.tmp
- %TEMP%\tmpc52a.tmp
- %TEMP%\tmpc529.tmp
- %TEMP%\tmpc519.tmp
- %TEMP%\tmpc518.tmp
- %TEMP%\tmpc517.tmp
- %TEMP%\tmpc506.tmp
- %TEMP%\tmpc505.tmp
- %TEMP%\tmpc4f4.tmp
- %TEMP%\tmpc4f3.tmp
- %TEMP%\tmpc4e3.tmp
- %TEMP%\tmpc4e2.tmp
- %TEMP%\tmpc4e1.tmp
- %TEMP%\tmpc4b1.tmp
- %TEMP%\tmpc4b0.tmp
- %TEMP%\tmpc3ea.tmp
- %TEMP%\tmpc49d.tmp
- %TEMP%\tmpc3da.tmp
- %TEMP%\tmpc305.tmp
- %TEMP%\tmpc2f3.tmp
- %TEMP%\tmpc2e2.tmp
- %TEMP%\tmpc2d2.tmp
- %TEMP%\tmpc2d1.tmp
- %TEMP%\tmpc2c0.tmp
- %TEMP%\tmpc2bf.tmp
- %TEMP%\tmpc2af.tmp
- %TEMP%\tmpc2ae.tmp
- %TEMP%\tmpc29d.tmp
- %TEMP%\tmpc29c.tmp
- %TEMP%\tmpc28b.tmp
- %TEMP%\tmpc28a.tmp
- %TEMP%\tmpc27a.tmp
- %TEMP%\tmpc269.tmp
- %TEMP%\tmpc259.tmp
- %TEMP%\tmpc258.tmp
- %TEMP%\tmpc257.tmp
- %TEMP%\tmpc1d9.tmp
- %TEMP%\tmpc0cf.tmp
- %APPDATA%\winhost\winhoster.exe
- %APPDATA%\7637891.exe
- %TEMP%\tmpc2f4.tmp
- %TEMP%\tmpc306.tmp
- %TEMP%\tmpc3c8.tmp
- %TEMP%\tmpc316.tmp
- %TEMP%\tmpc3c7.tmp
- %TEMP%\tmpc3b7.tmp
- %TEMP%\tmpc3b6.tmp
- %TEMP%\tmpc3a5.tmp
- %TEMP%\tmpc3a4.tmp
- %TEMP%\tmpc393.tmp
- %TEMP%\tmpc392.tmp
- %TEMP%\tmpc382.tmp
- %TEMP%\tmpc381.tmp
- %TEMP%\tmpc380.tmp
- %TEMP%\tmpc36f.tmp
- %TEMP%\tmpc36e.tmp
- %TEMP%\tmpc36d.tmp
- %TEMP%\tmpc35d.tmp
- %TEMP%\tmpc35c.tmp
- %TEMP%\tmpc33b.tmp
- %TEMP%\tmpc33a.tmp
- %TEMP%\tmpc32a.tmp
- %TEMP%\tmpc329.tmp
- %TEMP%\tmpc328.tmp
- %TEMP%\tmpc317.tmp
- %TEMP%\tmpc3d9.tmp
- %TEMP%\tmpc562.tmp
Sets the 'hidden' attribute to the following files
- %APPDATA%\winhost\winhoster.exe
Deletes the following files
- %TEMP%\tmpc1d9.tmp
- %TEMP%\tmpc421.tmp
- %TEMP%\tmpc433.tmp
- %TEMP%\tmpc435.tmp
- %TEMP%\tmpc446.tmp
- %TEMP%\tmpc468.tmp
- %TEMP%\tmpc479.tmp
- %TEMP%\tmpc48b.tmp
- %TEMP%\tmpc49c.tmp
- %TEMP%\tmpc3fe.tmp
- %TEMP%\tmpc410.tmp
- %TEMP%\tmpc49e.tmp
- %TEMP%\tmpc4e3.tmp
- %TEMP%\tmpc4f4.tmp
- %TEMP%\tmpc506.tmp
- %TEMP%\tmpc518.tmp
- %TEMP%\tmpc529.tmp
- %TEMP%\tmpc53b.tmp
- %TEMP%\tmpc53d.tmp
- %TEMP%\tmpc54e.tmp
- %TEMP%\tmpc4b0.tmp
- %TEMP%\tmpc4e1.tmp
- %TEMP%\tmpc3fc.tmp
- %TEMP%\tmpc3ea.tmp
- %TEMP%\tmpc3d9.tmp
- %TEMP%\tmpc269.tmp
- %TEMP%\tmpc28a.tmp
- %TEMP%\tmpc29c.tmp
- %TEMP%\tmpc2ae.tmp
- %TEMP%\tmpc2bf.tmp
- %TEMP%\tmpc2d1.tmp
- %TEMP%\tmpc2e2.tmp
- %TEMP%\tmpc2f4.tmp
- %TEMP%\tmpc306.tmp
- %TEMP%\tmpc258.tmp
- %TEMP%\tmpc317.tmp
- %TEMP%\tmpc33a.tmp
- %TEMP%\tmpc35c.tmp
- %TEMP%\tmpc36d.tmp
- %TEMP%\tmpc36f.tmp
- %TEMP%\tmpc381.tmp
- %TEMP%\tmpc392.tmp
- %TEMP%\tmpc3a4.tmp
- %TEMP%\tmpc3b6.tmp
- %TEMP%\tmpc3c7.tmp
- %TEMP%\tmpc329.tmp
- %TEMP%\tmpc560.tmp
- %TEMP%\tmpc562.tmp
Network activity
Connects to
- 'on#####ine-gam3s.com':443
- '2n#.co':443
TCP
Other
- 'on#####ine-gam3s.com':443
- '2n#.co':443
- 'bu#####sdirectory2.xyz':443
UDP
- DNS ASK on#####ine-gam3s.com
- DNS ASK 2n#.co
- DNS ASK bu#####sdirectory2.xyz
Miscellaneous
Creates and executes the following
- '%APPDATA%\4986477.exe'
- '%APPDATA%\7637891.exe'
- '%APPDATA%\winhost\winhoster.exe'
- '%APPDATA%\4986477.exe' ' (with hidden window)
- '%APPDATA%\7637891.exe' ' (with hidden window)
