Technical Information
To ensure autorun and distribution
Modifies the following registry keys
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WinHost' = '%APPDATA%\WinHost\WinHoster.exe'
Malicious functions
Reads files which store third party applications passwords
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Modifies file system
Creates the following files
- %APPDATA%\4887703.exe
- %TEMP%\tmp4e18.tmp
- %TEMP%\tmp4e29.tmp
- %TEMP%\tmp4e2a.tmp
- %TEMP%\tmp4e3a.tmp
- %TEMP%\tmp4e3b.tmp
- %TEMP%\tmp4e4c.tmp
- %TEMP%\tmp4e4d.tmp
- %TEMP%\tmp4e4e.tmp
- %TEMP%\tmp4d7b.tmp
- %TEMP%\tmp4e4f.tmp
- %TEMP%\tmp4e60.tmp
- %TEMP%\tmp4e71.tmp
- %TEMP%\tmp4e72.tmp
- %TEMP%\tmp4e73.tmp
- %TEMP%\tmp4e84.tmp
- %TEMP%\tmp4e94.tmp
- %TEMP%\tmp4e95.tmp
- %TEMP%\tmp4e96.tmp
- %TEMP%\tmp4ea7.tmp
- %TEMP%\tmp4e05.tmp
- %TEMP%\tmp4e5f.tmp
- %TEMP%\tmp4e17.tmp
- %TEMP%\tmp4e06.tmp
- %TEMP%\tmp4df5.tmp
- %TEMP%\tmp4df4.tmp
- %ALLUSERSPROFILE%\53\msvcp140.dll
- %ALLUSERSPROFILE%\53\nss3.dll
- %TEMP%\tmp477b.tmp
- %TEMP%\tmp4ce8.tmp
- %TEMP%\tmp4d47.tmp
- %TEMP%\tmp4d48.tmp
- %TEMP%\tmp4d58.tmp
- %TEMP%\tmp4d59.tmp
- %TEMP%\tmp4ea8.tmp
- %TEMP%\tmp4d6a.tmp
- %ALLUSERSPROFILE%\53\vcruntime140.dll
- %TEMP%\tmp4d7c.tmp
- %TEMP%\tmp4d8d.tmp
- %TEMP%\tmp4d9e.tmp
- %TEMP%\tmp4dae.tmp
- %TEMP%\tmp4daf.tmp
- %TEMP%\tmp4dc0.tmp
- %TEMP%\tmp4dd1.tmp
- %TEMP%\tmp4dd2.tmp
- %TEMP%\tmp4dd3.tmp
- %ALLUSERSPROFILE%\53\freebl3.dll
- %TEMP%\tmp4de3.tmp
- %TEMP%\tmp4d8c.tmp
- %ALLUSERSPROFILE%\53\mozglue.dll
- %TEMP%\tmp4ea9.tmp
- %TEMP%\tmp4ecc.tmp
- %TEMP%\tmp4f82.tmp
- %TEMP%\tmp4f93.tmp
- %TEMP%\tmp4f94.tmp
- %TEMP%\tmp4fa4.tmp
- %TEMP%\tmp4fa5.tmp
- %TEMP%\tmp4fb6.tmp
- %TEMP%\tmp4fb7.tmp
- %TEMP%\tmp4fc7.tmp
- %TEMP%\tmp4fc8.tmp
- %TEMP%\tmp4f6e.tmp
- %TEMP%\tmp4fd9.tmp
- %TEMP%\tmp4fdb.tmp
- %TEMP%\tmp4fec.tmp
- %TEMP%\tmp4fed.tmp
- %TEMP%\tmp4fee.tmp
- %TEMP%\tmp4ffe.tmp
- %TEMP%\tmp4fff.tmp
- %TEMP%\tmp5010.tmp
- %TEMP%\tmp5011.tmp
- %TEMP%\tmp5012.tmp
- %TEMP%\tmp4f80.tmp
- %TEMP%\tmp4f81.tmp
- %TEMP%\tmp4f6f.tmp
- %TEMP%\tmp4f6d.tmp
- %TEMP%\tmp912.tmp
- %TEMP%\tmp4edd.tmp
- %TEMP%\tmp4ede.tmp
- %TEMP%\tmp4edf.tmp
- %TEMP%\tmp4eef.tmp
- %TEMP%\tmp4ef0.tmp
- %TEMP%\tmp4ef1.tmp
- %TEMP%\tmp4f02.tmp
- %TEMP%\tmp4f03.tmp
- %TEMP%\tmp4eb9.tmp
- %TEMP%\tmp4ecb.tmp
- %TEMP%\tmp4eca.tmp
- %TEMP%\tmp4f13.tmp
- %TEMP%\tmp4f27.tmp
- %TEMP%\tmp4f38.tmp
- %TEMP%\tmp4f39.tmp
- %TEMP%\tmp4f3a.tmp
- %TEMP%\tmp4f4a.tmp
- %TEMP%\tmp4f4b.tmp
- %TEMP%\tmp4f5c.tmp
- %TEMP%\tmp4f5d.tmp
- %TEMP%\tmp4f14.tmp
- %TEMP%\tmp4f25.tmp
- %TEMP%\tmp4f26.tmp
- %ALLUSERSPROFILE%\53\sqlite3.dll
- %ALLUSERSPROFILE%\53\softokn3.dll
- %ALLUSERSPROFILE%\5360
- %TEMP%\tmp7d7.tmp
- %TEMP%\tmp7e8.tmp
- %TEMP%\tmp7e9.tmp
- %TEMP%\tmp7f9.tmp
- %TEMP%\tmp7fa.tmp
- %TEMP%\tmp80b.tmp
- %TEMP%\tmp80c.tmp
- %TEMP%\tmp81c.tmp
- %TEMP%\tmp81d.tmp
- %TEMP%\tmp8a6.tmp
- %TEMP%\tmp82e.tmp
- %TEMP%\tmp84f.tmp
- %TEMP%\tmp860.tmp
- %TEMP%\tmp861.tmp
- %TEMP%\tmp871.tmp
- %TEMP%\tmp872.tmp
- %TEMP%\tmp883.tmp
- %TEMP%\tmp884.tmp
- %TEMP%\tmp895.tmp
- %TEMP%\tmp7c4.tmp
- %TEMP%\tmp7c3.tmp
- %TEMP%\tmp7d6.tmp
- %TEMP%\tmp7b3.tmp
- %TEMP%\tmp7a2.tmp
- %APPDATA%\4152003.exe
- %TEMP%\tmp1b5.tmp
- %TEMP%\tmp58c.tmp
- %TEMP%\tmp697.tmp
- %TEMP%\tmp6a7.tmp
- %TEMP%\tmp6a8.tmp
- %TEMP%\tmp6b9.tmp
- %TEMP%\tmp6c9.tmp
- %TEMP%\tmp6da.tmp
- %TEMP%\tmp896.tmp
- %TEMP%\tmp6eb.tmp
- %TEMP%\tmp82f.tmp
- %TEMP%\tmp6fc.tmp
- %TEMP%\tmp70e.tmp
- %TEMP%\tmp74d.tmp
- %TEMP%\tmp75e.tmp
- %TEMP%\tmp76e.tmp
- %TEMP%\tmp76f.tmp
- %TEMP%\tmp780.tmp
- %TEMP%\tmp791.tmp
- %TEMP%\tmp792.tmp
- %TEMP%\tmp6fb.tmp
- %APPDATA%\winhost\winhoster.exe
- %TEMP%\tmp70d.tmp
- %TEMP%\tmp7c5.tmp
- %TEMP%\tmp8a7.tmp
- %TEMP%\tmp9bd.tmp
- %TEMP%\tmp9ce.tmp
- %TEMP%\tmp9cf.tmp
- %TEMP%\tmp9e0.tmp
- %TEMP%\tmp9e1.tmp
- %TEMP%\tmp9f2.tmp
- %TEMP%\tmp9f3.tmp
- %TEMP%\tmpa03.tmp
- %TEMP%\tmpa04.tmp
- %TEMP%\tmp9ac.tmp
- %TEMP%\tmp8b8.tmp
- %TEMP%\tmp9be.tmp
- %TEMP%\tmpa05.tmp
- %TEMP%\tmpa38.tmp
- %TEMP%\tmpa39.tmp
- %TEMP%\tmpa4a.tmp
- %TEMP%\tmpa4b.tmp
- %TEMP%\tmpa5b.tmp
- %TEMP%\tmpa6c.tmp
- %TEMP%\tmpa7c.tmp
- %APPDATA%\7866753.exe
- %TEMP%\tmpa16.tmp
- %TEMP%\tmpa26.tmp
- %TEMP%\tmpa27.tmp
- %TEMP%\tmp4fda.tmp
- %TEMP%\tmp5022.tmp
- %TEMP%\tmp99a.tmp
- %TEMP%\tmp8c9.tmp
- %TEMP%\tmp8da.tmp
- %TEMP%\tmp8db.tmp
- %TEMP%\tmp8dc.tmp
- %TEMP%\tmp8ed.tmp
- %TEMP%\tmp8ee.tmp
- %TEMP%\tmp8fe.tmp
- %TEMP%\tmp8ff.tmp
- %TEMP%\tmp900.tmp
- %TEMP%\tmp99b.tmp
- %TEMP%\tmp9ab.tmp
- %TEMP%\tmp911.tmp
- %TEMP%\tmp933.tmp
- %TEMP%\tmp944.tmp
- %TEMP%\tmp945.tmp
- %TEMP%\tmp955.tmp
- %TEMP%\tmp956.tmp
- %TEMP%\tmp967.tmp
- %TEMP%\tmp977.tmp
- %TEMP%\tmp988.tmp
- %TEMP%\tmp989.tmp
- %TEMP%\tmp8c8.tmp
- %TEMP%\tmp922.tmp
- %TEMP%\tmp5023.tmp
Sets the 'hidden' attribute to the following files
- %APPDATA%\winhost\winhoster.exe
Deletes the following files
- %TEMP%\tmp58c.tmp
- %TEMP%\tmp4eb9.tmp
- %TEMP%\tmp4ea8.tmp
- %TEMP%\tmp4e96.tmp
- %TEMP%\tmp4e94.tmp
- %TEMP%\tmp4e73.tmp
- %TEMP%\tmp4e71.tmp
- %TEMP%\tmp4e5f.tmp
- %TEMP%\tmp4e4e.tmp
- %TEMP%\tmp4e4c.tmp
- %TEMP%\tmp4d48.tmp
- %TEMP%\tmp4e3a.tmp
- %TEMP%\tmp4e17.tmp
- %TEMP%\tmp4e05.tmp
- %TEMP%\tmp4df4.tmp
- %TEMP%\tmp4dd3.tmp
- %TEMP%\tmp4dd1.tmp
- %TEMP%\tmp4daf.tmp
- %TEMP%\tmp4d9e.tmp
- %TEMP%\tmp4d8c.tmp
- %TEMP%\tmp4d7b.tmp
- %TEMP%\tmp4e29.tmp
- %TEMP%\tmp4d59.tmp
- %TEMP%\tmp4ecb.tmp
- %TEMP%\tmp4f6f.tmp
- %TEMP%\tmp5010.tmp
- %TEMP%\tmp4ffe.tmp
- %TEMP%\tmp4fed.tmp
- %TEMP%\tmp4fdb.tmp
- %TEMP%\tmp4fd9.tmp
- %TEMP%\tmp4fc7.tmp
- %TEMP%\tmp4fb6.tmp
- %TEMP%\tmp4fa4.tmp
- %TEMP%\tmp4f93.tmp
- %TEMP%\tmp4edf.tmp
- %TEMP%\tmp4edd.tmp
- %TEMP%\tmp4f6d.tmp
- %TEMP%\tmp4f5c.tmp
- %TEMP%\tmp4f4a.tmp
- %TEMP%\tmp4f39.tmp
- %TEMP%\tmp4f27.tmp
- %TEMP%\tmp4f25.tmp
- %TEMP%\tmp4f13.tmp
- %TEMP%\tmp4f02.tmp
- %TEMP%\tmp4ef0.tmp
- %TEMP%\tmp4f81.tmp
- %TEMP%\tmp4ce8.tmp
- %TEMP%\tmpa7c.tmp
- %TEMP%\tmpa5b.tmp
- %TEMP%\tmp861.tmp
- %TEMP%\tmp84f.tmp
- %TEMP%\tmp82e.tmp
- %TEMP%\tmp81c.tmp
- %TEMP%\tmp80b.tmp
- %TEMP%\tmp7f9.tmp
- %TEMP%\tmp7e8.tmp
- %TEMP%\tmp7d6.tmp
- %TEMP%\tmp884.tmp
- %TEMP%\tmp7c4.tmp
- %TEMP%\tmp792.tmp
- %TEMP%\tmp780.tmp
- %TEMP%\tmp76e.tmp
- %TEMP%\tmp74d.tmp
- %TEMP%\tmp70d.tmp
- %TEMP%\tmp6fb.tmp
- %TEMP%\tmp6da.tmp
- %TEMP%\tmp6b9.tmp
- %TEMP%\tmp6a7.tmp
- %TEMP%\tmp7b3.tmp
- %TEMP%\tmp896.tmp
- %TEMP%\tmp872.tmp
- %TEMP%\tmp8a7.tmp
- %TEMP%\tmpa4a.tmp
- %TEMP%\tmp99a.tmp
- %TEMP%\tmpa38.tmp
- %TEMP%\tmpa26.tmp
- %TEMP%\tmpa05.tmp
- %TEMP%\tmpa03.tmp
- %TEMP%\tmp9f2.tmp
- %TEMP%\tmp9e0.tmp
- %TEMP%\tmp9ce.tmp
- %TEMP%\tmp9bd.tmp
- %TEMP%\tmp9ab.tmp
- %TEMP%\tmp988.tmp
- %TEMP%\tmp8c8.tmp
- %TEMP%\tmp967.tmp
- %TEMP%\tmp955.tmp
- %TEMP%\tmp944.tmp
- %TEMP%\tmp922.tmp
- %TEMP%\tmp911.tmp
- %TEMP%\tmp8ff.tmp
- %TEMP%\tmp8ee.tmp
- %TEMP%\tmp8dc.tmp
- %TEMP%\tmp8da.tmp
- %TEMP%\tmp5012.tmp
- %TEMP%\tmp5023.tmp
Network activity
Connects to
- 're####network.xyz':443
- 'ip###ger.org':443
- 'ge#####ope-group.bar':443
- 'microsoft.com':80
TCP
HTTP GET requests
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Other
- 're####network.xyz':443
- 'ip###ger.org':443
- 'ge#####ope-group.bar':443
UDP
- DNS ASK ga###etwork.bar
- DNS ASK re####network.xyz
- DNS ASK mr####e-support.xyz
- DNS ASK ip###ger.org
- DNS ASK ge#####ope-group.bar
- DNS ASK microsoft.com
Miscellaneous
Creates and executes the following
- '%APPDATA%\4887703.exe'
- '%APPDATA%\4152003.exe'
- '%APPDATA%\winhost\winhoster.exe'
- '%APPDATA%\7866753.exe'
- '%APPDATA%\4887703.exe' ' (with hidden window)
- '%APPDATA%\4152003.exe' ' (with hidden window)
- '%APPDATA%\7866753.exe' ' (with hidden window)
