Analysis
-
max time kernel
75s -
max time network
137s -
platform
windows10_x64 -
resource
win10 -
submitted
21/06/2020, 18:49
Static task
static1
Behavioral task
behavioral1
Sample
wtava.bin.exe
Resource
win7v200430
windows7_x64
0 signatures
0 seconds
Behavioral task
behavioral2
Sample
wtava.bin.exe
Resource
win10
windows10_x64
0 signatures
0 seconds
General
-
Target
wtava.bin.exe
-
Size
1.1MB
-
MD5
6c660f960daac148be75427c712d0134
-
SHA1
b3c597060abc20d3b3291f8b5252a3834d49b92f
-
SHA256
fa4626e2c5984d7868a685c5102530bd8260d0b31ef06d2ce2da7636da48d2d6
-
SHA512
48806df9787497cbf55a85a523c8e703aec1bb262c60a019ab45f420a87d016054a97dc428484bd5c2f7ba1c3f57a37d807fc4e1de487dbef1c76dc38fbf8fe0
Score
10/10
Malware Config
Signatures
-
Suspicious behavior: EnumeratesProcesses 658 IoCs
pid Process 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe 3060 wtava.bin.exe -
Suspicious use of WriteProcessMemory 18 IoCs
description pid Process procid_target PID 3060 wrote to memory of 3496 3060 wtava.bin.exe 68 PID 3060 wrote to memory of 3496 3060 wtava.bin.exe 68 PID 3060 wrote to memory of 3496 3060 wtava.bin.exe 68 PID 3060 wrote to memory of 3940 3060 wtava.bin.exe 71 PID 3060 wrote to memory of 3940 3060 wtava.bin.exe 71 PID 3060 wrote to memory of 3940 3060 wtava.bin.exe 71 PID 3060 wrote to memory of 412 3060 wtava.bin.exe 74 PID 3060 wrote to memory of 412 3060 wtava.bin.exe 74 PID 3060 wrote to memory of 412 3060 wtava.bin.exe 74 PID 3060 wrote to memory of 836 3060 wtava.bin.exe 76 PID 3060 wrote to memory of 836 3060 wtava.bin.exe 76 PID 3060 wrote to memory of 836 3060 wtava.bin.exe 76 PID 3060 wrote to memory of 1052 3060 wtava.bin.exe 78 PID 3060 wrote to memory of 1052 3060 wtava.bin.exe 78 PID 3060 wrote to memory of 1052 3060 wtava.bin.exe 78 PID 3060 wrote to memory of 1292 3060 wtava.bin.exe 80 PID 3060 wrote to memory of 1292 3060 wtava.bin.exe 80 PID 3060 wrote to memory of 1292 3060 wtava.bin.exe 80 -
Enumerates connected drives 3 TTPs
-
description ioc Process Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA = "0" wtava.bin.exe -
Adds Run entry to start application 2 TTPs 4 IoCs
description ioc Process Key created \REGISTRY\USER\S-1-5-21-2066881839-3229799743-3576549721-1000\Software\Microsoft\Windows\CurrentVersion\Run wtava.bin.exe Set value (str) \REGISTRY\USER\S-1-5-21-2066881839-3229799743-3576549721-1000\Software\Microsoft\Windows\CurrentVersion\Run\update = "C:\\Users\\Admin\\AppData\\Roaming\\Microsoft\\wtava.bin.exe" wtava.bin.exe Key created \REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run wtava.bin.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\update = "C:\\Users\\Admin\\AppData\\Roaming\\Microsoft\\wtava.bin.exe" wtava.bin.exe -
Interacts with shadow copies 2 TTPs 3 IoCs
Shadow copies are often targeted by ransomware to inhibit system recovery.
pid Process 3940 vssadmin.exe 836 vssadmin.exe 1292 vssadmin.exe -
Suspicious use of AdjustPrivilegeToken 66 IoCs
description pid Process Token: SeIncreaseQuotaPrivilege 3496 wmic.exe Token: SeSecurityPrivilege 3496 wmic.exe Token: SeTakeOwnershipPrivilege 3496 wmic.exe Token: SeLoadDriverPrivilege 3496 wmic.exe Token: SeSystemProfilePrivilege 3496 wmic.exe Token: SeSystemtimePrivilege 3496 wmic.exe Token: SeProfSingleProcessPrivilege 3496 wmic.exe Token: SeIncBasePriorityPrivilege 3496 wmic.exe Token: SeCreatePagefilePrivilege 3496 wmic.exe Token: SeBackupPrivilege 3496 wmic.exe Token: SeRestorePrivilege 3496 wmic.exe Token: SeShutdownPrivilege 3496 wmic.exe Token: SeDebugPrivilege 3496 wmic.exe Token: SeSystemEnvironmentPrivilege 3496 wmic.exe Token: SeRemoteShutdownPrivilege 3496 wmic.exe Token: SeUndockPrivilege 3496 wmic.exe Token: SeManageVolumePrivilege 3496 wmic.exe Token: 33 3496 wmic.exe Token: 34 3496 wmic.exe Token: 35 3496 wmic.exe Token: 36 3496 wmic.exe Token: SeBackupPrivilege 3004 vssvc.exe Token: SeRestorePrivilege 3004 vssvc.exe Token: SeAuditPrivilege 3004 vssvc.exe Token: SeIncreaseQuotaPrivilege 412 wmic.exe Token: SeSecurityPrivilege 412 wmic.exe Token: SeTakeOwnershipPrivilege 412 wmic.exe Token: SeLoadDriverPrivilege 412 wmic.exe Token: SeSystemProfilePrivilege 412 wmic.exe Token: SeSystemtimePrivilege 412 wmic.exe Token: SeProfSingleProcessPrivilege 412 wmic.exe Token: SeIncBasePriorityPrivilege 412 wmic.exe Token: SeCreatePagefilePrivilege 412 wmic.exe Token: SeBackupPrivilege 412 wmic.exe Token: SeRestorePrivilege 412 wmic.exe Token: SeShutdownPrivilege 412 wmic.exe Token: SeDebugPrivilege 412 wmic.exe Token: SeSystemEnvironmentPrivilege 412 wmic.exe Token: SeRemoteShutdownPrivilege 412 wmic.exe Token: SeUndockPrivilege 412 wmic.exe Token: SeManageVolumePrivilege 412 wmic.exe Token: 33 412 wmic.exe Token: 34 412 wmic.exe Token: 35 412 wmic.exe Token: 36 412 wmic.exe Token: SeIncreaseQuotaPrivilege 1052 wmic.exe Token: SeSecurityPrivilege 1052 wmic.exe Token: SeTakeOwnershipPrivilege 1052 wmic.exe Token: SeLoadDriverPrivilege 1052 wmic.exe Token: SeSystemProfilePrivilege 1052 wmic.exe Token: SeSystemtimePrivilege 1052 wmic.exe Token: SeProfSingleProcessPrivilege 1052 wmic.exe Token: SeIncBasePriorityPrivilege 1052 wmic.exe Token: SeCreatePagefilePrivilege 1052 wmic.exe Token: SeBackupPrivilege 1052 wmic.exe Token: SeRestorePrivilege 1052 wmic.exe Token: SeShutdownPrivilege 1052 wmic.exe Token: SeDebugPrivilege 1052 wmic.exe Token: SeSystemEnvironmentPrivilege 1052 wmic.exe Token: SeRemoteShutdownPrivilege 1052 wmic.exe Token: SeUndockPrivilege 1052 wmic.exe Token: SeManageVolumePrivilege 1052 wmic.exe Token: 33 1052 wmic.exe Token: 34 1052 wmic.exe Token: 35 1052 wmic.exe Token: 36 1052 wmic.exe -
Modifies service 2 TTPs 4 IoCs
description ioc Process Key created \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\VSS\Diag\Registry Writer vssvc.exe Key created \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\VSS\Diag\COM+ REGDB Writer vssvc.exe Key created \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\VSS\Diag\ASR Writer vssvc.exe Key created \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\VSS\Diag\Shadow Copy Optimization Writer vssvc.exe -
Drops desktop.ini file(s) 1 IoCs
description ioc Process File opened for modification \??\Z:\$RECYCLE.BIN\S-1-5-21-2066881839-3229799743-3576549721-1000\desktop.ini wtava.bin.exe -
System policy modification 1 TTPs 1 IoCs
description ioc Process Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLinkedConnections = "1" wtava.bin.exe -
description ioc Process Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA = "0" wtava.bin.exe Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "0" wtava.bin.exe -
Deletes shadow copies 2 TTPs
Ransomware often targets backup files to inhibit system recovery.
-
Looks up external IP address via web service 2 IoCs
Uses a legitimate IP lookup service to find the infected system's external IP.
flow ioc 2 api.myip.com 3 api.myip.com
Processes
-
C:\Users\Admin\AppData\Local\Temp\wtava.bin.exe"C:\Users\Admin\AppData\Local\Temp\wtava.bin.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
- Checks whether UAC is enabled
- Adds Run entry to start application
- Drops desktop.ini file(s)
- System policy modification
- UAC bypass
PID:3060 -
C:\Windows\SysWOW64\Wbem\wmic.exewmic.exe SHADOWCOPY /nointeractive2⤵
- Suspicious use of AdjustPrivilegeToken
PID:3496
-
-
C:\Windows\SysWOW64\vssadmin.exevssadmin.exe Delete Shadows /All /Quiet2⤵
- Interacts with shadow copies
PID:3940
-
-
C:\Windows\SysWOW64\Wbem\wmic.exewmic.exe SHADOWCOPY /nointeractive2⤵
- Suspicious use of AdjustPrivilegeToken
PID:412
-
-
C:\Windows\SysWOW64\vssadmin.exevssadmin.exe Delete Shadows /All /Quiet2⤵
- Interacts with shadow copies
PID:836
-
-
C:\Windows\SysWOW64\Wbem\wmic.exewmic.exe SHADOWCOPY /nointeractive2⤵
- Suspicious use of AdjustPrivilegeToken
PID:1052
-
-
C:\Windows\SysWOW64\vssadmin.exevssadmin.exe Delete Shadows /All /Quiet2⤵
- Interacts with shadow copies
PID:1292
-
-
C:\Windows\system32\vssvc.exeC:\Windows\system32\vssvc.exe1⤵
- Suspicious use of AdjustPrivilegeToken
- Modifies service
PID:3004