Overview

overview

10

Static

static

chthonic_2...ir.exe

windows7_x64

10

chthonic_2...ir.exe

windows10_x64

5

Analysis

  • max time kernel
    149s
  • max time network
    151s
  • platform
    windows10_x64
  • resource
    win10
  • submitted
    19-07-2020 17:37

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    chthonic_2.23.11.0.vir.exe

  • Size

    361KB

  • MD5

    a6a625b1840483a2288b7c93991a12ed

  • SHA1

    1845a9543a84ce21532a2a5df5200fdba8db8cea

  • SHA256

    0e86fbf5aa4f23d453805ab455d1ce53cecdf83bbdf142d995cf61290e8caab4

  • SHA512

    9229defc208590b2e0f182d18a68d520f84703b698b098688f6da025e9c3a8328c6916093027805f99e56097ddc1932ddcaab460b5dab4b003fff392858e0dbc

Score
5/10
persistence

Malware Config

Signatures

  • Suspicious behavior: LoadsDriver 422 IoCs
  • Checks SCSI registry key(s) 3 TTPs 96 IoCs

    SCSI information is often read in order to detect sandboxing environments.

  • Drops file in Windows directory 2 IoCs
  • Modifies service 2 TTPs 41 IoCs
    persistence
  • Modifies data under HKEY_USERS 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 54 IoCs
  • Program crash 1 IoCs
  • Suspicious behavior: EnumeratesProcesses 13 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\chthonic_2.23.11.0.vir.exe
    "C:\Users\Admin\AppData\Local\Temp\chthonic_2.23.11.0.vir.exe"
    1⤵
    • Suspicious use of AdjustPrivilegeToken
    PID:3892
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 3892 -s 24716
      2⤵
      • Suspicious use of AdjustPrivilegeToken
      • Program crash
      • Suspicious behavior: EnumeratesProcesses
      PID:3804
  • \??\c:\windows\system32\svchost.exe
    c:\windows\system32\svchost.exe -k networkservice -s TapiSrv
    1⤵
      PID:3012
    • \??\c:\windows\system32\svchost.exe
      c:\windows\system32\svchost.exe -k localservice -s SstpSvc
      1⤵
        PID:3220
      • \??\c:\windows\system32\svchost.exe
        c:\windows\system32\svchost.exe -k netsvcs -s DsmSvc
        1⤵
        • Checks SCSI registry key(s)
        • Drops file in Windows directory
        • Modifies data under HKEY_USERS
        PID:68
      • \??\c:\windows\system32\svchost.exe
        c:\windows\system32\svchost.exe -k netsvcs -s NetSetupSvc
        1⤵
        • Drops file in Windows directory
        • Modifies service
        • Suspicious use of AdjustPrivilegeToken
        PID:3156
      • \??\c:\windows\system32\svchost.exe
        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
        1⤵
        • Modifies service
        PID:3008
      • \??\c:\windows\system32\svchost.exe
        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
        1⤵
          PID:796
        • \??\c:\windows\system32\svchost.exe
          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
          1⤵
            PID:996
          • \??\c:\windows\system32\svchost.exe
            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
            1⤵
              PID:1056
            • \??\c:\windows\system32\svchost.exe
              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
              1⤵
                PID:3668
              • \??\c:\windows\system32\svchost.exe
                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                1⤵
                  PID:3752
                • \??\c:\windows\system32\svchost.exe
                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                  1⤵
                    PID:2116
                  • \??\c:\windows\system32\svchost.exe
                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                    1⤵
                      PID:1312
                    • \??\c:\windows\system32\svchost.exe
                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                      1⤵
                        PID:1488
                      • \??\c:\windows\system32\svchost.exe
                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                        1⤵
                          PID:2676
                        • \??\c:\windows\system32\svchost.exe
                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                          1⤵
                            PID:1648
                          • \??\c:\windows\system32\svchost.exe
                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                            1⤵
                              PID:3808
                            • \??\c:\windows\system32\svchost.exe
                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                              1⤵
                                PID:1948
                              • \??\c:\windows\system32\svchost.exe
                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                1⤵
                                  PID:2112
                                • \??\c:\windows\system32\svchost.exe
                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                  1⤵
                                    PID:2136
                                  • \??\c:\windows\system32\svchost.exe
                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                    1⤵
                                      PID:2484
                                    • \??\c:\windows\system32\svchost.exe
                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                      1⤵
                                        PID:3912
                                      • \??\c:\windows\system32\svchost.exe
                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                        1⤵
                                          PID:3684
                                        • \??\c:\windows\system32\svchost.exe
                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                          1⤵
                                            PID:1184
                                          • \??\c:\windows\system32\svchost.exe
                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                            1⤵
                                              PID:680
                                            • \??\c:\windows\system32\svchost.exe
                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                              1⤵
                                                PID:1092
                                              • \??\c:\windows\system32\svchost.exe
                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                1⤵
                                                  PID:1312
                                                • \??\c:\windows\system32\svchost.exe
                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                  1⤵
                                                    PID:2572
                                                  • \??\c:\windows\system32\svchost.exe
                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                    1⤵
                                                      PID:1756
                                                    • \??\c:\windows\system32\svchost.exe
                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                      1⤵
                                                        PID:1956
                                                      • \??\c:\windows\system32\svchost.exe
                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                        1⤵
                                                          PID:2132
                                                        • \??\c:\windows\system32\svchost.exe
                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                          1⤵
                                                            PID:2480
                                                          • \??\c:\windows\system32\svchost.exe
                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                            1⤵
                                                              PID:2936
                                                            • \??\c:\windows\system32\svchost.exe
                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                              1⤵
                                                                PID:420
                                                              • \??\c:\windows\system32\svchost.exe
                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                1⤵
                                                                  PID:840
                                                                • \??\c:\windows\system32\svchost.exe
                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                  1⤵
                                                                    PID:2912
                                                                  • \??\c:\windows\system32\svchost.exe
                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                    1⤵
                                                                      PID:3820
                                                                    • \??\c:\windows\system32\svchost.exe
                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                      1⤵
                                                                        PID:3324
                                                                      • \??\c:\windows\system32\svchost.exe
                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                        1⤵
                                                                          PID:2228
                                                                        • \??\c:\windows\system32\svchost.exe
                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                          1⤵
                                                                            PID:1308
                                                                          • \??\c:\windows\system32\svchost.exe
                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                            1⤵
                                                                              PID:1584
                                                                            • \??\c:\windows\system32\svchost.exe
                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                              1⤵
                                                                                PID:1068
                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                1⤵
                                                                                  PID:1656
                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                  1⤵
                                                                                    PID:2264
                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                    1⤵
                                                                                      PID:1772
                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                      1⤵
                                                                                        PID:2020
                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                        1⤵
                                                                                          PID:2144
                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                          1⤵
                                                                                            PID:1532
                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                            1⤵
                                                                                              PID:2480
                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                              1⤵
                                                                                                PID:2736
                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                1⤵
                                                                                                  PID:2496
                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                  1⤵
                                                                                                    PID:900
                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                    1⤵
                                                                                                      PID:3764
                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                      1⤵
                                                                                                        PID:3880
                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                        1⤵
                                                                                                          PID:844
                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                          1⤵
                                                                                                            PID:2568
                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                            1⤵
                                                                                                              PID:2220
                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                              1⤵
                                                                                                                PID:680
                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                1⤵
                                                                                                                  PID:1100
                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                  1⤵
                                                                                                                    PID:1140
                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                    1⤵
                                                                                                                      PID:1452
                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                      1⤵
                                                                                                                        PID:2024
                                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                        1⤵
                                                                                                                          PID:2728
                                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                          1⤵
                                                                                                                            PID:2248
                                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                            1⤵
                                                                                                                              PID:3760
                                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                              1⤵
                                                                                                                                PID:1892
                                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                1⤵
                                                                                                                                  PID:2112
                                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                  1⤵
                                                                                                                                    PID:2152
                                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                    1⤵
                                                                                                                                      PID:2680
                                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                      1⤵
                                                                                                                                        PID:632
                                                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                        1⤵
                                                                                                                                          PID:2484
                                                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                          1⤵
                                                                                                                                            PID:408
                                                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                            1⤵
                                                                                                                                              PID:1800
                                                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                              1⤵
                                                                                                                                                PID:2820
                                                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                1⤵
                                                                                                                                                  PID:3764
                                                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                  1⤵
                                                                                                                                                    PID:1412
                                                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                    1⤵
                                                                                                                                                      PID:1000
                                                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                      1⤵
                                                                                                                                                        PID:492
                                                                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                        1⤵
                                                                                                                                                          PID:332
                                                                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                          1⤵
                                                                                                                                                            PID:3156
                                                                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                            1⤵
                                                                                                                                                              PID:3748
                                                                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                              1⤵
                                                                                                                                                                PID:1332
                                                                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                1⤵
                                                                                                                                                                  PID:2836
                                                                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                  1⤵
                                                                                                                                                                    PID:2572
                                                                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                    1⤵
                                                                                                                                                                      PID:1784
                                                                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                      1⤵
                                                                                                                                                                        PID:3004
                                                                                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                        1⤵
                                                                                                                                                                          PID:2056
                                                                                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                          1⤵
                                                                                                                                                                            PID:2128
                                                                                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                            1⤵
                                                                                                                                                                              PID:1536
                                                                                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                              1⤵
                                                                                                                                                                                PID:3412
                                                                                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                1⤵
                                                                                                                                                                                  PID:3320
                                                                                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                  1⤵
                                                                                                                                                                                    PID:68
                                                                                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                    1⤵
                                                                                                                                                                                      PID:2736
                                                                                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                      1⤵
                                                                                                                                                                                        PID:2496
                                                                                                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                        1⤵
                                                                                                                                                                                          PID:2548
                                                                                                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                          1⤵
                                                                                                                                                                                            PID:3744
                                                                                                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                            1⤵
                                                                                                                                                                                              PID:2532
                                                                                                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                              1⤵
                                                                                                                                                                                                PID:840
                                                                                                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                1⤵
                                                                                                                                                                                                  PID:3640
                                                                                                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                  1⤵
                                                                                                                                                                                                    PID:3236
                                                                                                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                    1⤵
                                                                                                                                                                                                      PID:3960
                                                                                                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                      1⤵
                                                                                                                                                                                                        PID:684
                                                                                                                                                                                                      • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                        c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                        1⤵
                                                                                                                                                                                                          PID:2176
                                                                                                                                                                                                        • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                          c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                          1⤵
                                                                                                                                                                                                            PID:1964
                                                                                                                                                                                                          • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                            c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                            1⤵
                                                                                                                                                                                                              PID:2988
                                                                                                                                                                                                            • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                              c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                              1⤵
                                                                                                                                                                                                                PID:3884
                                                                                                                                                                                                              • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                                c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                                1⤵
                                                                                                                                                                                                                  PID:2880
                                                                                                                                                                                                                • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                                  c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                                  1⤵
                                                                                                                                                                                                                    PID:2364
                                                                                                                                                                                                                  • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                                    c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                                    1⤵
                                                                                                                                                                                                                      PID:3004
                                                                                                                                                                                                                    • \??\c:\windows\system32\svchost.exe
                                                                                                                                                                                                                      c:\windows\system32\svchost.exe -k netsvcs -s RasMan
                                                                                                                                                                                                                      1⤵
                                                                                                                                                                                                                        PID:2056

                                                                                                                                                                                                                      Network

                                                                                                                                                                                                                      MITRE ATT&CK Matrix ATT&CK v6

                                                                                                                                                                                                                      Initial Access

                                                                                                                                                                                                                      Execution

                                                                                                                                                                                                                      Persistence

                                                                                                                                                                                                                      Modify Existing Service

                                                                                                                                                                                                                      1
                                                                                                                                                                                                                      T1031

                                                                                                                                                                                                                      Privilege Escalation

                                                                                                                                                                                                                      Defense Evasion

                                                                                                                                                                                                                      Modify Registry

                                                                                                                                                                                                                      1
                                                                                                                                                                                                                      T1112

                                                                                                                                                                                                                      Credential Access

                                                                                                                                                                                                                      Discovery

                                                                                                                                                                                                                      Query Registry

                                                                                                                                                                                                                      1
                                                                                                                                                                                                                      T1012

                                                                                                                                                                                                                      Peripheral Device Discovery

                                                                                                                                                                                                                      1
                                                                                                                                                                                                                      T1120

                                                                                                                                                                                                                      System Information Discovery

                                                                                                                                                                                                                      1
                                                                                                                                                                                                                      T1082

                                                                                                                                                                                                                      Lateral Movement

                                                                                                                                                                                                                      Collection

                                                                                                                                                                                                                      Exfiltration

                                                                                                                                                                                                                      Command and Control

                                                                                                                                                                                                                      Impact

                                                                                                                                                                                                                      Replay Monitor

                                                                                                                                                                                                                      Loading Replay Monitor...

                                                                                                                                                                                                                      Downloads

                                                                                                                                                                                                                      • C:\Windows\INF\netrasa.PNF
                                                                                                                                                                                                                        Download Submit
                                                                                                                                                                                                                      • C:\Windows\INF\netsstpa.PNF
                                                                                                                                                                                                                        Download Submit
                                                                                                                                                                                                                      • memory/3804-0-0x0000000004E80000-0x0000000004E81000-memory.dmp
                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                        4KB

                                                                                                                                                                                                                        Download
                                                                                                                                                                                                                      • memory/3804-1-0x0000000005730000-0x0000000005731000-memory.dmp
                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                        4KB

                                                                                                                                                                                                                        Download