Analysis
-
max time kernel
42s -
max time network
40s -
platform
windows7_x64 -
resource
win7v20201028 -
submitted
13-01-2021 20:07
Static task
static1
Behavioral task
behavioral1
Sample
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe
Resource
win7v20201028
General
-
Target
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe
-
Size
1.1MB
-
MD5
aedfd31737c70958efe28d1006d50d20
-
SHA1
0131cd4e5390fb80265b33f5b16acd4b238e92aa
-
SHA256
b48bedacf7e54e532d5d32aefe7e43a1fe597edd91086119765af77b5c065ed3
-
SHA512
a2004552de52ceb2729b48d48bdcce2237aac36121b4a1614b2f34e7dd569e63a4d3099a3c0bf4d7dbe9740250655fd18b3635043b1396dc544dad47add6fc7b
Malware Config
Extracted
lokibot
http://51.195.53.221/p.php/HsSpKI8PLZu2g
http://kbfvzoboss.bid/alien/fre.php
http://alphastand.trade/alien/fre.php
http://alphastand.win/alien/fre.php
http://alphastand.top/alien/fre.php
Signatures
-
Suspicious use of SetThreadContext 1 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exedescription pid process target process PID 1640 set thread context of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: RenamesItself 1 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exepid process 1100 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exeLISTA DE MIEMBROS SUSPENDIDOS.pdf.exedescription pid process Token: SeDebugPrivilege 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe Token: SeDebugPrivilege 1100 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Suspicious use of WriteProcessMemory 14 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exedescription pid process target process PID 1640 wrote to memory of 1580 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 1640 wrote to memory of 1580 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 1640 wrote to memory of 1580 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 1640 wrote to memory of 1580 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 1640 wrote to memory of 1100 1640 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe"C:\Users\Admin\AppData\Local\Temp\LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\JtKWmtdKoSFDiG" /XML "C:\Users\Admin\AppData\Local\Temp\tmpB903.tmp"2⤵
- Creates scheduled task(s)
-
C:\Users\Admin\AppData\Local\Temp\LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe"{path}"2⤵
- Suspicious behavior: RenamesItself
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmpB903.tmpMD5
7cc6fa13963709bdeb0ec7585f837e7d
SHA1024d5aba8bdb573aa51342a86b2a42839f821859
SHA256f58144600dadcd49e0ccecdd6c69ab148d760b05aaef096379e7408a7a4c4b35
SHA512b7b82fd6236d98e4a8a793ba94266ea6d42f107b9c461cda16b9f400ddb3909f83b831c72412f3612a0e19a98ce8ce67f20ffdcb22381966998c9c2b2a1af453
-
memory/1100-9-0x0000000000400000-0x00000000004A2000-memory.dmpFilesize
648KB
-
memory/1100-10-0x00000000004139DE-mapping.dmp
-
memory/1100-11-0x0000000000400000-0x00000000004A2000-memory.dmpFilesize
648KB
-
memory/1460-12-0x000007FEF6840000-0x000007FEF6ABA000-memory.dmpFilesize
2.5MB
-
memory/1580-7-0x0000000000000000-mapping.dmp
-
memory/1640-2-0x00000000745C0000-0x0000000074CAE000-memory.dmpFilesize
6.9MB
-
memory/1640-3-0x00000000009C0000-0x00000000009C1000-memory.dmpFilesize
4KB
-
memory/1640-5-0x00000000004E0000-0x00000000004EE000-memory.dmpFilesize
56KB
-
memory/1640-6-0x0000000002360000-0x00000000023C9000-memory.dmpFilesize
420KB