Analysis
-
max time kernel
127s -
max time network
130s -
platform
windows10_x64 -
resource
win10v20201028 -
submitted
13-01-2021 20:07
Static task
static1
Behavioral task
behavioral1
Sample
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe
Resource
win7v20201028
General
-
Target
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe
-
Size
1.1MB
-
MD5
aedfd31737c70958efe28d1006d50d20
-
SHA1
0131cd4e5390fb80265b33f5b16acd4b238e92aa
-
SHA256
b48bedacf7e54e532d5d32aefe7e43a1fe597edd91086119765af77b5c065ed3
-
SHA512
a2004552de52ceb2729b48d48bdcce2237aac36121b4a1614b2f34e7dd569e63a4d3099a3c0bf4d7dbe9740250655fd18b3635043b1396dc544dad47add6fc7b
Malware Config
Extracted
lokibot
http://51.195.53.221/p.php/HsSpKI8PLZu2g
http://kbfvzoboss.bid/alien/fre.php
http://alphastand.trade/alien/fre.php
http://alphastand.win/alien/fre.php
http://alphastand.top/alien/fre.php
Signatures
-
Suspicious use of SetThreadContext 1 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exedescription pid process target process PID 68 set thread context of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 1 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exepid process 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Suspicious behavior: RenamesItself 1 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exepid process 1540 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exeLISTA DE MIEMBROS SUSPENDIDOS.pdf.exedescription pid process Token: SeDebugPrivilege 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe Token: SeDebugPrivilege 1540 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe -
Suspicious use of WriteProcessMemory 12 IoCs
Processes:
LISTA DE MIEMBROS SUSPENDIDOS.pdf.exedescription pid process target process PID 68 wrote to memory of 188 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 68 wrote to memory of 188 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 68 wrote to memory of 188 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe schtasks.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe PID 68 wrote to memory of 1540 68 LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe"C:\Users\Admin\AppData\Local\Temp\LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\JtKWmtdKoSFDiG" /XML "C:\Users\Admin\AppData\Local\Temp\tmp25E8.tmp"2⤵
- Creates scheduled task(s)
-
C:\Users\Admin\AppData\Local\Temp\LISTA DE MIEMBROS SUSPENDIDOS.pdf.exe"{path}"2⤵
- Suspicious behavior: RenamesItself
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmp25E8.tmpMD5
b4ff10ddc00bb4d836cc87603e784ba5
SHA116f97b2167aec6ca74bd22ee20225232266c9fbb
SHA256767004e3d09771533cd6391f7cb97b077fef5014116ef8669de8adf764a762a5
SHA512dbc6278556c9f75b4e03153ce6a35efb0f0880a90b0855651336e23275bf1c5c02cf0c1e746b77f3dd49286a4919569c10ff5d56876a88b15eae79be2e75e646
-
memory/68-6-0x00000000075D0000-0x00000000075D1000-memory.dmpFilesize
4KB
-
memory/68-5-0x0000000007A30000-0x0000000007A31000-memory.dmpFilesize
4KB
-
memory/68-2-0x0000000073300000-0x00000000739EE000-memory.dmpFilesize
6.9MB
-
memory/68-7-0x0000000007670000-0x0000000007671000-memory.dmpFilesize
4KB
-
memory/68-8-0x0000000007810000-0x000000000781E000-memory.dmpFilesize
56KB
-
memory/68-9-0x0000000009370000-0x00000000093D9000-memory.dmpFilesize
420KB
-
memory/68-10-0x0000000009BB0000-0x0000000009BB1000-memory.dmpFilesize
4KB
-
memory/68-3-0x0000000000780000-0x0000000000781000-memory.dmpFilesize
4KB
-
memory/188-11-0x0000000000000000-mapping.dmp
-
memory/1540-13-0x0000000000400000-0x00000000004A2000-memory.dmpFilesize
648KB
-
memory/1540-14-0x00000000004139DE-mapping.dmp
-
memory/1540-15-0x0000000000400000-0x00000000004A2000-memory.dmpFilesize
648KB