Analysis
-
max time kernel
151s -
max time network
152s -
platform
windows7_x64 -
resource
win7v20201028 -
submitted
18-01-2021 16:26
Static task
static1
Behavioral task
behavioral1
Sample
Quiero hacer el pedido de su producto.exe
Resource
win7v20201028
General
-
Target
Quiero hacer el pedido de su producto.exe
-
Size
988KB
-
MD5
15b0f7e4d6d3085d5dc9db5527882358
-
SHA1
cf5cf6625e42d443c51c64df1232cea1408d4372
-
SHA256
62b2de7bb2bb84023725e04675fef0090998a2c96ec05fa40113c7f2c52e6562
-
SHA512
1fafd0420aea8ed9b03992171ec4aeaba6df116ba4761810ad6054fe1de3f475d642dfbf65179a7995464ece3ad4b6c8226df8f7a1fa37188181fb89ab98a84d
Malware Config
Extracted
remcos
mikegrace2021.ddns.net:1999
Signatures
-
Suspicious use of SetThreadContext 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exedescription pid process target process PID 548 set thread context of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe -
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exepid process 548 Quiero hacer el pedido de su producto.exe -
Suspicious use of AdjustPrivilegeToken 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exedescription pid process Token: SeDebugPrivilege 548 Quiero hacer el pedido de su producto.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exepid process 1112 Quiero hacer el pedido de su producto.exe -
Suspicious use of WriteProcessMemory 15 IoCs
Processes:
Quiero hacer el pedido de su producto.exedescription pid process target process PID 548 wrote to memory of 1408 548 Quiero hacer el pedido de su producto.exe schtasks.exe PID 548 wrote to memory of 1408 548 Quiero hacer el pedido de su producto.exe schtasks.exe PID 548 wrote to memory of 1408 548 Quiero hacer el pedido de su producto.exe schtasks.exe PID 548 wrote to memory of 1408 548 Quiero hacer el pedido de su producto.exe schtasks.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 548 wrote to memory of 1112 548 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\Apzsibf" /XML "C:\Users\Admin\AppData\Local\Temp\tmp64FA.tmp"2⤵
- Creates scheduled task(s)
-
C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"2⤵
- Suspicious use of SetWindowsHookEx
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmp64FA.tmpMD5
e9aab9d70079c8a4011623cdfe3ef7b7
SHA1ac5831e367730b9cf5bac8ba952295c1eed95cb8
SHA256c6eb98b766376345f287f0ed5218a3928eb360c59f4672829c70f02b41efbaeb
SHA51252b144d10080225b6e0919c0a7de550ef5646b3caa19baf473ad96c72d305483d88a8f7e6494b16e67bde2ca36f5a584cc4337f58aaf05283239abf810815b46
-
memory/548-2-0x0000000074B50000-0x000000007523E000-memory.dmpFilesize
6.9MB
-
memory/548-3-0x0000000000E30000-0x0000000000E31000-memory.dmpFilesize
4KB
-
memory/548-5-0x0000000004820000-0x0000000004821000-memory.dmpFilesize
4KB
-
memory/548-6-0x00000000002B0000-0x00000000002C3000-memory.dmpFilesize
76KB
-
memory/548-7-0x0000000004A20000-0x0000000004ABA000-memory.dmpFilesize
616KB
-
memory/1112-10-0x0000000000400000-0x0000000000421000-memory.dmpFilesize
132KB
-
memory/1112-11-0x0000000000413FA4-mapping.dmp
-
memory/1112-12-0x0000000076451000-0x0000000076453000-memory.dmpFilesize
8KB
-
memory/1112-13-0x0000000000400000-0x0000000000421000-memory.dmpFilesize
132KB
-
memory/1408-8-0x0000000000000000-mapping.dmp