Analysis
-
max time kernel
149s -
max time network
153s -
platform
windows10_x64 -
resource
win10v20201028 -
submitted
18-01-2021 16:26
Static task
static1
Behavioral task
behavioral1
Sample
Quiero hacer el pedido de su producto.exe
Resource
win7v20201028
General
-
Target
Quiero hacer el pedido de su producto.exe
-
Size
988KB
-
MD5
15b0f7e4d6d3085d5dc9db5527882358
-
SHA1
cf5cf6625e42d443c51c64df1232cea1408d4372
-
SHA256
62b2de7bb2bb84023725e04675fef0090998a2c96ec05fa40113c7f2c52e6562
-
SHA512
1fafd0420aea8ed9b03992171ec4aeaba6df116ba4761810ad6054fe1de3f475d642dfbf65179a7995464ece3ad4b6c8226df8f7a1fa37188181fb89ab98a84d
Malware Config
Extracted
remcos
mikegrace2021.ddns.net:1999
Signatures
-
Suspicious use of SetThreadContext 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exedescription pid process target process PID 4636 set thread context of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe -
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 5 IoCs
Processes:
Quiero hacer el pedido de su producto.exepid process 4636 Quiero hacer el pedido de su producto.exe 4636 Quiero hacer el pedido de su producto.exe 4636 Quiero hacer el pedido de su producto.exe 4636 Quiero hacer el pedido de su producto.exe 4636 Quiero hacer el pedido de su producto.exe -
Suspicious use of AdjustPrivilegeToken 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exedescription pid process Token: SeDebugPrivilege 4636 Quiero hacer el pedido de su producto.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
Processes:
Quiero hacer el pedido de su producto.exepid process 568 Quiero hacer el pedido de su producto.exe -
Suspicious use of WriteProcessMemory 19 IoCs
Processes:
Quiero hacer el pedido de su producto.exedescription pid process target process PID 4636 wrote to memory of 3140 4636 Quiero hacer el pedido de su producto.exe schtasks.exe PID 4636 wrote to memory of 3140 4636 Quiero hacer el pedido de su producto.exe schtasks.exe PID 4636 wrote to memory of 3140 4636 Quiero hacer el pedido de su producto.exe schtasks.exe PID 4636 wrote to memory of 528 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 528 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 528 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 572 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 572 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 572 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe PID 4636 wrote to memory of 568 4636 Quiero hacer el pedido de su producto.exe Quiero hacer el pedido de su producto.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\Apzsibf" /XML "C:\Users\Admin\AppData\Local\Temp\tmpF722.tmp"2⤵
- Creates scheduled task(s)
-
C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"2⤵
-
C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"2⤵
-
C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"C:\Users\Admin\AppData\Local\Temp\Quiero hacer el pedido de su producto.exe"2⤵
- Suspicious use of SetWindowsHookEx
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmpF722.tmpMD5
22b1c050c8a378238266b3ea04acc670
SHA11013f2d734be1af2966d668f767ddef0b5ac25a6
SHA2561ca1eb206a42789bdc56916479f3bfd17a845a2fe52d51432afbd834c0eed59a
SHA5127bccccf94d88b49289dffad03f13fba0d886847d48aca3a781466662b7dde90fe3784199ea3b970e1843b909a84521631234932181232a536d3e9fdd2c0de929
-
memory/568-17-0x0000000000400000-0x0000000000421000-memory.dmpFilesize
132KB
-
memory/568-16-0x0000000000413FA4-mapping.dmp
-
memory/568-15-0x0000000000400000-0x0000000000421000-memory.dmpFilesize
132KB
-
memory/3140-13-0x0000000000000000-mapping.dmp
-
memory/4636-9-0x00000000054B0000-0x00000000054B1000-memory.dmpFilesize
4KB
-
memory/4636-2-0x0000000073D60000-0x000000007444E000-memory.dmpFilesize
6.9MB
-
memory/4636-10-0x00000000054A0000-0x00000000054A1000-memory.dmpFilesize
4KB
-
memory/4636-11-0x0000000005280000-0x0000000005293000-memory.dmpFilesize
76KB
-
memory/4636-12-0x0000000000FB0000-0x000000000104A000-memory.dmpFilesize
616KB
-
memory/4636-8-0x0000000005240000-0x0000000005241000-memory.dmpFilesize
4KB
-
memory/4636-7-0x00000000052C0000-0x00000000052C1000-memory.dmpFilesize
4KB
-
memory/4636-6-0x0000000005720000-0x0000000005721000-memory.dmpFilesize
4KB
-
memory/4636-5-0x0000000005170000-0x0000000005171000-memory.dmpFilesize
4KB
-
memory/4636-3-0x0000000000890000-0x0000000000891000-memory.dmpFilesize
4KB