Analysis
-
max time kernel
137s -
max time network
140s -
platform
windows10_x64 -
resource
win10v20201028 -
submitted
28-01-2021 15:25
Static task
static1
Behavioral task
behavioral1
Sample
gvim.exe
Resource
win7v20201028
0 signatures
0 seconds
Behavioral task
behavioral2
Sample
gvim.exe
Resource
win10v20201028
0 signatures
0 seconds
General
-
Target
gvim.exe
-
Size
3.6MB
-
MD5
8e8f7ff797c292231959e4dd410a98da
-
SHA1
5fba19ae9f76b445d96dbca71f53113492b09d49
-
SHA256
ace9f321c9967b2ffe3bef9056c113b20040fe8831351082e186125aeea8ab0b
-
SHA512
c1e510a6d5f57eaad3b744e20145c07241b1e857e1a1832a0878cd6beedf115a40c8bfd655896d800579110687d208a59416044fdbd2811102aac334720a3c27
Score
10/10
Malware Config
Signatures
-
Executes dropped EXE 1 IoCs
pid Process 1020 GetX64BTIT.exe -
Drops startup file 2 IoCs
description ioc Process File opened for modification C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wsuj.exe DllHost.exe File created C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wsuj.exe DllHost.exe -
Looks up external IP address via web service 2 IoCs
Uses a legitimate IP lookup service to find the infected system's external IP.
flow ioc 14 api.ipify.org 15 api.ipify.org -
Uses Tor communications 1 TTPs
Malware can proxy its traffic through Tor for more anonymity.
-
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 1118 IoCs
pid Process 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 984 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe 3960 gvim.exe -
Suspicious use of AdjustPrivilegeToken 1 IoCs
description pid Process Token: SeSecurityPrivilege 984 gvim.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
pid Process 3960 gvim.exe -
Suspicious use of WriteProcessMemory 14 IoCs
description pid Process procid_target PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 984 wrote to memory of 3960 984 gvim.exe 76 PID 3960 wrote to memory of 1020 3960 gvim.exe 79 PID 3960 wrote to memory of 1020 3960 gvim.exe 79
Processes
-
C:\Users\Admin\AppData\Local\Temp\gvim.exe"C:\Users\Admin\AppData\Local\Temp\gvim.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:984 -
C:\Users\Admin\AppData\Local\Temp\gvim.exe"C:\Users\Admin\AppData\Local\Temp\gvim.exe"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:3960 -
C:\Users\Admin\AppData\Local\Temp\GetX64BTIT.exe"C:\Users\Admin\AppData\Local\Temp\GetX64BTIT.exe"3⤵
- Executes dropped EXE
PID:1020
-
-
-
C:\Windows\SysWOW64\DllHost.exeC:\Windows\SysWOW64\DllHost.exe /Processid:{3AD05575-8857-4850-9277-11B85BDB8E09}1⤵
- Drops startup file
PID:2348