Analysis
-
max time kernel
119s -
max time network
117s -
platform
windows7_x64 -
resource
win7v20201028 -
submitted
26-02-2021 17:50
Static task
static1
Behavioral task
behavioral1
Sample
nueva cotización.PDF.bat.exe
Resource
win7v20201028
windows7_x64
0 signatures
0 seconds
General
-
Target
nueva cotización.PDF.bat.exe
-
Size
754KB
-
MD5
facb14f65870c990c32679776b7d0ce2
-
SHA1
d711e17f5e66919ceec6ba5c77e45325c81b1f74
-
SHA256
dba85869242d60ad43228d1cbeef917f51096602f7db233e0972eb1091b4c355
-
SHA512
28e510a8f805874eda9d3abf1ce65f1663f96545f5c3588a6113802a69e51ae31c39eb65f7631ab4923d760c25adc2b7dcae84af764403f4bd3a2c918bf4a635
Malware Config
Extracted
Family
lokibot
C2
http://51.195.53.221/p.php/ZtkNeeK6C94X6
http://kbfvzoboss.bid/alien/fre.php
http://alphastand.trade/alien/fre.php
http://alphastand.win/alien/fre.php
http://alphastand.top/alien/fre.php
Signatures
-
Suspicious use of SetThreadContext 1 IoCs
Processes:
nueva cotización.PDF.bat.exedescription pid process target process PID 1020 set thread context of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe -
Suspicious behavior: EnumeratesProcesses 1 IoCs
Processes:
nueva cotización.PDF.bat.exepid process 1020 nueva cotización.PDF.bat.exe -
Suspicious behavior: RenamesItself 1 IoCs
Processes:
nueva cotización.PDF.bat.exepid process 1052 nueva cotización.PDF.bat.exe -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
nueva cotización.PDF.bat.exenueva cotización.PDF.bat.exedescription pid process Token: SeDebugPrivilege 1020 nueva cotización.PDF.bat.exe Token: SeDebugPrivilege 1052 nueva cotización.PDF.bat.exe -
Suspicious use of WriteProcessMemory 14 IoCs
Processes:
nueva cotización.PDF.bat.exedescription pid process target process PID 1020 wrote to memory of 556 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 556 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 556 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 556 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe PID 1020 wrote to memory of 1052 1020 nueva cotización.PDF.bat.exe nueva cotización.PDF.bat.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\nueva cotización.PDF.bat.exe"C:\Users\Admin\AppData\Local\Temp\nueva cotización.PDF.bat.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Temp\nueva cotización.PDF.bat.exe"C:\Users\Admin\AppData\Local\Temp\nueva cotización.PDF.bat.exe"2⤵
-
C:\Users\Admin\AppData\Local\Temp\nueva cotización.PDF.bat.exe"C:\Users\Admin\AppData\Local\Temp\nueva cotización.PDF.bat.exe"2⤵
- Suspicious behavior: RenamesItself
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/1016-11-0x000007FEF5BD0000-0x000007FEF5E4A000-memory.dmpFilesize
2.5MB
-
memory/1020-2-0x0000000073F40000-0x000000007462E000-memory.dmpFilesize
6.9MB
-
memory/1020-3-0x0000000000270000-0x0000000000271000-memory.dmpFilesize
4KB
-
memory/1020-5-0x00000000071B0000-0x00000000071B1000-memory.dmpFilesize
4KB
-
memory/1020-6-0x0000000000390000-0x0000000000393000-memory.dmpFilesize
12KB
-
memory/1020-7-0x00000000020D0000-0x0000000002111000-memory.dmpFilesize
260KB
-
memory/1052-8-0x0000000000400000-0x00000000004A2000-memory.dmpFilesize
648KB
-
memory/1052-9-0x00000000004139DE-mapping.dmp
-
memory/1052-10-0x00000000753E1000-0x00000000753E3000-memory.dmpFilesize
8KB
-
memory/1052-12-0x0000000000400000-0x00000000004A2000-memory.dmpFilesize
648KB