Analysis
- max time kernel
150s - max time network
149s - platform
windows10_x64 - resource
win10v20201028 - submitted
01/04/2021, 03:48
Static task
static1
Behavioral task
behavioral1
Sample
92C946D517F15D046A3925EA0444EDD1.exe
Resource
win7v20201028
windows7_x64
0 signatures
0 seconds
Behavioral task
behavioral2
Sample
92C946D517F15D046A3925EA0444EDD1.exe
Resource
win10v20201028
windows10_x64
0 signatures
0 seconds
General
- Target 92C946D517F15D046A3925EA0444EDD1.exe
- Size 37KB
- Sample210401-tdr726bgbe
- SHA256 c7b54cc4aa3d4b08652359ddb2e8b0d91ccd6d0a01c7a34eb527fde4f0f44957
- MD5 92c946d517f15d046a3925ea0444edd1
- SHA1 51dc538c39aa0e7f9ae0c0ed1f5f352dab3e02b2
- SHA512 e75d8c88b1b66ed195d369119da3319fc60e4b526cefee2b4790af725a6a7c92f068f820609e9f00be926d8f6c3ccc49bb4753af8d5814d80b8eda64ed220a6a
- MD5 SHA1 SHA512
Score
8/10
Malware Config
Signatures
- Modifies Windows Firewall 1 TTPs
- Drops startup file 2 IoCs
description ioc Process File created C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\b8699fc5ea1a10f5f987e811a0754ff3.exe 92C946D517F15D046A3925EA0444EDD1.exe File opened for modification C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\b8699fc5ea1a10f5f987e811a0754ff3.exe 92C946D517F15D046A3925EA0444EDD1.exe - Adds Run key to start application 2 TTPs 2 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-3341490333-719741536-2920803124-1000\Software\Microsoft\Windows\CurrentVersion\Run\b8699fc5ea1a10f5f987e811a0754ff3 = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\92C946D517F15D046A3925EA0444EDD1.exe\" .." 92C946D517F15D046A3925EA0444EDD1.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\b8699fc5ea1a10f5f987e811a0754ff3 = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\92C946D517F15D046A3925EA0444EDD1.exe\" .." 92C946D517F15D046A3925EA0444EDD1.exe - Drops autorun.inf file 1 TTPs
Malware can abuse Windows Autorun to spread further via attached volumes.
- Kills process with taskkill 1 IoCs
pid Process 1136 taskkill.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe 3564 92C946D517F15D046A3925EA0444EDD1.exe - Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 3564 92C946D517F15D046A3925EA0444EDD1.exe - Suspicious use of AdjustPrivilegeToken 36 IoCs
description pid Process Token: SeDebugPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeDebugPrivilege 1136 taskkill.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: 33 3564 92C946D517F15D046A3925EA0444EDD1.exe Token: SeIncBasePriorityPrivilege 3564 92C946D517F15D046A3925EA0444EDD1.exe - Suspicious use of WriteProcessMemory 6 IoCs
description pid Process procid_target PID 3564 wrote to memory of 3260 3564 92C946D517F15D046A3925EA0444EDD1.exe 78 PID 3564 wrote to memory of 3260 3564 92C946D517F15D046A3925EA0444EDD1.exe 78 PID 3564 wrote to memory of 3260 3564 92C946D517F15D046A3925EA0444EDD1.exe 78 PID 3564 wrote to memory of 1136 3564 92C946D517F15D046A3925EA0444EDD1.exe 80 PID 3564 wrote to memory of 1136 3564 92C946D517F15D046A3925EA0444EDD1.exe 80 PID 3564 wrote to memory of 1136 3564 92C946D517F15D046A3925EA0444EDD1.exe 80
Processes
-
C:\Users\Admin\AppData\Local\Temp\92C946D517F15D046A3925EA0444EDD1.exe"C:\Users\Admin\AppData\Local\Temp\92C946D517F15D046A3925EA0444EDD1.exe"1⤵
- Drops startup file
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:3564 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\92C946D517F15D046A3925EA0444EDD1.exe" "92C946D517F15D046A3925EA0444EDD1.exe" ENABLE2⤵PID:3260
-
-
C:\Windows\SysWOW64\taskkill.exetaskkill /F /IM Exsample.exe2⤵
- Kills process with taskkill
- Suspicious use of AdjustPrivilegeToken
PID:1136
-