Analysis
-
max time kernel
147s -
max time network
149s -
platform
windows7_x64 -
resource
win7v20210408 -
submitted
16-04-2021 17:17
Static task
static1
Behavioral task
behavioral1
Sample
Nuevo documento de confirmación de solicitud..exe
Resource
win7v20210408
windows7_x64
0 signatures
0 seconds
Behavioral task
behavioral2
Sample
Nuevo documento de confirmación de solicitud..exe
Resource
win10v20210410
windows10_x64
0 signatures
0 seconds
General
-
Target
Nuevo documento de confirmación de solicitud..exe
-
Size
812KB
-
MD5
ca9350da27b53b25146a0d8b6913b06c
-
SHA1
f54b3cb317ac7410ea510839718484595534f533
-
SHA256
d509a1aac6989c651953416b29ee6c949eba0be53df193b29e2e95e5b9e4635e
-
SHA512
9e5724f58bc1da17358903d4a3d7436881dba63f430ce2b4b7e015709473e48552fde778efe2b0e1ee9877d0e1d2f311855961bd6c100ed1f2683240f87b94f7
Score
8/10
Malware Config
Signatures
-
Processes:
resource yara_rule behavioral1/memory/1004-74-0x0000000010410000-0x00000000107F4000-memory.dmp upx -
Adds Run key to start application 2 TTPs 1 IoCs
Processes:
Nuevo documento de confirmación de solicitud..exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-2455352368-1077083310-2879168483-1000\Software\Microsoft\Windows\CurrentVersion\Run\Dvnvxx = "C:\\Users\\Public\\Libraries\\xxvnvD.url" Nuevo documento de confirmación de solicitud..exe -
Suspicious use of NtSetInformationThreadHideFromDebugger 5 IoCs
Processes:
dialer.exepid process 1004 dialer.exe 1004 dialer.exe 1004 dialer.exe 1004 dialer.exe 1004 dialer.exe -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
dialer.exedescription pid process Token: SeDebugPrivilege 1004 dialer.exe Token: SeShutdownPrivilege 1004 dialer.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
Processes:
dialer.exepid process 1004 dialer.exe 1004 dialer.exe -
Suspicious use of WriteProcessMemory 24 IoCs
Processes:
Nuevo documento de confirmación de solicitud..exedescription pid process target process PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe PID 1096 wrote to memory of 1004 1096 Nuevo documento de confirmación de solicitud..exe dialer.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Nuevo documento de confirmación de solicitud..exe"C:\Users\Admin\AppData\Local\Temp\Nuevo documento de confirmación de solicitud..exe"1⤵
- Adds Run key to start application
- Suspicious use of WriteProcessMemory
PID:1096 -
C:\Windows\SysWOW64\dialer.exeC:\Windows\System32\dialer.exe2⤵
- Suspicious use of NtSetInformationThreadHideFromDebugger
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
PID:1004