lokibot | a978c99ada8c0272b0670865cdecc324d883304d54f2e90ea829891183b3aaa9

General

Target

Cotización.pdf.exe
Size

1.1MB
MD5

c3412fee75b0f8758ea9905930ec2f34
SHA1

e9245aba2ee62a7baffbccb725bca4bc0fd0302e
SHA256

a978c99ada8c0272b0670865cdecc324d883304d54f2e90ea829891183b3aaa9
SHA512

65cbf40e4d180dcd0595ab33521bc32fae6587ba60edc0114d2d0afc5bb4773a9153895e36d7675d7d187feba6ef76b2992d97b6bfc4838202fc395cd46b8a5e

Score

10^/10

Family

lokibot

C2

https://zamloki.xyz/des/co/tox.php

http://kbfvzoboss.bid/alien/fre.php

http://alphastand.trade/alien/fre.php

http://alphastand.win/alien/fre.php

http://alphastand.top/alien/fre.php

Lokibot
Lokibot is a Password and CryptoCoin Wallet Stealer.
trojan spyware stealer lokibot
Suspicious use of SetThreadContext 1 IoCs

Processes:

Cotización.pdf.exe

description pid process target process

PID 776 set thread context of 2100 776 Cotización.pdf.exe Cotización.pdf.exe
Suspicious behavior: EnumeratesProcesses 4 IoCs

Processes:

Cotización.pdf.exe

pid process

776 Cotización.pdf.exe
776 Cotización.pdf.exe
776 Cotización.pdf.exe
776 Cotización.pdf.exe
Suspicious behavior: RenamesItself 1 IoCs

Processes:

Cotización.pdf.exe

pid process

2100 Cotización.pdf.exe
Suspicious use of AdjustPrivilegeToken 2 IoCs

Processes:

Cotización.pdf.exeCotización.pdf.exe

description pid process

Token: SeDebugPrivilege 776 Cotización.pdf.exe
Token: SeDebugPrivilege 2100 Cotización.pdf.exe

description	pid	process	target process
PID 776 set thread context of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe

pid	process
2100	Cotización.pdf.exe

description	pid	process
Token: SeDebugPrivilege	776	Cotización.pdf.exe
Token: SeDebugPrivilege	2100	Cotización.pdf.exe

Suspicious use of WriteProcessMemory 15 IoCs

Processes:

Cotización.pdf.exe

description	pid	process	target process
PID 776 wrote to memory of 1528	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 1528	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 1528	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 3576	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 3576	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 3576	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe
PID 776 wrote to memory of 2100	776	Cotización.pdf.exe	Cotización.pdf.exe

C:\Users\Admin\AppData\Local\Temp\Cotización.pdf.exe
"C:\Users\Admin\AppData\Local\Temp\Cotización.pdf.exe"
1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:776
- C:\Users\Admin\AppData\Local\Temp\Cotización.pdf.exe
  "{path}"
  2⤵
  PID:1528
- C:\Users\Admin\AppData\Local\Temp\Cotización.pdf.exe
  "{path}"
  2⤵
  PID:3576
- C:\Users\Admin\AppData\Local\Temp\Cotización.pdf.exe
  "{path}"
  2⤵
  - Suspicious behavior: RenamesItself
  - Suspicious use of AdjustPrivilegeToken
  PID:2100

memory/776-114-0x00000000007B0000-0x00000000007B1000-memory.dmp

Filesize
4KB

Download
memory/776-116-0x0000000005590000-0x0000000005591000-memory.dmp

Filesize
4KB

Download
memory/776-117-0x0000000005130000-0x0000000005131000-memory.dmp

Filesize
4KB

Download
memory/776-118-0x0000000005110000-0x0000000005111000-memory.dmp

Filesize
4KB

Download
memory/776-119-0x0000000005090000-0x000000000558E000-memory.dmp

Filesize
5.0MB

Download
memory/776-120-0x0000000008670000-0x0000000008672000-memory.dmp

Filesize
8KB

Download
memory/776-121-0x0000000008720000-0x0000000008721000-memory.dmp

Filesize
4KB

Download
memory/776-122-0x0000000008B00000-0x0000000008BA7000-memory.dmp

Filesize
668KB

Download
memory/776-123-0x000000000B1D0000-0x000000000B22C000-memory.dmp

Filesize
368KB

Download
memory/2100-124-0x0000000000400000-0x00000000004A2000-memory.dmp

Filesize
648KB

Download
memory/2100-125-0x00000000004139DE-mapping.dmp

Download
memory/2100-126-0x0000000000400000-0x00000000004A2000-memory.dmp

Filesize
648KB

Download