njrat | ae4fdb69e4ef555cb516a8052d715d741ae565c97cc595f3ea0dc3cd349c4b8d

General

Target

Adjunto a este documento un archivo en el cual se encuentra específicamente.exe
Size

816KB
MD5

aa652fc67ec4c4353b9a5562c9ec0d21
SHA1

1dea45515e03d1f561e5a31a1859aea7aa05bd62
SHA256

ae4fdb69e4ef555cb516a8052d715d741ae565c97cc595f3ea0dc3cd349c4b8d
SHA512

eddb0fa378f4d4f9aa1ab0eee44705024e89d6bd2c09a313f60b2203f7cf52c2e66909154c4a176bf865da1c211ddcbe1d9b12224125e44eb6ee70e0c61e4e09

Score

10^/10

njrat nyan cat evasion trojan

Malware Config

Extracted

Family

njrat

Version

0.7NC

Botnet

NYAN CAT

C2

gbarpresencewriterprint.duckdns.org:8651

Mutex

682708ec68e74

Attributes

reg_key
682708ec68e74
splitter
@!#&^%$

Signatures

njRAT/Bladabindi
Widely used RAT written in .NET.
trojan njrat
Looks for VirtualBox Guest Additions in registry 2 TTPs
evasion

Query Registry
T1012

Virtualization/Sandbox Evasion
T1497
Looks for VMWare Tools registry key 2 TTPs
evasion

Query Registry
T1012

Virtualization/Sandbox Evasion
T1497

Checks BIOS information in registry 2 TTPs 2 IoCs

BIOS information is often read in order to detect sandboxing environments.

Query Registry

T1012

System Information Discovery

T1082

Processes:

Adjunto a este documento un archivo en el cual se encuentra específicamente.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe

Maps connected drives based on registry 3 TTPs 2 IoCs

Disk information is often read in order to detect sandboxing environments.

Query Registry

T1012

Peripheral Device Discovery

T1120

System Information Discovery

T1082

Processes:

Adjunto a este documento un archivo en el cual se encuentra específicamente.exe

description	ioc	process
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe
Key value queried	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum\0	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe

Suspicious use of SetThreadContext 1 IoCs

Processes:

Adjunto a este documento un archivo en el cual se encuentra específicamente.exe

description	pid	process	target process
PID 656 set thread context of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

System Information Discovery
T1082
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
persistence

Scheduled Task
T1053

Processes:

schtasks.exe

pid process

748 schtasks.exe

pid	process
748	schtasks.exe

Suspicious behavior: EnumeratesProcesses 10 IoCs

Processes:

powershell.exepowershell.exeAdjunto a este documento un archivo en el cual se encuentra específicamente.exepowershell.exe

pid	process
2728	powershell.exe
3848	powershell.exe
656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe
500	powershell.exe
2728	powershell.exe
3848	powershell.exe
500	powershell.exe
3848	powershell.exe
2728	powershell.exe
500	powershell.exe

Suspicious use of AdjustPrivilegeToken 19 IoCs

Processes:

powershell.exepowershell.exeAdjunto a este documento un archivo en el cual se encuentra específicamente.exepowershell.exeRegSvcs.exe

description	pid	process
Token: SeDebugPrivilege	2728	powershell.exe
Token: SeDebugPrivilege	3848	powershell.exe
Token: SeDebugPrivilege	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe
Token: SeDebugPrivilege	500	powershell.exe
Token: SeDebugPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe
Token: 33	860	RegSvcs.exe
Token: SeIncBasePriorityPrivilege	860	RegSvcs.exe

Suspicious use of WriteProcessMemory 20 IoCs

Processes:

Adjunto a este documento un archivo en el cual se encuentra específicamente.exe

description	pid	process	target process
PID 656 wrote to memory of 2728	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 2728	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 2728	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 3848	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 3848	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 3848	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 748	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	schtasks.exe
PID 656 wrote to memory of 748	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	schtasks.exe
PID 656 wrote to memory of 748	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	schtasks.exe
PID 656 wrote to memory of 500	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 500	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 500	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	powershell.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe
PID 656 wrote to memory of 860	656	Adjunto a este documento un archivo en el cual se encuentra específicamente.exe	RegSvcs.exe

C:\Users\Admin\AppData\Local\Temp\Adjunto a este documento un archivo en el cual se encuentra específicamente.exe
"C:\Users\Admin\AppData\Local\Temp\Adjunto a este documento un archivo en el cual se encuentra específicamente.exe"
1⤵
- Checks BIOS information in registry
- Maps connected drives based on registry
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:656

C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "C:\Users\Admin\AppData\Local\Temp\Adjunto a este documento un archivo en el cual se encuentra específicamente.exe"
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:2728

C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "C:\Users\Admin\AppData\Roaming\BkueKqkOElUWV.exe"
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:3848

C:\Windows\SysWOW64\schtasks.exe
"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\BkueKqkOElUWV" /XML "C:\Users\Admin\AppData\Local\Temp\tmp96E2.tmp"
2⤵
- Creates scheduled task(s)
PID:748

C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "C:\Users\Admin\AppData\Roaming\BkueKqkOElUWV.exe"
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:500

C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe
"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe"
2⤵
- Suspicious use of AdjustPrivilegeToken
PID:860

Network

MITRE ATT&CK Matrix ATT&CK v6

Initial Access

Execution

Scheduled Task

1

T1053

Persistence

Scheduled Task

1

T1053

Privilege Escalation

Scheduled Task

1

T1053

Defense Evasion

Virtualization/Sandbox Evasion

2

T1497

Credential Access

Discovery

Query Registry

4

T1012

Virtualization/Sandbox Evasion

2

T1497

System Information Discovery

3

T1082

Peripheral Device Discovery

1

T1120

Lateral Movement

Collection

Exfiltration

Command and Control

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0_32\UsageLogs\powershell.exe.log
MD5
db01a2c1c7e70b2b038edf8ad5ad9826

SHA1
540217c647a73bad8d8a79e3a0f3998b5abd199b

SHA256
413da361d77055dae7007f82b58b366c8783aa72e0b8fbe41519b940c253b38d

SHA512
c76ff57fcee5cdf9fdf3116d4e1dc0cf106867bf19ab474b763e242acf5dca9a7509cb837c35e130c3e056636b4e8a4e135512a978bcd3dd641e20f5bf76c3d6

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\ModuleAnalysisCache
MD5
0b5d94d20be9eecbaed3dddd04143f07

SHA1
c677d0355f4cc7301075a554adc889bce502e15a

SHA256
3c6f74219d419accdd3de0d14fa46ff290fd430eddcc5352deddd7de59b4928c

SHA512
395e5d0f28819f773b8d53363b7df73cc976124d1accce104390fdb3f5ebf57d8bb357e616910c03e1a9d67985704592640e442bd637009e32086bb1b2088916

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\ModuleAnalysisCache
MD5
0b5d94d20be9eecbaed3dddd04143f07

SHA1
c677d0355f4cc7301075a554adc889bce502e15a

SHA256
3c6f74219d419accdd3de0d14fa46ff290fd430eddcc5352deddd7de59b4928c

SHA512
395e5d0f28819f773b8d53363b7df73cc976124d1accce104390fdb3f5ebf57d8bb357e616910c03e1a9d67985704592640e442bd637009e32086bb1b2088916

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
MD5
0f3d9f8287b0dab909e9f18fcd9cfefb

SHA1
998c9c13ec9080a5b90d9341878ef288e5da9e60

SHA256
c48a95a34f7fc7af7de8d9e452e7a1c92130d4b8088f4f789910e0b2628e9ce7

SHA512
097bc614fd9e12d8829db620bb8c58a300872c2bbaaa5357b741c7360dd9d5072b86a070e4e9111545a3841048156c64b604fc39fd3055c1bab2da3362c0ae13

Download Submit
C:\Users\Admin\AppData\Local\Temp\tmp96E2.tmp
MD5
fc4573ce606b063da594053f959323c9

SHA1
ef223ce0ab757e70d820292dfa8a1a68d560a629

SHA256
5c09e5b7dfe5f529dbcd41783166eee85c1641e79231bbf819d553e876f621d4

SHA512
fc1ed013b391558dea773f59cc5b945e9f031a2bf80e5012e0fd382fcf79b56e8e7fe48f8203d4398115aa21f31a4754575bd6873fc00be84054197e6c97d17d

Download Submit
memory/500-207-0x000000007E680000-0x000000007E681000-memory.dmp

Filesize
4KB

Download
memory/500-242-0x0000000004D13000-0x0000000004D14000-memory.dmp

Filesize
4KB

Download
memory/500-171-0x0000000004D12000-0x0000000004D13000-memory.dmp

Filesize
4KB

Download
memory/500-170-0x0000000004D10000-0x0000000004D11000-memory.dmp

Filesize
4KB

Download
memory/500-148-0x0000000000000000-mapping.dmp

Download
memory/656-120-0x00000000051B0000-0x00000000051B1000-memory.dmp

Filesize
4KB

Download
memory/656-119-0x0000000005140000-0x00000000051DC000-memory.dmp

Filesize
624KB

Download
memory/656-118-0x00000000052E0000-0x00000000052E1000-memory.dmp

Filesize
4KB

Download
memory/656-117-0x0000000005240000-0x0000000005241000-memory.dmp

Filesize
4KB

Download
memory/656-121-0x00000000053E0000-0x00000000053F1000-memory.dmp

Filesize
68KB

Download
memory/656-125-0x0000000001110000-0x0000000001111000-memory.dmp

Filesize
4KB

Download
memory/656-116-0x0000000005740000-0x0000000005741000-memory.dmp

Filesize
4KB

Download
memory/656-114-0x00000000008C0000-0x00000000008C1000-memory.dmp

Filesize
4KB

Download
memory/656-123-0x0000000006FC0000-0x0000000006FC9000-memory.dmp

Filesize
36KB

Download
memory/656-122-0x0000000007720000-0x0000000007798000-memory.dmp

Filesize
480KB

Download
memory/748-131-0x0000000000000000-mapping.dmp

Download
memory/860-150-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/860-239-0x0000000005640000-0x0000000005B3E000-memory.dmp

Filesize
5.0MB

Download
memory/860-151-0x00000000004067AE-mapping.dmp

Download
memory/2728-145-0x0000000007D60000-0x0000000007D61000-memory.dmp

Filesize
4KB

Download
memory/2728-241-0x0000000004973000-0x0000000004974000-memory.dmp

Filesize
4KB

Download
memory/2728-164-0x0000000007B40000-0x0000000007B41000-memory.dmp

Filesize
4KB

Download
memory/2728-167-0x0000000008490000-0x0000000008491000-memory.dmp

Filesize
4KB

Download
memory/2728-144-0x0000000004972000-0x0000000004973000-memory.dmp

Filesize
4KB

Download
memory/2728-124-0x0000000000000000-mapping.dmp

Download
memory/2728-172-0x0000000008540000-0x0000000008541000-memory.dmp

Filesize
4KB

Download
memory/2728-128-0x0000000004980000-0x0000000004981000-memory.dmp

Filesize
4KB

Download
memory/2728-129-0x00000000073B0000-0x00000000073B1000-memory.dmp

Filesize
4KB

Download
memory/2728-143-0x0000000004970000-0x0000000004971000-memory.dmp

Filesize
4KB

Download
memory/2728-210-0x000000007F070000-0x000000007F071000-memory.dmp

Filesize
4KB

Download
memory/2728-136-0x0000000007380000-0x0000000007381000-memory.dmp

Filesize
4KB

Download
memory/3848-240-0x0000000007213000-0x0000000007214000-memory.dmp

Filesize
4KB

Download
memory/3848-149-0x0000000007212000-0x0000000007213000-memory.dmp

Filesize
4KB

Download
memory/3848-139-0x0000000007770000-0x0000000007771000-memory.dmp

Filesize
4KB

Download
memory/3848-130-0x0000000000000000-mapping.dmp

Download
memory/3848-204-0x000000007E470000-0x000000007E471000-memory.dmp

Filesize
4KB

Download
memory/3848-197-0x0000000009860000-0x0000000009893000-memory.dmp

Filesize
204KB

Download
memory/3848-147-0x0000000007210000-0x0000000007211000-memory.dmp

Filesize
4KB

Download

Analysis

Sharing

General

Malware Config

Extracted

Signatures

Processes

Network

MITRE ATT&CK Matrix ATT&CK v6

Replay Monitor

Loading Replay Monitor...

Downloads