General

  • Target

    3443a0e087a535d5df169dd94b0c0f084d8ae97cff6c79becda3c6659837df9a.bin.sample

  • Size

    186KB

  • Sample

    210928-jwh9rabah6

  • MD5

    9deb222bace3387108c25a82d2bea2ea

  • SHA1

    541bd9855a01b2b785534bcac62e331036eaf0db

  • SHA256

    3443a0e087a535d5df169dd94b0c0f084d8ae97cff6c79becda3c6659837df9a

  • SHA512

    74b5e55b80add95ee6390622fcdb7b85f42f74b7dba1596c5c76e35e30c703765a7765b11ce4c8e84ba2383aa304b2ef95bcad70208f44ac88440d05a579a0bb

Malware Config

Extracted

Path

C:\Program Files\Java\jdk1.7.0_80\THIRDPARTYLICENSEREADME-JAVAFX.txt

Family

ryuk

Ransom Note
)��r:}�� � �����Ʉ6������4��^ p�X:�0��/"�����՟��r%��3PA�6>�����J箦����o���7ce�"% "���-,\?�*��ë����e���#S3�ܮ���چ�g�\&Ӻz=�^�.�ȥ6���}�>Mğ���� հ��/���Kדڍc��4ǯ��3W�Zq���q�a7�µ���� j%Mc��*I�N 9����EZc�e���b�<Q2��^2�5ˌ2�/�������7�;�;�e˭�N�)�-ː�۳���������ـ��3���3���e�2�(^6����-�v���j��7a�DL�˷��g���Pƕ��F8�w��e�!u>���Y|=�Y�=�}p�B��`7��C�>������U����77���H�x̝���<<.>�V�N�m 騺K�^���5���u���+'g��_��m��?���->�-aK)����{:%������N�z�0�����K����,Aw������������$�������Na��q͏ �M�� �i ���o.��dR��F�oH��i�Y��?Ra������,��OoL1 ������s�u-jBN!L7Z�I�3���*~8< )f�t�V��/cΨbza�`r���G�m�rԦ����-@�Pr� cu㉒� �*-ɿ�����ۥ��+f!.��#������KT�> ��[�o���� MO�jn �맢E&�� �D�gD�5�1Pf������9 i�P̔�(%k~=���؊���GRI7� �g�>����KN����[ ���/�@D�؍"1�r�,��l8�\eU��#sk �-�����l���4�c >�T�K�ʄ[N���;�:��&��&�]�Te7�w�n��bi�Fz���g�G�����.�j���j��mq����p��xE�����\��W1蕎����USLF#�(:�(zg����3F5�[�1�&\��D;��֋�$���B���T��Z��������X-�CF�+z]W��l���_ښ*yr�ɞ/���`]n�����Jw�m�q�z(��?� �G�Da�&Q��������N�$c B�S��4��g����{�2������ħmeOD�MP��났Z��8�a8�]��G=9��2���/�d��F��'!<�/D�g��2�D��@�s�ܰD�)k�*|9!��}����=�"��"�̲+1�m�G���<z��w>+���?��ޥ.��2�_g�� e<N&�c�g=]�p���>΅hɎ���&��~��OeG�Д�弎���n�i�7�Me������x1���&���e�(�K��s+8 MM�gA[�Ji��92�[,��8%���"��<F�c1QN�cj �� �~�Z� V�B&��(�˔:����ʶ�C��}��2�\�a�2#� ���ϵZ��Fw��ӂ��>�ăA3�"� ���%��m�mȔ/ ��%���-QG���!ȋS��n���� �_"f�����#r��\�(YE��OL����Q�!z�Q�]���N_q�����y9�B�!qy���P�ʥ���f#�%�b<?}u�k �nL� �B�G'����]xD�-0(Xs�������U�4�כ��Y���� T�@B��D�C�Jν�c��Ji�4�c�����#�`�Y �l��R����i �S�Js�t�P`�#Pߥ�7[��qE���ܺ�,��+KHa]䳓��B���VO� �?Q�K�} Rt�2e���[�����Xw1��� �p��X���-�����r����z)�n,I��zB(]kD�H��6��Ɛ�GU���������[��䃒��isMjC�急�_h�,F@W�/�V��-]l�v"�>���;k~ܼ�>�;��v󚑣�1&���Eߎ���q���J� O�Ź���1�� ��vC�Ѧ���z7���%~��˜b����ڜ��֋�h�OɠH����>f�d��_8h5Eq��2��4�v��SO'Dj�Ƚ.2�h�N�Ԓ���!}a˴�o#Ҩ֏�V@g��2En�(��{8������<�u�� �����q��6D�(�f��`Hʫ\)%^���1�/Y����,i��fiq��;/ϕΫD�� ��V�o�"ANν��ث ۆ� ��PQe!Z����IGXw�5���"C\kC�fjQP��U��m�V[$>\V�g��mKCg���ua��t*�o������ H��2ԸIp�iTF���e ����� ��y�1 \Z��ތ&b<W�[h�6����������M6j�7����A�<���V�v�6��cGȉ�'�����%hY�Ӱ���H3;�$[ׇ�}�q聝�;6W F�A���Յ�[BM������#�ϧ���@E̙���8Uc���6�zo��=E�h�.�?ޟ� 1��#׃����>O����&˛,��g+�E��i� ��5�|������ x��ϭ��'�w�6�tw����#��~������ Г���j������w<T� 9�4:����0���Ø���V��;3IUh�<�� 2G��,���=P�n��pGdjh£���3/]�W`�P۶.3y����z�:��������$���j��o`�*Y��4j(NFsh��y^ʤ��,!˪ -����q ���w��~e��e�2�l��;��S��olܝt4›)�j�/g�j�߯��MC���i��(q� [c)3�9�\�U����z���\%Q����G��|iDՈ�y�<���$�Ğ�X����HD���H' B.����7KG�/��d��֦�`&wd�汛3m���ꇩHd(� % ����4����d�Y�Z�"a5P��v�������Gܩ��B�����g��A�� �q j���WQ���+!��A�wZK�F5Բ‘� ;����y��)��\GWn1$Ά��{J3>��Q��n[#sMi���E����v�[�����n��m1��[k�36$�9�"/C='�:����8�E9�7<(��uM��ϋ��Y�� �k�d��wAi\l��o�������c�l���崨B���h�J�/������G�h���"�K��!EbX .��k����0�st��(��:r|)�{�_�{K����,(uHE�|�?��q�/��[QA���l>��Q����Ŕ�tj&n�@� B���IP��Ƣ|���7�zca4=m�Ac1���/�$�� ��avU��.�}_�7���~8 T�ލ�3_�F=�f�c��?olD�T�^-�}��r6?�(5��C��QE�޼�:�䴀{�_�������Ca{�\�Q��jU���|���+nj|�j ���X�5ݭ����)�g��ۦ_xEtm&��oi�\&^{�eHN��*��9Z��ٸ=��E�� ��R�qrP� ��T�ze��6�Ky=��S� �[ /�m���ҺwL@!6}��G�o.���KJZ{�Vf� ���6�B�jo'�cA�������(S �� yp�r�a�X:�����n�Bx\#� �����H�: �����uىm����;�d�o�tQ&�iYY}�^`a���K>`j�RE���b�?�U�r&0!�#RP��P��\?�:�>���W�kX��bdz���)s�!ɕ)!&��A�0l�4j��p���U�'��d] `f��ϗ# vը��W�6X��������\J�V (�J����V ��e9o#Hق|PQ6K��4�jä]��g"���� ���R嚊iMz4���ncB!�!!��4�4-���Ӆؗf�z���O���J��L��h#閮�B������������U��-�+�ۻU���J���[�N�;����q��ؕޭʪ�� ��7�6�2%��\�WIc���j��BF6ʩ:CFᒌv��m,�;���o_�)ߡ�kx�?��y8퀗D��{��&�AR��7�^J*%,�/3�E�XX PNh�E��=1]Lg�7���H��K{ ������]Ӌ���rv����xF� 4�҂o�µ�T�a�����J��T�<?ȵ"[t��nʇm�M_��!%�"%�cF�ɸ录�gx²�;�Pbo3UK�n�pq�;���!�S�>��m�Ys�z��z{�y|�f)����A�5��?��GC�r���r�i�1L���~�01����z�p8C0�8�ä��B��O|Ł��-��-`#BI/�Q���TѓMZm|�/=��|���~n ��H� )O�7dD�`&^#�3��:Ϯ��R���aP5(��j�qrkS�}IR{�}��4���w�A�z^J�����^�b����b�%2����H�^B�Dޜ�ij�mDyt����t �]�r���UU�m_�@�����ϛv2��|��d�yl|���0�0�� 5�Kz�{@2U�L?@GM��� IȲ���N�C3�Ը �h>���o����~ �Ҟ �U�cL��8���j�+��0� �4R ��F"N���Mo:���c:s{MjY�`�b�W-Θ�ЊR�[P|���W�lSv'究Ar~  G���7���{��7�ӡ�N�i�y��m=�$�މ���ԩ�1��j� �U���XK��/�.���ci���.�'�*yr���n�K%x��\Xڼ��H�4B�6`�����0#o�/����9pW�������$�g�}7�i��+����*ڇ��~(S�ཥ�A��S�D%���w�p>V}� ��h���4C�2"��w�EՂ�׶�Q�bAg���u�������z�J��Z�d� F���߳�a�w��n�m3���J1"�ٗ�Yێ7���$4D�uBrR�>J[���s��$�|� ����8{ �K2�&D Ǻ&|�ȁH��P�%��g�@���T0�t'����7�4:\f����ll��rIپ-�#�jN�F�� CBP������˟�?B"(���8o����auq�9G3������z�#�J���5UFAu{�S����-חZ��<H[� _x\�m:6��aL���C/�>��,��E��4���&�)���g�^'��9���+���3� �~M��p �jr�� ���'??��P Sƴ���)-@� .�� r�'7��tҚ��"��g�p�i`?�/�������ד��һA���%lVY^��{�B��飀�`߆x�~�=:݀��+� � NX�sK� JU���l}?�%@5��_�H�V�� ���~�uG��.�N�.���[1�M�o�!����f��KP�v�{Q�5Nj�J������D?m/���ϩ���\Q� !u�mH�I��cHđш�u5�q ]����~�xG)����W�i�V al����*<��������`��:�+_�K��8?���>�ń ��Q蘁 k�ʢ%�sp��yI���Z���q?�������%�y3 $� 5�[:���c��%�,n��R{���F$��}\9Ҡ�d�[��<���n�g(��he {xO�69� ��[0�lZ蛔jqD�C�����K:*�.ŀ��ɁF9���|�AJє2M)L�~�-��� rA@h��j��Ug�o�D�z*�m���Q? ��M��>�蜸�H��XÑ�ݤ���.��~m���Y8�GlG��|���ի�"��f!XC����oxh��5�ҕ���&�V�'���0v��l��M�5��{��u�ؗ��Kwb�H�e�E%n��X�?���2I�a%x�2��)�Y����\���"�7�K �������h��}$��vae�P5��L5-���^�K׏�TOBS�&�����‡b�,(R�qA�j�e�<���~���L����<�I����#�؆9�\���20�v/��(�ͺDR˒:���l��mC}�_������PA� v-+���' p��� eI�f�8���7����P���]{�W��d m8n��\Y񪬫k)�H�������L��0���� '�^�g�c�£&��4���01������<ٸZ�� z7����MaG�q�)ҷf��E/}��ƫ��5L z��k�68�c�Kl�Ee=t���-���\���!�G|��.�͠o��1���rD����7�oAERU�;�f�&=�H�o�� �CDK����kE�Nw�y{SXAq0� �ڱ�r~�v�����!�扚0����j�=�u��y�{`���}�|1 t��i��D5ҫ��f�b4Bg�X��:nAIQq�^��i>��2���Q��_�HG�&�A�)�j?�)oiԕ�k�?`HO��J���W��P]?�1P�+d��� ^��Tb����Z?�ۇ���m2yB�3Xi'�����3Az�P8��JKa��Y0Y���<��gi7'�&u_~c�ÅGmSк��@��8Ɔ�;���[��\LvcZ�R��%�����黟�Zd��C���u��gPˢ<l�u$��GJq-z���Ғ~�*�.* T�� k�Ryukw��U�����A_�j�&�Ă���X������./\6zg ��w-o����'WGz�c����+�R'g$���HF/݃}K�/���8Y꧜-��y�l�m��$uA�:��KH���J���I)�L�c�lf�d't##K��m9��e�w��U��EҦ 3�!�a��j7�@)��KK�ڻπ����F<΄W��t�I�0K�wf��[_�w�]5'��N���0���O���6� Ņ,ϢlG���a6����]}?��򢽾�i��w�c�D� �ؐ��r�Sg�\��F*��W�E`4<��� ����>4���Px���Y̝�l����Zp�% G(�"��hx0X�9m J��`��%�u'qH����D3���b�_;VVSs���p3�78%��ς%e9Er���s���C�-�./yW��-r�r�4:k2���P�]~6'q: �{��.�j$�]__@k4`S�r������Фz�������ds8)�G������ Tv�u:'d9�9��0{�y8��>@�.��|K(��V�3�����킹�/�=K��$�� ����������UO� /yV�F��^���)��f.��ʔ �-?����H�cx�v�O�OJ�0��+�%� 9j.�YK �cL��W� ��PyfMQiL�1��g�I͠�ՊY�bDgC'�{���}���3*����L�'!���Z+�P��s��Ӏ��E�7��t�yCV����I�Lj:eR=0��f4���@�tHVYLsҭ��7��E��� /E��.���K�0u֫=(>�*���զo�� ����V5��jr�s_�sa��Ѹ��$�?�8y�ȦOX\��>/B���o?�S���M��@������O�w� ��e"M�9r+�� ���-&���k<�Kk@���hj�`H��7D�#H����{+���/�|��\*��[�8���(ɻT_̕�g1�GV.P���L�~���=�(O < #�'�V�p� ,���4���םu�B�� �F)U��_�YC����s���%�I�� ����bpPb(�� ��Q����c����<�J+�u�.��pE-������]K7���4���>��@#�ݲD�ߖ2 ƙ�B�S� �*���a73��� �� ~�z �3K��I)��~�00w�.�=Uy��UV��i�X�ߵ�X���{�������_�BV ��,���D����l�w (�…#�fPD�/��tyʷ�$���k?pR>�h�g�BӑgD�k�����N��+�)������q��I���6�q�slN/Eq�:q��</~!�$e"lƦ��Q�L��ۭ��DLq1��@D��2�D��pV3^��y܀J���! ��#��9y<w$?x$Z���&�8�Vж��|��H����4�7*x �u�>p�=�O�� R��G��,�� �K��w�# ��|s��\�L�A�.�0�B�.��7:`ꘐg�փ8\k��� ܶ�^<�ñю"���fRP�;��I�R;�ÿ�a.�(L簺�z0�p���\�q~sE�5K�c? ��4�A�t�&���׉�A4��f���M/�y����@91xL�Y��vFh���8ɑ�Z��"'<���M@�L��7�Mt/�x@V� ���2�J��4&q�C��9�X9�V%]�8o�I|�{b����uR�f}�5|k���)]V]�y�g}\=���W?�ބo�2#L[���c�ޅh��%�Dy��!���c,�b��G����<c� �qk�&>�(_� �N�)U���.��/=l�=��� �;k��#~L�c.� ����\6�v;�D�8%��B��Z�����[��/�@��{�(/� �;`!���P��g�Qh;Lק�H ��x*�NK����D\M��� �#�q��, R:���g�0�3ZU^��73�ƁT��v�^vW�_߉��M��k���Ɲ�Z����Ԙ�Z�ڱg3u����]�h8��8}�B~�����m. ��d��h'ۋ-J �t��vʑ&������>�B,��DYD���N(�?fʹ�E_M1Y��]��ϩ:IJ������Z��q��[zY����R(���/ ���󕫀���XV���J1>�+��sd�z±�1H�?2M�S�&2e�;C��0(Ka��ҽ�B�D6 ��W��V���� �ܴ��c�2PQ�s�a��y�q$���IR�����p�Z4i ����ڌ\WC$0s{K�t��Sl(&kb��j��"��gvn6�`�)�'j�f{�s���OBz%x���=z+$�� � �-�����u> 'E�|�E^a�)�����נo��v�S4˯��2#Wf�Q��齄3�;��Ӓ��T\HnO�bS����74�_�1��

Targets

    • Target

      3443a0e087a535d5df169dd94b0c0f084d8ae97cff6c79becda3c6659837df9a.bin.sample

    • Size

      186KB

    • MD5

      9deb222bace3387108c25a82d2bea2ea

    • SHA1

      541bd9855a01b2b785534bcac62e331036eaf0db

    • SHA256

      3443a0e087a535d5df169dd94b0c0f084d8ae97cff6c79becda3c6659837df9a

    • SHA512

      74b5e55b80add95ee6390622fcdb7b85f42f74b7dba1596c5c76e35e30c703765a7765b11ce4c8e84ba2383aa304b2ef95bcad70208f44ac88440d05a579a0bb

    • Ryuk

      Ransomware distributed via existing botnets, often Trickbot or Emotet.

    • Modifies extensions of user files

      Ransomware generally changes the extension on encrypted files.

    • Drops startup file

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Drops desktop.ini file(s)

MITRE ATT&CK Matrix ATT&CK v6

Credential Access

Credentials in Files

1
T1081

Collection

Data from Local System

1
T1005

Tasks