Analysis

  • max time kernel
    152s
  • max time network
    181s
  • platform
    windows7_x64
  • resource
    win7v20210408
  • submitted
    13-10-2021 15:39

General

  • Target

    cc5f8dfc803b35d83f059f019c6d937fa2ce52e79d112f29630e9050aee2de08.exe

  • Size

    244KB

  • MD5

    cd0de24dd59d160507545851f4c0d917

  • SHA1

    a78fca87aace910f8e59dd614664e082249b8a68

  • SHA256

    cc5f8dfc803b35d83f059f019c6d937fa2ce52e79d112f29630e9050aee2de08

  • SHA512

    130ac29407b1a5903c144684e846a8eabe54d47ed13ebcc676eb1d4b598b52c446c6f5021fdea2035d838e562b6a08e7f0578bfe3379824dbd1b5b9ce374e12d

Malware Config

Signatures

  • GandCrab Payload 2 IoCs
  • Gandcrab

    Gandcrab is a Trojan horse that encrypts files on a computer.

  • Adds Run key to start application 2 TTPs 2 IoCs
  • Enumerates connected drives 3 TTPs 24 IoCs

    Attempts to read the root path of hard drives other than the default C: drive.

  • Drops file in Windows directory 1 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 60 IoCs
  • Suspicious use of WriteProcessMemory 64 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\cc5f8dfc803b35d83f059f019c6d937fa2ce52e79d112f29630e9050aee2de08.exe
    "C:\Users\Admin\AppData\Local\Temp\cc5f8dfc803b35d83f059f019c6d937fa2ce52e79d112f29630e9050aee2de08.exe"
    1⤵
    • Adds Run key to start application
    • Enumerates connected drives
    • Drops file in Windows directory
    • Checks processor information in registry
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:1208
    • C:\Windows\SysWOW64\nslookup.exe
      nslookup carder.bit ns1.wowservers.ru
      2⤵
        PID:1728
      • C:\Windows\SysWOW64\nslookup.exe
        nslookup ransomware.bit ns2.wowservers.ru
        2⤵
          PID:1220
        • C:\Windows\SysWOW64\nslookup.exe
          nslookup carder.bit ns2.wowservers.ru
          2⤵
            PID:1244
          • C:\Windows\SysWOW64\nslookup.exe
            nslookup ransomware.bit ns1.wowservers.ru
            2⤵
              PID:976
            • C:\Windows\SysWOW64\nslookup.exe
              nslookup carder.bit ns1.wowservers.ru
              2⤵
                PID:1920
              • C:\Windows\SysWOW64\nslookup.exe
                nslookup ransomware.bit ns2.wowservers.ru
                2⤵
                  PID:1760
                • C:\Windows\SysWOW64\nslookup.exe
                  nslookup carder.bit ns2.wowservers.ru
                  2⤵
                    PID:568
                  • C:\Windows\SysWOW64\nslookup.exe
                    nslookup ransomware.bit ns1.wowservers.ru
                    2⤵
                      PID:1624
                    • C:\Windows\SysWOW64\nslookup.exe
                      nslookup carder.bit ns1.wowservers.ru
                      2⤵
                        PID:680
                      • C:\Windows\SysWOW64\nslookup.exe
                        nslookup ransomware.bit ns2.wowservers.ru
                        2⤵
                          PID:896
                        • C:\Windows\SysWOW64\nslookup.exe
                          nslookup carder.bit ns2.wowservers.ru
                          2⤵
                            PID:1744
                          • C:\Windows\SysWOW64\nslookup.exe
                            nslookup ransomware.bit ns1.wowservers.ru
                            2⤵
                              PID:1020
                            • C:\Windows\SysWOW64\nslookup.exe
                              nslookup carder.bit ns1.wowservers.ru
                              2⤵
                                PID:1420
                              • C:\Windows\SysWOW64\nslookup.exe
                                nslookup ransomware.bit ns2.wowservers.ru
                                2⤵
                                  PID:1696
                                • C:\Windows\SysWOW64\nslookup.exe
                                  nslookup carder.bit ns2.wowservers.ru
                                  2⤵
                                    PID:1732
                                  • C:\Windows\SysWOW64\nslookup.exe
                                    nslookup ransomware.bit ns1.wowservers.ru
                                    2⤵
                                      PID:1764
                                    • C:\Windows\SysWOW64\nslookup.exe
                                      nslookup carder.bit ns1.wowservers.ru
                                      2⤵
                                        PID:1184
                                      • C:\Windows\SysWOW64\nslookup.exe
                                        nslookup ransomware.bit ns2.wowservers.ru
                                        2⤵
                                          PID:1108
                                        • C:\Windows\SysWOW64\nslookup.exe
                                          nslookup carder.bit ns2.wowservers.ru
                                          2⤵
                                            PID:696
                                          • C:\Windows\SysWOW64\nslookup.exe
                                            nslookup ransomware.bit ns1.wowservers.ru
                                            2⤵
                                              PID:1756
                                            • C:\Windows\SysWOW64\nslookup.exe
                                              nslookup carder.bit ns1.wowservers.ru
                                              2⤵
                                                PID:1148
                                              • C:\Windows\SysWOW64\nslookup.exe
                                                nslookup ransomware.bit ns2.wowservers.ru
                                                2⤵
                                                  PID:1976
                                                • C:\Windows\SysWOW64\nslookup.exe
                                                  nslookup carder.bit ns2.wowservers.ru
                                                  2⤵
                                                    PID:856
                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                    2⤵
                                                      PID:664
                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                      nslookup carder.bit ns1.wowservers.ru
                                                      2⤵
                                                        PID:1848
                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                        2⤵
                                                          PID:1936
                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                          nslookup carder.bit ns2.wowservers.ru
                                                          2⤵
                                                            PID:2020
                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                            2⤵
                                                              PID:1700
                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                              nslookup carder.bit ns1.wowservers.ru
                                                              2⤵
                                                                PID:1264
                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                2⤵
                                                                  PID:616
                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                  2⤵
                                                                    PID:1648
                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                    2⤵
                                                                      PID:1480
                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                      2⤵
                                                                        PID:788
                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                        2⤵
                                                                          PID:1616
                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                          2⤵
                                                                            PID:2036
                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                            2⤵
                                                                              PID:1924
                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                              2⤵
                                                                                PID:968
                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                2⤵
                                                                                  PID:2032
                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                  2⤵
                                                                                    PID:1672
                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                    2⤵
                                                                                      PID:1100
                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                      2⤵
                                                                                        PID:1724
                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                        2⤵
                                                                                          PID:1144
                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                          2⤵
                                                                                            PID:1200
                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                            2⤵
                                                                                              PID:1748
                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                              2⤵
                                                                                                PID:1916
                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                2⤵
                                                                                                  PID:1296
                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                  2⤵
                                                                                                    PID:1912
                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                    2⤵
                                                                                                      PID:596
                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                      2⤵
                                                                                                        PID:684
                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                        2⤵
                                                                                                          PID:1752
                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                          2⤵
                                                                                                            PID:1436
                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                            2⤵
                                                                                                              PID:1596
                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                              2⤵
                                                                                                                PID:1704
                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                2⤵
                                                                                                                  PID:516
                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                  2⤵
                                                                                                                    PID:1544
                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                    2⤵
                                                                                                                      PID:1484
                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                      2⤵
                                                                                                                        PID:1844
                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                        2⤵
                                                                                                                          PID:1060
                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                          2⤵
                                                                                                                            PID:924
                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                            2⤵
                                                                                                                              PID:1908
                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                              2⤵
                                                                                                                                PID:2008
                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                2⤵
                                                                                                                                  PID:1364
                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                  2⤵
                                                                                                                                    PID:1228
                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                    2⤵
                                                                                                                                      PID:1636
                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                      2⤵
                                                                                                                                        PID:1096
                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                        2⤵
                                                                                                                                          PID:1356
                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                          2⤵
                                                                                                                                            PID:1016
                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                            2⤵
                                                                                                                                              PID:972
                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                              2⤵
                                                                                                                                                PID:1940
                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                2⤵
                                                                                                                                                  PID:1800
                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                  2⤵
                                                                                                                                                    PID:792
                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                    2⤵
                                                                                                                                                      PID:1604
                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                      2⤵
                                                                                                                                                        PID:1288
                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                        2⤵
                                                                                                                                                          PID:1464
                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                          2⤵
                                                                                                                                                            PID:1900
                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                            2⤵
                                                                                                                                                              PID:868
                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                              2⤵
                                                                                                                                                                PID:1580
                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                2⤵
                                                                                                                                                                  PID:2024
                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                  2⤵
                                                                                                                                                                    PID:1608
                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                    2⤵
                                                                                                                                                                      PID:852
                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                      2⤵
                                                                                                                                                                        PID:1808
                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                        2⤵
                                                                                                                                                                          PID:1576
                                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                          2⤵
                                                                                                                                                                            PID:1416
                                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                            2⤵
                                                                                                                                                                              PID:1796
                                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                              2⤵
                                                                                                                                                                                PID:760
                                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                2⤵
                                                                                                                                                                                  PID:1584
                                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                  2⤵
                                                                                                                                                                                    PID:844
                                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                    2⤵
                                                                                                                                                                                      PID:288
                                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                      2⤵
                                                                                                                                                                                        PID:316
                                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                        2⤵
                                                                                                                                                                                          PID:1560
                                                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                          2⤵
                                                                                                                                                                                            PID:824
                                                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                            2⤵
                                                                                                                                                                                              PID:1684
                                                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                              2⤵
                                                                                                                                                                                                PID:1736
                                                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                2⤵
                                                                                                                                                                                                  PID:1836
                                                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                    PID:1832
                                                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                      PID:432
                                                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                        PID:1840
                                                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                          PID:1492
                                                                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                            PID:1172
                                                                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                              PID:2028
                                                                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                PID:1680
                                                                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                  PID:1740
                                                                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                    PID:1716
                                                                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                      PID:1072
                                                                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                        PID:1952
                                                                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                          PID:1592
                                                                                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                            PID:576
                                                                                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                              PID:1036
                                                                                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                PID:1768
                                                                                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                  PID:1504
                                                                                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                    PID:1776
                                                                                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                      PID:1360
                                                                                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                        PID:1972
                                                                                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                          PID:1308
                                                                                                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                            PID:1524
                                                                                                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                              PID:748
                                                                                                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                PID:1656
                                                                                                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                  PID:1964
                                                                                                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                    PID:1320
                                                                                                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                      PID:1888
                                                                                                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                        PID:1996
                                                                                                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                          PID:2000
                                                                                                                                                                                                                                                        • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                          nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                                            PID:2016
                                                                                                                                                                                                                                                          • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                            nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                                              PID:1632
                                                                                                                                                                                                                                                            • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                              nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                PID:1396
                                                                                                                                                                                                                                                              • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                                nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                                  PID:1116
                                                                                                                                                                                                                                                                • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                                  nslookup carder.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                                    PID:1056
                                                                                                                                                                                                                                                                  • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                                    nslookup ransomware.bit ns1.wowservers.ru
                                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                                      PID:916
                                                                                                                                                                                                                                                                    • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                                      nslookup carder.bit ns1.wowservers.ru
                                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                                        PID:1660
                                                                                                                                                                                                                                                                      • C:\Windows\SysWOW64\nslookup.exe
                                                                                                                                                                                                                                                                        nslookup ransomware.bit ns2.wowservers.ru
                                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                                          PID:1968

                                                                                                                                                                                                                                                                      Network

                                                                                                                                                                                                                                                                      MITRE ATT&CK Matrix ATT&CK v6

                                                                                                                                                                                                                                                                      Persistence

                                                                                                                                                                                                                                                                      Registry Run Keys / Startup Folder

                                                                                                                                                                                                                                                                      1
                                                                                                                                                                                                                                                                      T1060

                                                                                                                                                                                                                                                                      Defense Evasion

                                                                                                                                                                                                                                                                      Modify Registry

                                                                                                                                                                                                                                                                      1
                                                                                                                                                                                                                                                                      T1112

                                                                                                                                                                                                                                                                      Discovery

                                                                                                                                                                                                                                                                      Query Registry

                                                                                                                                                                                                                                                                      2
                                                                                                                                                                                                                                                                      T1012

                                                                                                                                                                                                                                                                      Peripheral Device Discovery

                                                                                                                                                                                                                                                                      1
                                                                                                                                                                                                                                                                      T1120

                                                                                                                                                                                                                                                                      System Information Discovery

                                                                                                                                                                                                                                                                      2
                                                                                                                                                                                                                                                                      T1082

                                                                                                                                                                                                                                                                      Replay Monitor

                                                                                                                                                                                                                                                                      Loading Replay Monitor...

                                                                                                                                                                                                                                                                      Downloads

                                                                                                                                                                                                                                                                      • memory/516-119-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/568-72-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/596-113-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/616-95-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/664-89-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/680-74-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/684-114-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/696-84-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/788-98-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/856-88-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/896-75-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/924-124-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/968-102-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/976-69-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1020-77-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1060-123-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1100-105-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1108-83-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1144-107-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1148-86-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1184-82-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1200-108-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1208-60-0x00000000002EB000-0x0000000000307000-memory.dmp
                                                                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                                                                        112KB

                                                                                                                                                                                                                                                                      • memory/1208-65-0x0000000000280000-0x0000000000297000-memory.dmp
                                                                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                                                                        92KB

                                                                                                                                                                                                                                                                      • memory/1208-63-0x0000000075C71000-0x0000000075C73000-memory.dmp
                                                                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                                                                        8KB

                                                                                                                                                                                                                                                                      • memory/1208-62-0x0000000000400000-0x0000000000B4B000-memory.dmp
                                                                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                                                                        7.3MB

                                                                                                                                                                                                                                                                      • memory/1208-61-0x0000000000400000-0x0000000000B4B000-memory.dmp
                                                                                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                                                                                        7.3MB

                                                                                                                                                                                                                                                                      • memory/1220-67-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1228-128-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1244-68-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1264-94-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1296-111-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1364-127-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1420-78-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1436-116-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1480-97-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1484-121-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1544-120-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1596-117-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1616-99-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1624-73-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1636-129-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1648-96-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1672-104-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1696-79-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1700-93-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1704-118-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1724-106-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1728-66-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1732-80-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1744-76-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1748-109-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1752-115-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1756-85-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1760-71-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1764-81-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1844-122-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1848-90-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1908-125-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1912-112-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1916-110-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1920-70-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1924-101-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1936-91-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/1976-87-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/2008-126-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/2020-92-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/2032-103-0x0000000000000000-mapping.dmp
                                                                                                                                                                                                                                                                      • memory/2036-100-0x0000000000000000-mapping.dmp