Analysis
-
max time kernel
148s -
max time network
148s -
platform
windows10_x64 -
resource
win10-en-20211208 -
submitted
05-01-2022 20:17
Static task
static1
Behavioral task
behavioral1
Sample
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe
Resource
win10-en-20211208
windows10_x64
0 signatures
0 seconds
General
-
Target
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe
-
Size
4.2MB
-
MD5
e1b09e61b51b90e7295e2e9ba28672a1
-
SHA1
439cdff507b3ea0a293b24041c7f8c9cd1903372
-
SHA256
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e
-
SHA512
55031948d11b727f0fc98d0f3e1fd2c31a4a288d5656e7b2a4b56c8e7f3a5206f2abf829d77a258922c1828c311623094e1e67df5531b315e2f0075936e9520b
Score
10/10
Malware Config
Extracted
Family
bitrat
Version
1.38
C2
91.243.32.131:80
Attributes
-
communication_password
202cb962ac59075b964b07152d234b70
-
install_dir
Defenderzone
-
install_file
syspro.exe
-
tor_process
tor
Signatures
-
Adds Run key to start application 2 TTPs 9 IoCs
Processes:
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exe" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exeᴀ" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exe\uff00" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exe脀" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exe였" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exeĀ" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exeက" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exe䰀" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe Set value (str) \REGISTRY\USER\S-1-5-21-2361464256-2201551969-2316606395-1000\Software\Microsoft\Windows\CurrentVersion\Run\syspro = "C:\\Users\\Admin\\AppData\\Local\\Defenderzone\\syspro.exe\u2000" 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe -
Suspicious use of NtSetInformationThreadHideFromDebugger 5 IoCs
Processes:
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exepid process 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe -
Suspicious behavior: EnumeratesProcesses 2 IoCs
Processes:
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exepid process 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe -
Suspicious behavior: RenamesItself 29 IoCs
Processes:
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exepid process 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe -
Suspicious use of AdjustPrivilegeToken 1 IoCs
Processes:
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exedescription pid process Token: SeShutdownPrivilege 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
Processes:
39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exepid process 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe 3068 39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe"C:\Users\Admin\AppData\Local\Temp\39d4a8b10698989af35f338e05506318e949568582fbf613a54a28b559f28b2e.exe"1⤵
- Adds Run key to start application
- Suspicious use of NtSetInformationThreadHideFromDebugger
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: RenamesItself
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/3068-115-0x0000000000400000-0x0000000000810000-memory.dmpFilesize
4.1MB
-
memory/3068-116-0x0000000000400000-0x0000000000810000-memory.dmpFilesize
4.1MB
-
memory/3068-117-0x00000000001E0000-0x00000000001E2000-memory.dmpFilesize
8KB
-
memory/3068-118-0x0000000000400000-0x0000000000810000-memory.dmpFilesize
4.1MB
-
memory/3068-119-0x0000000000400000-0x0000000000810000-memory.dmpFilesize
4.1MB
-
memory/3068-120-0x0000000000401000-0x00000000006E0000-memory.dmpFilesize
2.9MB
-
memory/3068-121-0x00000000759E0000-0x0000000075BA2000-memory.dmpFilesize
1.8MB
-
memory/3068-122-0x0000000000401000-0x00000000006E0000-memory.dmpFilesize
2.9MB
-
memory/3068-123-0x00000000025D0000-0x0000000002616000-memory.dmpFilesize
280KB
-
memory/3068-124-0x0000000000401000-0x00000000006E0000-memory.dmpFilesize
2.9MB
-
memory/3068-125-0x0000000074070000-0x0000000074161000-memory.dmpFilesize
964KB