njrat | 7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e

General

Target

7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Size

272KB
MD5

932fbbeb7fe9a994417e41240d0177d9
SHA1

d6165f4bc59dceeb6bcaf873258d8b0f0a664f74
SHA256

7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e
SHA512

a2c2a39a2c7c8129e79aa8aceb52c63d8c5345ed54b7355483611778dea7d58a4661e6abc1ea54f6700bc2a64760bfc3f4ccbbfaf911c2f26bff9a8c825100d8

Score

10^/10

njrat evasion trojan

Malware Config

Signatures

njRAT/Bladabindi
Widely used RAT written in .NET.
trojan njrat
Modifies Windows Firewall 1 TTPs
evasion

Modify Existing Service
T1031

Suspicious use of AdjustPrivilegeToken 35 IoCs

Processes:

7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe

description	pid	process
Token: SeDebugPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: 33	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
Token: SeIncBasePriorityPrivilege	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe

Suspicious use of WriteProcessMemory 3 IoCs

Processes:

7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe

description	pid	process	target process
PID 1620 wrote to memory of 960	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe	netsh.exe
PID 1620 wrote to memory of 960	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe	netsh.exe
PID 1620 wrote to memory of 960	1620	7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe	netsh.exe

C:\Users\Admin\AppData\Local\Temp\7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe
"C:\Users\Admin\AppData\Local\Temp\7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe"
1⤵
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1620
- C:\Windows\system32\netsh.exe
  netsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe" "7256a118217803dea652821dd232e8996e49759302283574e13fca80a0d5712e.exe" ENABLE
  2⤵
  PID:960

Network

MITRE ATT&CK Enterprise v6

Initial Access

Execution

Persistence

Modify Existing Service

1

T1031

Privilege Escalation

Defense Evasion

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/960-57-0x000007FEFC031000-0x000007FEFC033000-memory.dmp

Filesize
8KB

Download
memory/1620-55-0x00000000009F0000-0x00000000009F2000-memory.dmp

Filesize
8KB

Download
memory/1620-56-0x000007FEEEE40000-0x000007FEEFED6000-memory.dmp

Filesize
16.6MB

Download

Analysis

Sharing