Analysis
-
max time kernel
149s -
max time network
148s -
platform
windows7_x64 -
resource
win7-en-20211208 -
submitted
31-01-2022 09:47
Static task
static1
Behavioral task
behavioral1
Sample
nueva lista de pedidos n.º 002622.exe
Resource
win7-en-20211208
General
-
Target
nueva lista de pedidos n.º 002622.exe
-
Size
134KB
-
MD5
9de0585b387bb800a3c7758a07d0b713
-
SHA1
8f21c5cd550d80490963519a5021a57ad811c26e
-
SHA256
e20b3c660b0883091a7f144bcd97e45d74ba36a52d316d5be36b6d9c390dc490
-
SHA512
04702df8c0af6389ac2974fc2959ff6681de04dfb5eb7d8e24e965ab0a057218b73b18c382235f0b66338ef21daeccf5586d4f724d14681258300c1cb1aec94f
Malware Config
Extracted
xloader
2.5
iepw
isabellechiritoiabogada.com
singaporeimpact.com
mdcxdgkr.com
fivestasrelectriccorp.com
apaspaa.com
datashen.com
yh2.space
remediationnews.com
randlesrice.com
mailclic.digital
n83a.com
wmeacc.com
cahuvoa.xyz
h0t-now.com
admtrans.com
yghdlhax.xyz
bakshipping.com
ambermariemusic.com
mandelbot.tech
cryptoassetmanager.xyz
navientrefinancing.com
xn--12c1cybcl4e.com
keysthatrock.com
shristiprintingplaces.com
bootychaserlinkedbingo.com
shebreaks.vegas
theadvocatingalmostattorney.com
mingyuan.men
bossila.store
mirceacuza.com
vcfnc.com
gamefi-giveaway.com
loveseaton.com
zcaerialdronecoverage.com
side-clicks.com
tavaresmelodia.com
edc10.com
moonfoxflow.club
sattaking-gaziabad.xyz
bharathjbaiju.com
drawapp.net
034655858.com
windrowysxqtn.xyz
upposeidonmax.net
phoebenfinn.com
getmusicheard.com
skyzed.com
worldcoachesnetwork.com
industrialrocketlamp.com
pontrenmutu.com
classiclord.com
cronamovement.com
carforsells.com
batuhanasut.com
obujieitel.quest
quimicosypapelesdelnte.com
szb6.com
handwerks-service.com
englishster.com
duncharis.com
dealsforsuvsil.com
heicensus.xyz
excellglobus.com
halkn.xyz
blue-chipwordtoscan-today.info
Signatures
-
suricata: ET MALWARE FormBook CnC Checkin (GET)
suricata: ET MALWARE FormBook CnC Checkin (GET)
-
Xloader Payload 2 IoCs
Processes:
resource yara_rule behavioral1/memory/1380-61-0x0000000000400000-0x0000000000429000-memory.dmp xloader behavioral1/memory/824-67-0x0000000000090000-0x00000000000B9000-memory.dmp xloader -
Deletes itself 1 IoCs
Processes:
cmd.exepid process 1852 cmd.exe -
Suspicious use of SetThreadContext 3 IoCs
Processes:
nueva lista de pedidos n.º 002622.exenueva lista de pedidos n.º 002622.exewuapp.exedescription pid process target process PID 1592 set thread context of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1380 set thread context of 1192 1380 nueva lista de pedidos n.º 002622.exe Explorer.EXE PID 824 set thread context of 1192 824 wuapp.exe Explorer.EXE -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Delays execution with timeout.exe 1 IoCs
Processes:
timeout.exepid process 1056 timeout.exe -
Suspicious behavior: EnumeratesProcesses 21 IoCs
Processes:
nueva lista de pedidos n.º 002622.exenueva lista de pedidos n.º 002622.exewuapp.exepid process 1592 nueva lista de pedidos n.º 002622.exe 1592 nueva lista de pedidos n.º 002622.exe 1380 nueva lista de pedidos n.º 002622.exe 1380 nueva lista de pedidos n.º 002622.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe 824 wuapp.exe -
Suspicious behavior: MapViewOfSection 5 IoCs
Processes:
nueva lista de pedidos n.º 002622.exewuapp.exepid process 1380 nueva lista de pedidos n.º 002622.exe 1380 nueva lista de pedidos n.º 002622.exe 1380 nueva lista de pedidos n.º 002622.exe 824 wuapp.exe 824 wuapp.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
nueva lista de pedidos n.º 002622.exenueva lista de pedidos n.º 002622.exewuapp.exedescription pid process Token: SeDebugPrivilege 1592 nueva lista de pedidos n.º 002622.exe Token: SeDebugPrivilege 1380 nueva lista de pedidos n.º 002622.exe Token: SeDebugPrivilege 824 wuapp.exe -
Suspicious use of WriteProcessMemory 26 IoCs
Processes:
nueva lista de pedidos n.º 002622.execmd.exeExplorer.EXEwuapp.exedescription pid process target process PID 1592 wrote to memory of 1384 1592 nueva lista de pedidos n.º 002622.exe cmd.exe PID 1592 wrote to memory of 1384 1592 nueva lista de pedidos n.º 002622.exe cmd.exe PID 1592 wrote to memory of 1384 1592 nueva lista de pedidos n.º 002622.exe cmd.exe PID 1592 wrote to memory of 1384 1592 nueva lista de pedidos n.º 002622.exe cmd.exe PID 1384 wrote to memory of 1056 1384 cmd.exe timeout.exe PID 1384 wrote to memory of 1056 1384 cmd.exe timeout.exe PID 1384 wrote to memory of 1056 1384 cmd.exe timeout.exe PID 1384 wrote to memory of 1056 1384 cmd.exe timeout.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1592 wrote to memory of 1380 1592 nueva lista de pedidos n.º 002622.exe nueva lista de pedidos n.º 002622.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 1192 wrote to memory of 824 1192 Explorer.EXE wuapp.exe PID 824 wrote to memory of 1852 824 wuapp.exe cmd.exe PID 824 wrote to memory of 1852 824 wuapp.exe cmd.exe PID 824 wrote to memory of 1852 824 wuapp.exe cmd.exe PID 824 wrote to memory of 1852 824 wuapp.exe cmd.exe
Processes
-
C:\Windows\Explorer.EXEC:\Windows\Explorer.EXE1⤵
- Suspicious use of WriteProcessMemory
PID:1192 -
C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"2⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1592 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C timeout 193⤵
- Suspicious use of WriteProcessMemory
PID:1384 -
C:\Windows\SysWOW64\timeout.exetimeout 194⤵
- Delays execution with timeout.exe
PID:1056 -
C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"3⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:1380 -
C:\Windows\SysWOW64\wuapp.exe"C:\Windows\SysWOW64\wuapp.exe"2⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:824 -
C:\Windows\SysWOW64\cmd.exe/c del "C:\Users\Admin\AppData\Local\Temp\nueva lista de pedidos n.º 002622.exe"3⤵
- Deletes itself
PID:1852
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/824-69-0x0000000000460000-0x00000000004F0000-memory.dmpFilesize
576KB
-
memory/824-68-0x0000000000B80000-0x0000000000E83000-memory.dmpFilesize
3.0MB
-
memory/824-66-0x0000000000EE0000-0x0000000000EEB000-memory.dmpFilesize
44KB
-
memory/824-67-0x0000000000090000-0x00000000000B9000-memory.dmpFilesize
164KB
-
memory/1192-65-0x0000000004960000-0x0000000004A8C000-memory.dmpFilesize
1.2MB
-
memory/1192-70-0x0000000004B40000-0x0000000004C35000-memory.dmpFilesize
980KB
-
memory/1380-61-0x0000000000400000-0x0000000000429000-memory.dmpFilesize
164KB
-
memory/1380-59-0x0000000000400000-0x0000000000429000-memory.dmpFilesize
164KB
-
memory/1380-63-0x0000000000700000-0x0000000000A03000-memory.dmpFilesize
3.0MB
-
memory/1380-64-0x0000000000450000-0x0000000000461000-memory.dmpFilesize
68KB
-
memory/1380-60-0x0000000000400000-0x0000000000429000-memory.dmpFilesize
164KB
-
memory/1592-53-0x00000000012D0000-0x00000000012F6000-memory.dmpFilesize
152KB
-
memory/1592-58-0x0000000004BB0000-0x0000000004BFC000-memory.dmpFilesize
304KB
-
memory/1592-57-0x0000000000D00000-0x0000000000D48000-memory.dmpFilesize
288KB
-
memory/1592-56-0x0000000004AF0000-0x0000000004B48000-memory.dmpFilesize
352KB
-
memory/1592-55-0x00000000011F0000-0x00000000011F1000-memory.dmpFilesize
4KB
-
memory/1592-54-0x0000000075471000-0x0000000075473000-memory.dmpFilesize
8KB