Analysis
-
max time kernel
193s -
max time network
230s -
platform
windows10-2004_x64 -
resource
win10v2004-en-20220113 -
submitted
20-02-2022 09:31
General
-
Target
1efee516f6e8c5004de0ac50e94330fd1e4ffbf11412130dc7ecf7833062dd50.exe
-
Size
168KB
-
MD5
a66f22dfd411a7481b52511ea944209a
-
SHA1
e723b9d32b367c127d181e122ec53e0d528b4954
-
SHA256
1efee516f6e8c5004de0ac50e94330fd1e4ffbf11412130dc7ecf7833062dd50
-
SHA512
65089f73b85d7f14b9276dac0c5653f00c3e1d958ffccda2a980201ee5141055faadbc7795d7aef6848182904112feb0af6727697e17313f082c32a189f77dd8
Score
10/10
Malware Config
Extracted
Path
C:\Users\Admin\AppData\Local\Temp\RyukReadMe.html
Family
ryuk
Ransom Note
<html><body><p style="font-weight:bold;font-size:125%;top:0;left:0;"> [email protected] <br> [email protected] </p><p style="position:absolute;bottom:0;right:1%;font-weight:bold;font-size:170%">balance of shadow universe</p><div style="font-size: 550%;font-weight:bold;width:50%;height:50%;overflow:auto;margin:auto;position:absolute;top:35%;left:40%;">Ryuk</div></body></html�������������������������������������������������������������������������������������������������������������������������������������������������������
Signatures
-
Ryuk
Ransomware distributed via existing botnets, often Trickbot or Emotet.
-
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 2 IoCs
-
Suspicious use of AdjustPrivilegeToken 1 IoCs
Processes
-
C:\Users\Admin\AppData\Local\Temp\1efee516f6e8c5004de0ac50e94330fd1e4ffbf11412130dc7ecf7833062dd50.exe"C:\Users\Admin\AppData\Local\Temp\1efee516f6e8c5004de0ac50e94330fd1e4ffbf11412130dc7ecf7833062dd50.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken