Analysis
-
max time kernel
147s -
max time network
154s -
platform
windows10-2004_x64 -
resource
win10v2004-20220414-en -
submitted
21-05-2022 03:34
Static task
static1
Behavioral task
behavioral1
Sample
Información de envío confidencial datos personales doc.exe
Resource
win7-20220414-en
General
-
Target
Información de envío confidencial datos personales doc.exe
-
Size
464KB
-
MD5
884a509f47d321622a549aa0ef42b26e
-
SHA1
2290e384617efc4f00fcd0c979692162aef9f5d7
-
SHA256
c639174f0dd193464782b116b0924d7b46c0390fa023093269fb304178c4b403
-
SHA512
57acc6dada0aee5dc96b04dbb1d529e8afbb8740e29853a175f6ba64b383b8518d43705c810342ac27ac2bd546a51adb55e0503763300046b0ca94e477eb2123
Malware Config
Extracted
nanocore
1.2.2.0
atiku2.duckdns.org:5626
23.105.131.139:5626
fb9e5d68-5f7a-419f-bfc1-29430b1c8638
-
activate_away_mode
true
-
backup_connection_host
23.105.131.139
-
backup_dns_server
8.8.4.4
-
buffer_size
65535
-
build_time
2020-01-27T16:13:19.597345536Z
-
bypass_user_account_control
true
- bypass_user_account_control_data
-
clear_access_control
true
-
clear_zone_identifier
true
-
connect_delay
4000
-
connection_port
5626
-
default_group
Naija Parole
-
enable_debug_mode
true
-
gc_threshold
1.048576e+07
-
keep_alive_timeout
30000
-
keyboard_logging
false
-
lan_timeout
2500
-
max_packet_size
1.048576e+07
-
mutex
fb9e5d68-5f7a-419f-bfc1-29430b1c8638
-
mutex_timeout
5000
-
prevent_system_sleep
true
-
primary_connection_host
atiku2.duckdns.org
-
primary_dns_server
8.8.8.8
-
request_elevation
true
-
restart_delay
5000
-
run_delay
0
-
run_on_startup
true
-
set_critical_process
true
-
timeout_interval
5000
-
use_custom_dns_server
false
-
version
1.2.2.0
-
wan_timeout
8000
Signatures
-
Looks for VirtualBox Guest Additions in registry 2 TTPs
-
Looks for VMWare Tools registry key 2 TTPs
-
Checks BIOS information in registry 2 TTPs 2 IoCs
BIOS information is often read in order to detect sandboxing environments.
Processes:
Información de envío confidencial datos personales doc.exedescription ioc process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion Información de envío confidencial datos personales doc.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion Información de envío confidencial datos personales doc.exe -
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
Processes:
Información de envío confidencial datos personales doc.exedescription ioc process Key value queried \REGISTRY\USER\S-1-5-21-1081944012-3634099177-1681222835-1000\Control Panel\International\Geo\Nation Información de envío confidencial datos personales doc.exe -
Processes:
Información de envío confidencial datos personales doc.exedescription ioc process Key created \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows Defender\Features Información de envío confidencial datos personales doc.exe Set value (int) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows Defender\Features\TamperProtection = "0" Información de envío confidencial datos personales doc.exe -
Maps connected drives based on registry 3 TTPs 2 IoCs
Disk information is often read in order to detect sandboxing environments.
Processes:
Información de envío confidencial datos personales doc.exedescription ioc process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum Información de envío confidencial datos personales doc.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\disk\Enum\0 Información de envío confidencial datos personales doc.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
Información de envío confidencial datos personales doc.exedescription pid process target process PID 2380 set thread context of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 10 IoCs
Processes:
powershell.exeInformación de envío confidencial datos personales doc.exeMSBuild.exepid process 5004 powershell.exe 5004 powershell.exe 2380 Información de envío confidencial datos personales doc.exe 2380 Información de envío confidencial datos personales doc.exe 2380 Información de envío confidencial datos personales doc.exe 2380 Información de envío confidencial datos personales doc.exe 2380 Información de envío confidencial datos personales doc.exe 2368 MSBuild.exe 2368 MSBuild.exe 2368 MSBuild.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
Processes:
MSBuild.exepid process 2368 MSBuild.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
powershell.exeInformación de envío confidencial datos personales doc.exeMSBuild.exedescription pid process Token: SeDebugPrivilege 5004 powershell.exe Token: SeDebugPrivilege 2380 Información de envío confidencial datos personales doc.exe Token: SeDebugPrivilege 2368 MSBuild.exe -
Suspicious use of WriteProcessMemory 20 IoCs
Processes:
Información de envío confidencial datos personales doc.exedescription pid process target process PID 2380 wrote to memory of 5004 2380 Información de envío confidencial datos personales doc.exe powershell.exe PID 2380 wrote to memory of 5004 2380 Información de envío confidencial datos personales doc.exe powershell.exe PID 2380 wrote to memory of 5004 2380 Información de envío confidencial datos personales doc.exe powershell.exe PID 2380 wrote to memory of 992 2380 Información de envío confidencial datos personales doc.exe schtasks.exe PID 2380 wrote to memory of 992 2380 Información de envío confidencial datos personales doc.exe schtasks.exe PID 2380 wrote to memory of 992 2380 Información de envío confidencial datos personales doc.exe schtasks.exe PID 2380 wrote to memory of 3340 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 3340 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 3340 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2504 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2504 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2504 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe PID 2380 wrote to memory of 2368 2380 Información de envío confidencial datos personales doc.exe MSBuild.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Información de envío confidencial datos personales doc.exe"C:\Users\Admin\AppData\Local\Temp\Información de envío confidencial datos personales doc.exe"1⤵
- Checks BIOS information in registry
- Checks computer location settings
- Windows security modification
- Maps connected drives based on registry
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"powershell" Get-MpPreference -verbose2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\JmIRXTceTRqwg" /XML "C:\Users\Admin\AppData\Local\Temp\tmp49E5.tmp"2⤵
- Creates scheduled task(s)
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmp49E5.tmpFilesize
1KB
MD5be9826d56d6db6f3b6012ee2802778ba
SHA1283bbfab351d7903987fc19d9099530d6021809c
SHA25656d2a3b7539ac322d963d85bd61d8ebe311d59f8f4679c413db978d6cfd9df5b
SHA5129105d4751fe073e4eefc26daa90f66d54ce7c9cf72d32919e18a3c266dc34ee2c7ead247ea187ce8a9499f166402b29cc0710b9b263f52c1088bf964f38f96e5
-
memory/992-148-0x0000000000000000-mapping.dmp
-
memory/2368-154-0x00000000750E0000-0x0000000075691000-memory.dmpFilesize
5.7MB
-
memory/2368-153-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2368-152-0x0000000000000000-mapping.dmp
-
memory/2380-130-0x00000000750E0000-0x0000000075691000-memory.dmpFilesize
5.7MB
-
memory/2504-151-0x0000000000000000-mapping.dmp
-
memory/3340-150-0x0000000000000000-mapping.dmp
-
memory/5004-136-0x00000000061A0000-0x0000000006206000-memory.dmpFilesize
408KB
-
memory/5004-147-0x0000000007E00000-0x0000000007E08000-memory.dmpFilesize
32KB
-
memory/5004-140-0x0000000006CE0000-0x0000000006CFE000-memory.dmpFilesize
120KB
-
memory/5004-141-0x00000000080E0000-0x000000000875A000-memory.dmpFilesize
6.5MB
-
memory/5004-142-0x0000000007A60000-0x0000000007A7A000-memory.dmpFilesize
104KB
-
memory/5004-143-0x0000000007B50000-0x0000000007B5A000-memory.dmpFilesize
40KB
-
memory/5004-144-0x0000000007D60000-0x0000000007DF6000-memory.dmpFilesize
600KB
-
memory/5004-145-0x0000000007D10000-0x0000000007D1E000-memory.dmpFilesize
56KB
-
memory/5004-146-0x0000000007E20000-0x0000000007E3A000-memory.dmpFilesize
104KB
-
memory/5004-139-0x000000006EE00000-0x000000006EE4C000-memory.dmpFilesize
304KB
-
memory/5004-138-0x0000000006D00000-0x0000000006D32000-memory.dmpFilesize
200KB
-
memory/5004-137-0x00000000067D0000-0x00000000067EE000-memory.dmpFilesize
120KB
-
memory/5004-135-0x0000000006130000-0x0000000006196000-memory.dmpFilesize
408KB
-
memory/5004-134-0x0000000006060000-0x0000000006082000-memory.dmpFilesize
136KB
-
memory/5004-133-0x0000000005900000-0x0000000005F28000-memory.dmpFilesize
6.2MB
-
memory/5004-132-0x0000000002E30000-0x0000000002E66000-memory.dmpFilesize
216KB
-
memory/5004-131-0x0000000000000000-mapping.dmp