nanocore | d123009856086441be193cc441a4d7a5ded22d10c160a2753f3a0a1163b93898

General

Target

5042020 پرونده های اسناد تحقیقات پلیس doc.exe
Size

391KB
MD5

c42ee85b50ff14e27eec730278d34b89
SHA1

4194f65b0166ff63b250141949e5540c269ef51f
SHA256

713c780c42db40b3456b797e578c889f19a915441a428277aaa8235dfecd0142
SHA512

254d97f628715c9675f44e7b36ab078ee1a828cc2da12487a9eb1abb336c35b5671d3fdc9c91312bfe4fdc03b859134ecd5abc49a3b9a275f8946f95f4ca145d

Score

10^/10

nanocore evasion keylogger spyware stealer trojan

Malware Config

Extracted

Family

nanocore

Version

1.2.2.0

C2

atiku2.duckdns.org:5626

23.105.131.139:5626

Mutex

fb9e5d68-5f7a-419f-bfc1-29430b1c8638

Attributes

activate_away_mode
true
backup_connection_host
23.105.131.139
backup_dns_server
8.8.4.4
buffer_size
65535
build_time
2020-01-27T16:13:19.597345536Z
bypass_user_account_control
true
bypass_user_account_control_data
clear_access_control
true
clear_zone_identifier
true
connect_delay
4000
connection_port
5626
default_group
Naija Parole
enable_debug_mode
true
gc_threshold
1.048576e+07
keep_alive_timeout
30000
keyboard_logging
false
lan_timeout
2500
max_packet_size
1.048576e+07
mutex
fb9e5d68-5f7a-419f-bfc1-29430b1c8638
mutex_timeout
5000
prevent_system_sleep
true
primary_connection_host
atiku2.duckdns.org
primary_dns_server
8.8.8.8
request_elevation
true
restart_delay
5000
run_delay
0
run_on_startup
true
set_critical_process
true
timeout_interval
5000
use_custom_dns_server
false
version
1.2.2.0
wan_timeout
8000

Signatures

Modifies Windows Defender Real-time Protection settings 3 TTPs
evasion trojan

Modify Registry
T1112

Modify Existing Service
T1031

Disabling Security Tools
T1089
NanoCore
NanoCore is a remote access tool (RAT) with a variety of capabilities.
keylogger trojan stealer spyware nanocore
Looks for VirtualBox Guest Additions in registry 2 TTPs
evasion

Query Registry
T1012

Virtualization/Sandbox Evasion
T1497
Looks for VMWare Tools registry key 2 TTPs
evasion

Query Registry
T1012

Virtualization/Sandbox Evasion
T1497

Checks BIOS information in registry 2 TTPs 2 IoCs

BIOS information is often read in order to detect sandboxing environments.

Query Registry

T1012

System Information Discovery

T1082

Processes:

5042020 پرونده های اسناد تحقیقات پلیس doc.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion	5042020 پرونده های اسناد تحقیقات پلیس doc.exe
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion	5042020 پرونده های اسناد تحقیقات پلیس doc.exe

Windows security modification 2 TTPs 2 IoCs

evasion trojan

Disabling Security Tools

T1089

Modify Registry

T1112

Processes:

5042020 پرونده های اسناد تحقیقات پلیس doc.exe

description	ioc	process
Key created	\REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Features	5042020 پرونده های اسناد تحقیقات پلیس doc.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Features\TamperProtection = "0"	5042020 پرونده های اسناد تحقیقات پلیس doc.exe

Maps connected drives based on registry 3 TTPs 2 IoCs

Disk information is often read in order to detect sandboxing environments.

Query Registry

T1012

Peripheral Device Discovery

T1120

System Information Discovery

T1082

Processes:

5042020 پرونده های اسناد تحقیقات پلیس doc.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\SYSTEM\ControlSet001\services\Disk\Enum\0	5042020 پرونده های اسناد تحقیقات پلیس doc.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum	5042020 پرونده های اسناد تحقیقات پلیس doc.exe

Suspicious use of SetThreadContext 1 IoCs

Processes:

5042020 پرونده های اسناد تحقیقات پلیس doc.exe

description	pid	process	target process
PID 480 set thread context of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

System Information Discovery
T1082
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
persistence

Scheduled Task
T1053

Processes:

schtasks.exe

pid process

1424 schtasks.exe
Suspicious behavior: EnumeratesProcesses 4 IoCs

Processes:

powershell.exe5042020 پرونده های اسناد تحقیقات پلیس doc.exeMSBuild.exe

pid process

892 powershell.exe
480 5042020 پرونده های اسناد تحقیقات پلیس doc.exe
1304 MSBuild.exe
1304 MSBuild.exe

pid	process
1424	schtasks.exe

pid	process
892	powershell.exe
480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe
1304	MSBuild.exe
1304	MSBuild.exe

Suspicious use of AdjustPrivilegeToken 3 IoCs

Processes:

powershell.exe5042020 پرونده های اسناد تحقیقات پلیس doc.exeMSBuild.exe

description	pid	process
Token: SeDebugPrivilege	892	powershell.exe
Token: SeDebugPrivilege	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe
Token: SeDebugPrivilege	1304	MSBuild.exe

Suspicious use of WriteProcessMemory 17 IoCs

Processes:

5042020 پرونده های اسناد تحقیقات پلیس doc.exe

description	pid	process	target process
PID 480 wrote to memory of 892	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	powershell.exe
PID 480 wrote to memory of 892	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	powershell.exe
PID 480 wrote to memory of 892	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	powershell.exe
PID 480 wrote to memory of 892	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	powershell.exe
PID 480 wrote to memory of 1424	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	schtasks.exe
PID 480 wrote to memory of 1424	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	schtasks.exe
PID 480 wrote to memory of 1424	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	schtasks.exe
PID 480 wrote to memory of 1424	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	schtasks.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe
PID 480 wrote to memory of 1304	480	5042020 پرونده های اسناد تحقیقات پلیس doc.exe	MSBuild.exe

C:\Users\Admin\AppData\Local\Temp\5042020 پرونده های اسناد تحقیقات پلیس doc.exe
"C:\Users\Admin\AppData\Local\Temp\5042020 پرونده های اسناد تحقیقات پلیس doc.exe"
1⤵
- Checks BIOS information in registry
- Windows security modification
- Maps connected drives based on registry
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:480

C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
"powershell" Get-MpPreference -verbose
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:892

C:\Windows\SysWOW64\schtasks.exe
"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\IIocxSnC" /XML "C:\Users\Admin\AppData\Local\Temp\tmpBA8A.tmp"
2⤵
- Creates scheduled task(s)
PID:1424

C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe
"{path}"
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:1304

Network

MITRE ATT&CK Matrix ATT&CK v6

Initial Access

Execution

Scheduled Task

1

T1053

Persistence

Modify Existing Service

1

T1031

Scheduled Task

1

T1053

Privilege Escalation

Scheduled Task

1

T1053

Defense Evasion

Modify Registry

2

T1112

Disabling Security Tools

2

T1089

Virtualization/Sandbox Evasion

2

T1497

Credential Access

Discovery

Query Registry

4

T1012

Virtualization/Sandbox Evasion

2

T1497

System Information Discovery

3

T1082

Peripheral Device Discovery

1

T1120

Lateral Movement

Collection

Exfiltration

Command and Control

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Temp\tmpBA8A.tmp
Filesize
1KB

MD5
641f696d4562ec2b187db2af78e7cc81

SHA1
168396d68938c3b3db2525425343e82dd033f5d7

SHA256
9df9e83e2c541afa4c568712929d5740ba6eb7d380730fbbf8aa737998313f84

SHA512
d3aaaf5b7cee0dfa3c3ba68f367637ed646d29a08cb04df99c4b4ea6a139f79a529491c3ee86b13ae92d981a61337a6808c78e21c44f30e0e6dc55dfb5dc22fb

Download Submit
memory/480-55-0x0000000074410000-0x00000000749BB000-memory.dmp

Filesize
5.7MB

Download
memory/480-54-0x0000000075CF1000-0x0000000075CF3000-memory.dmp

Filesize
8KB

Download
memory/892-56-0x0000000000000000-mapping.dmp

Download
memory/892-58-0x0000000074410000-0x00000000749BB000-memory.dmp

Filesize
5.7MB

Download
memory/1304-72-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-62-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-65-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-64-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-61-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-67-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-68-0x000000000041E792-mapping.dmp

Download
memory/1304-70-0x0000000000400000-0x0000000000438000-memory.dmp

Filesize
224KB

Download
memory/1304-74-0x0000000074410000-0x00000000749BB000-memory.dmp

Filesize
5.7MB

Download
memory/1304-75-0x0000000000CC6000-0x0000000000CD7000-memory.dmp

Filesize
68KB

Download
memory/1424-59-0x0000000000000000-mapping.dmp

Download

Analysis

Sharing

General

Malware Config

Extracted

Signatures

Processes

Network

MITRE ATT&CK Matrix ATT&CK v6

Replay Monitor

Loading Replay Monitor...

Downloads