Analysis
-
max time kernel
150s -
max time network
155s -
platform
windows10-2004_x64 -
resource
win10v2004-20220414-en -
submitted
21-05-2022 12:05
Static task
static1
Behavioral task
behavioral1
Sample
5042020 پرونده های اسناد تحقیقات پلیس doc.exe
Resource
win7-20220414-en
General
-
Target
5042020 پرونده های اسناد تحقیقات پلیس doc.exe
-
Size
391KB
-
MD5
c42ee85b50ff14e27eec730278d34b89
-
SHA1
4194f65b0166ff63b250141949e5540c269ef51f
-
SHA256
713c780c42db40b3456b797e578c889f19a915441a428277aaa8235dfecd0142
-
SHA512
254d97f628715c9675f44e7b36ab078ee1a828cc2da12487a9eb1abb336c35b5671d3fdc9c91312bfe4fdc03b859134ecd5abc49a3b9a275f8946f95f4ca145d
Malware Config
Extracted
nanocore
1.2.2.0
atiku2.duckdns.org:5626
23.105.131.139:5626
fb9e5d68-5f7a-419f-bfc1-29430b1c8638
-
activate_away_mode
true
-
backup_connection_host
23.105.131.139
-
backup_dns_server
8.8.4.4
-
buffer_size
65535
-
build_time
2020-01-27T16:13:19.597345536Z
-
bypass_user_account_control
true
- bypass_user_account_control_data
-
clear_access_control
true
-
clear_zone_identifier
true
-
connect_delay
4000
-
connection_port
5626
-
default_group
Naija Parole
-
enable_debug_mode
true
-
gc_threshold
1.048576e+07
-
keep_alive_timeout
30000
-
keyboard_logging
false
-
lan_timeout
2500
-
max_packet_size
1.048576e+07
-
mutex
fb9e5d68-5f7a-419f-bfc1-29430b1c8638
-
mutex_timeout
5000
-
prevent_system_sleep
true
-
primary_connection_host
atiku2.duckdns.org
-
primary_dns_server
8.8.8.8
-
request_elevation
true
-
restart_delay
5000
-
run_delay
0
-
run_on_startup
true
-
set_critical_process
true
-
timeout_interval
5000
-
use_custom_dns_server
false
-
version
1.2.2.0
-
wan_timeout
8000
Signatures
-
Looks for VirtualBox Guest Additions in registry 2 TTPs
-
Looks for VMWare Tools registry key 2 TTPs
-
Checks BIOS information in registry 2 TTPs 2 IoCs
BIOS information is often read in order to detect sandboxing environments.
Processes:
5042020 پرونده های اسناد تحقیقات پلیس doc.exedescription ioc process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion 5042020 پرونده های اسناد تحقیقات پلیس doc.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion 5042020 پرونده های اسناد تحقیقات پلیس doc.exe -
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
Processes:
5042020 پرونده های اسناد تحقیقات پلیس doc.exedescription ioc process Key value queried \REGISTRY\USER\S-1-5-21-2632097139-1792035885-811742494-1000\Control Panel\International\Geo\Nation 5042020 پرونده های اسناد تحقیقات پلیس doc.exe -
Processes:
5042020 پرونده های اسناد تحقیقات پلیس doc.exedescription ioc process Key created \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows Defender\Features 5042020 پرونده های اسناد تحقیقات پلیس doc.exe Set value (int) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows Defender\Features\TamperProtection = "0" 5042020 پرونده های اسناد تحقیقات پلیس doc.exe -
Maps connected drives based on registry 3 TTPs 2 IoCs
Disk information is often read in order to detect sandboxing environments.
Processes:
5042020 پرونده های اسناد تحقیقات پلیس doc.exedescription ioc process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum 5042020 پرونده های اسناد تحقیقات پلیس doc.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\disk\Enum\0 5042020 پرونده های اسناد تحقیقات پلیس doc.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
5042020 پرونده های اسناد تحقیقات پلیس doc.exedescription pid process target process PID 5016 set thread context of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 6 IoCs
Processes:
powershell.exe5042020 پرونده های اسناد تحقیقات پلیس doc.exeMSBuild.exepid process 3948 powershell.exe 3948 powershell.exe 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe 1508 MSBuild.exe 1508 MSBuild.exe 1508 MSBuild.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
Processes:
MSBuild.exepid process 1508 MSBuild.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
powershell.exe5042020 پرونده های اسناد تحقیقات پلیس doc.exeMSBuild.exedescription pid process Token: SeDebugPrivilege 3948 powershell.exe Token: SeDebugPrivilege 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe Token: SeDebugPrivilege 1508 MSBuild.exe -
Suspicious use of WriteProcessMemory 14 IoCs
Processes:
5042020 پرونده های اسناد تحقیقات پلیس doc.exedescription pid process target process PID 5016 wrote to memory of 3948 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe powershell.exe PID 5016 wrote to memory of 3948 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe powershell.exe PID 5016 wrote to memory of 3948 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe powershell.exe PID 5016 wrote to memory of 3976 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe schtasks.exe PID 5016 wrote to memory of 3976 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe schtasks.exe PID 5016 wrote to memory of 3976 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe schtasks.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe PID 5016 wrote to memory of 1508 5016 5042020 پرونده های اسناد تحقیقات پلیس doc.exe MSBuild.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\5042020 پرونده های اسناد تحقیقات پلیس doc.exe"C:\Users\Admin\AppData\Local\Temp\5042020 پرونده های اسناد تحقیقات پلیس doc.exe"1⤵
- Checks BIOS information in registry
- Checks computer location settings
- Windows security modification
- Maps connected drives based on registry
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"powershell" Get-MpPreference -verbose2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\IIocxSnC" /XML "C:\Users\Admin\AppData\Local\Temp\tmp8916.tmp"2⤵
- Creates scheduled task(s)
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmp8916.tmpFilesize
1KB
MD5ffe8ad9ec5622a46e90fc865a8963ceb
SHA1e74988b1f8bfeff9e35c53e9937096d62a690a81
SHA256a2de7d1d845f3f3f60cf0ad8d48e5754af8c82eebc41defbaf9fe9ef491bf333
SHA5120978bddf17c6102ab6674173d21319be0716df3ea5d81b3a7e12fc14e522a944306007576eedcfa6946749ba3cabf1c6b0931e7236dea1dd64a421da241bb876
-
memory/1508-152-0x0000000074F00000-0x00000000754B1000-memory.dmpFilesize
5.7MB
-
memory/1508-151-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1508-150-0x0000000000000000-mapping.dmp
-
memory/3948-140-0x00000000068D0000-0x00000000068EE000-memory.dmpFilesize
120KB
-
memory/3948-143-0x0000000007650000-0x000000000765A000-memory.dmpFilesize
40KB
-
memory/3948-136-0x0000000005D00000-0x0000000005D66000-memory.dmpFilesize
408KB
-
memory/3948-137-0x0000000006350000-0x000000000636E000-memory.dmpFilesize
120KB
-
memory/3948-138-0x0000000006890000-0x00000000068C2000-memory.dmpFilesize
200KB
-
memory/3948-139-0x000000006EC20000-0x000000006EC6C000-memory.dmpFilesize
304KB
-
memory/3948-131-0x0000000000000000-mapping.dmp
-
memory/3948-141-0x0000000007C60000-0x00000000082DA000-memory.dmpFilesize
6.5MB
-
memory/3948-142-0x00000000075E0000-0x00000000075FA000-memory.dmpFilesize
104KB
-
memory/3948-135-0x0000000005C90000-0x0000000005CF6000-memory.dmpFilesize
408KB
-
memory/3948-144-0x0000000007860000-0x00000000078F6000-memory.dmpFilesize
600KB
-
memory/3948-145-0x0000000007810000-0x000000000781E000-memory.dmpFilesize
56KB
-
memory/3948-146-0x0000000007920000-0x000000000793A000-memory.dmpFilesize
104KB
-
memory/3948-147-0x0000000007900000-0x0000000007908000-memory.dmpFilesize
32KB
-
memory/3948-132-0x0000000002950000-0x0000000002986000-memory.dmpFilesize
216KB
-
memory/3948-134-0x0000000005300000-0x0000000005322000-memory.dmpFilesize
136KB
-
memory/3948-133-0x0000000005370000-0x0000000005998000-memory.dmpFilesize
6.2MB
-
memory/3976-148-0x0000000000000000-mapping.dmp
-
memory/5016-130-0x0000000074F00000-0x00000000754B1000-memory.dmpFilesize
5.7MB