Analysis
-
max time kernel
146s -
max time network
151s -
platform
windows7_x64 -
resource
win7-20220414-en -
submitted
21-05-2022 12:10
Static task
static1
Behavioral task
behavioral1
Sample
Folha de dados de cotação para nossa empresa doc.exe
Resource
win7-20220414-en
General
-
Target
Folha de dados de cotação para nossa empresa doc.exe
-
Size
666KB
-
MD5
d8a701f0eb40bb760398aa2712b1996b
-
SHA1
7000e9cff7196d30c9a371f89b1fc90530c49953
-
SHA256
8c71aca391fbd24fb5400cbc0cea7bfc424dfac861cbfebbac25393e8b21bbf4
-
SHA512
4e11edd504cad4ecddb1a4bb3f9130479202a4a7baa150e65a112c6c7b2d02b6da47dfb1c614f33bb6fd7332bced0382667717fb2b5da09ff124814c2ee7eb91
Malware Config
Extracted
nanocore
1.2.2.0
24thmatch2020.duckdns.org:5626
127.0.0.1:5626
1d5c6dc1-3b0f-4759-9757-c47b26dc4c4d
-
activate_away_mode
true
-
backup_connection_host
127.0.0.1
-
backup_dns_server
8.8.4.4
-
buffer_size
65535
-
build_time
2020-04-05T07:10:58.206265736Z
-
bypass_user_account_control
true
- bypass_user_account_control_data
-
clear_access_control
true
-
clear_zone_identifier
true
-
connect_delay
4000
-
connection_port
5626
-
default_group
24thMarch
-
enable_debug_mode
true
-
gc_threshold
1.048576e+07
-
keep_alive_timeout
30000
-
keyboard_logging
false
-
lan_timeout
2500
-
max_packet_size
1.048576e+07
-
mutex
1d5c6dc1-3b0f-4759-9757-c47b26dc4c4d
-
mutex_timeout
5000
-
prevent_system_sleep
true
-
primary_connection_host
24thmatch2020.duckdns.org
-
primary_dns_server
8.8.8.8
-
request_elevation
true
-
restart_delay
5000
-
run_delay
0
-
run_on_startup
true
-
set_critical_process
true
-
timeout_interval
5000
-
use_custom_dns_server
false
-
version
1.2.2.0
-
wan_timeout
8000
Signatures
-
Looks for VirtualBox Guest Additions in registry 2 TTPs
-
Looks for VMWare Tools registry key 2 TTPs
-
Checks BIOS information in registry 2 TTPs 2 IoCs
BIOS information is often read in order to detect sandboxing environments.
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription ioc process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion Folha de dados de cotação para nossa empresa doc.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion Folha de dados de cotação para nossa empresa doc.exe -
Maps connected drives based on registry 3 TTPs 2 IoCs
Disk information is often read in order to detect sandboxing environments.
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription ioc process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum Folha de dados de cotação para nossa empresa doc.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\services\Disk\Enum\0 Folha de dados de cotação para nossa empresa doc.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription pid process target process PID 1756 set thread context of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 8 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exeMSBuild.exepid process 1756 Folha de dados de cotação para nossa empresa doc.exe 1756 Folha de dados de cotação para nossa empresa doc.exe 1756 Folha de dados de cotação para nossa empresa doc.exe 1756 Folha de dados de cotação para nossa empresa doc.exe 1756 Folha de dados de cotação para nossa empresa doc.exe 1204 MSBuild.exe 1204 MSBuild.exe 1204 MSBuild.exe -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exeMSBuild.exedescription pid process Token: SeDebugPrivilege 1756 Folha de dados de cotação para nossa empresa doc.exe Token: SeDebugPrivilege 1204 MSBuild.exe -
Suspicious use of WriteProcessMemory 21 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription pid process target process PID 1756 wrote to memory of 896 1756 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 1756 wrote to memory of 896 1756 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 1756 wrote to memory of 896 1756 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 1756 wrote to memory of 896 1756 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 1756 wrote to memory of 948 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 948 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 948 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 948 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1056 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1056 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1056 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1056 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 1756 wrote to memory of 1204 1756 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Folha de dados de cotação para nossa empresa doc.exe"C:\Users\Admin\AppData\Local\Temp\Folha de dados de cotação para nossa empresa doc.exe"1⤵
- Checks BIOS information in registry
- Maps connected drives based on registry
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\AaZxklpPqQpgW" /XML "C:\Users\Admin\AppData\Local\Temp\tmp674C.tmp"2⤵
- Creates scheduled task(s)
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmp674C.tmpFilesize
1KB
MD51995f1d81967e0d587a356ccc9dcc517
SHA12adc2b0175cc4fc824a7901698e461eda4dbff86
SHA25697c32986dac1168ede4070210ace0e0ecd46bab537eb8d9b8737f9df22cd4a6e
SHA51224f05810da6fd4aeb4b6a65b33144df7b9cc975827e89d345259652f2b1f5a1c71e2c84f45457a0e2be1395aeffb6b5b111b011e117a4cb154ac77faca131b18
-
memory/896-56-0x0000000000000000-mapping.dmp
-
memory/1204-61-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-58-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-59-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-62-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-64-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-65-0x000000000041E792-mapping.dmp
-
memory/1204-67-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-69-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/1204-71-0x00000000748C0000-0x0000000074E6B000-memory.dmpFilesize
5.7MB
-
memory/1204-72-0x0000000002216000-0x0000000002227000-memory.dmpFilesize
68KB
-
memory/1756-55-0x00000000748C0000-0x0000000074E6B000-memory.dmpFilesize
5.7MB
-
memory/1756-54-0x00000000753B1000-0x00000000753B3000-memory.dmpFilesize
8KB