Analysis
-
max time kernel
151s -
max time network
162s -
platform
windows10-2004_x64 -
resource
win10v2004-20220414-en -
submitted
21-05-2022 12:10
Static task
static1
Behavioral task
behavioral1
Sample
Folha de dados de cotação para nossa empresa doc.exe
Resource
win7-20220414-en
General
-
Target
Folha de dados de cotação para nossa empresa doc.exe
-
Size
384KB
-
MD5
4f6289f38c2e4b763aeb64c42b0baaa9
-
SHA1
b7b2718783a2a286aa6f79ec72ce07f4ac550c24
-
SHA256
bbb434180f465363ccad24124ff5a3f326d994952fe1146c8d7b7a32bf3319f3
-
SHA512
c3476055ba0d33125553cd85a99bef91636a1d368c0bc03c884a8fd19d991a9d0fb58dc5e9a68f4678c091dfac4444448c3adf8e8b56eb994591847f548dabba
Malware Config
Extracted
nanocore
1.2.2.0
24thmatch2020.duckdns.org:5626
127.0.0.1:5626
1d5c6dc1-3b0f-4759-9757-c47b26dc4c4d
-
activate_away_mode
true
-
backup_connection_host
127.0.0.1
-
backup_dns_server
8.8.4.4
-
buffer_size
65535
-
build_time
2020-04-05T07:10:58.206265736Z
-
bypass_user_account_control
true
- bypass_user_account_control_data
-
clear_access_control
true
-
clear_zone_identifier
true
-
connect_delay
4000
-
connection_port
5626
-
default_group
24thMarch
-
enable_debug_mode
true
-
gc_threshold
1.048576e+07
-
keep_alive_timeout
30000
-
keyboard_logging
false
-
lan_timeout
2500
-
max_packet_size
1.048576e+07
-
mutex
1d5c6dc1-3b0f-4759-9757-c47b26dc4c4d
-
mutex_timeout
5000
-
prevent_system_sleep
true
-
primary_connection_host
24thmatch2020.duckdns.org
-
primary_dns_server
8.8.8.8
-
request_elevation
true
-
restart_delay
5000
-
run_delay
0
-
run_on_startup
true
-
set_critical_process
true
-
timeout_interval
5000
-
use_custom_dns_server
false
-
version
1.2.2.0
-
wan_timeout
8000
Signatures
-
Looks for VirtualBox Guest Additions in registry 2 TTPs
-
Looks for VMWare Tools registry key 2 TTPs
-
Checks BIOS information in registry 2 TTPs 2 IoCs
BIOS information is often read in order to detect sandboxing environments.
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription ioc process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion Folha de dados de cotação para nossa empresa doc.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion Folha de dados de cotação para nossa empresa doc.exe -
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription ioc process Key value queried \REGISTRY\USER\S-1-5-21-1081944012-3634099177-1681222835-1000\Control Panel\International\Geo\Nation Folha de dados de cotação para nossa empresa doc.exe -
Maps connected drives based on registry 3 TTPs 2 IoCs
Disk information is often read in order to detect sandboxing environments.
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription ioc process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum Folha de dados de cotação para nossa empresa doc.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\disk\Enum\0 Folha de dados de cotação para nossa empresa doc.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription pid process target process PID 4824 set thread context of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Creates scheduled task(s) 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
-
Suspicious behavior: EnumeratesProcesses 6 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exeMSBuild.exepid process 4824 Folha de dados de cotação para nossa empresa doc.exe 4824 Folha de dados de cotação para nossa empresa doc.exe 4824 Folha de dados de cotação para nossa empresa doc.exe 3412 MSBuild.exe 3412 MSBuild.exe 3412 MSBuild.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
Processes:
MSBuild.exepid process 3412 MSBuild.exe -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exeMSBuild.exedescription pid process Token: SeDebugPrivilege 4824 Folha de dados de cotação para nossa empresa doc.exe Token: SeDebugPrivilege 3412 MSBuild.exe -
Suspicious use of WriteProcessMemory 14 IoCs
Processes:
Folha de dados de cotação para nossa empresa doc.exedescription pid process target process PID 4824 wrote to memory of 4864 4824 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 4824 wrote to memory of 4864 4824 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 4824 wrote to memory of 4864 4824 Folha de dados de cotação para nossa empresa doc.exe schtasks.exe PID 4824 wrote to memory of 4376 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 4376 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 4376 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe PID 4824 wrote to memory of 3412 4824 Folha de dados de cotação para nossa empresa doc.exe MSBuild.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Folha de dados de cotação para nossa empresa doc.exe"C:\Users\Admin\AppData\Local\Temp\Folha de dados de cotação para nossa empresa doc.exe"1⤵
- Checks BIOS information in registry
- Checks computer location settings
- Maps connected drives based on registry
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\ixhpELYlqfCTYq" /XML "C:\Users\Admin\AppData\Local\Temp\tmp9064.tmp"2⤵
- Creates scheduled task(s)
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
-
C:\Windows\Microsoft.NET\Framework\v2.0.50727\MSBuild.exe"{path}"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\tmp9064.tmpFilesize
1KB
MD516de9bb4acfd2e932046922a5ff77a67
SHA1fb1234383b84fa57260150929a44d6b78b480256
SHA2565b2f34c85901efe8c5ff6998d11c8fee6bcc83b0ced49d0d027d9882c6223236
SHA512d7345133b381fe4ed6bfb0918224126f91bf14a7d225cf0a832bf4a563c742da5736078adeb76946ab51f1a58d3ca5379f570f5aa92b6a8eab2302fc40678133
-
memory/3412-134-0x0000000000000000-mapping.dmp
-
memory/3412-135-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/3412-136-0x0000000074A40000-0x0000000074FF1000-memory.dmpFilesize
5.7MB
-
memory/4376-133-0x0000000000000000-mapping.dmp
-
memory/4824-130-0x0000000074A40000-0x0000000074FF1000-memory.dmpFilesize
5.7MB
-
memory/4864-131-0x0000000000000000-mapping.dmp