Overview

overview

10

Static

static

18ba862c1a...5c.exe

windows7_x64

10

18ba862c1a...5c.exe

windows10-2004_x64

10

Analysis

  • max time kernel
    62s
  • max time network
    200s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220414-en
  • submitted
    23-05-2022 21:07

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    18ba862c1a283c5038b02bbe84b904930ccb8d7a168f20d40b4ce5ed5427635c.exe

  • Size

    290KB

  • MD5

    dc942bea79a81738046c66c1e5add4aa

  • SHA1

    c2755f5165c93acb708e8e485fcfbadd1125049e

  • SHA256

    18ba862c1a283c5038b02bbe84b904930ccb8d7a168f20d40b4ce5ed5427635c

  • SHA512

    bb067c86eb1abff78d0e207da4de4aad80314410021e52d148d01491b85ca3da5f40c294a8bcbec6d2dad6f5395fc5fe4e29fd6a820bdf8398d1012749b12e54

Score
10/10
dharmapersistenceransomware

Malware Config

Signatures

  • Dharma

    Dharma is a ransomware that uses security software installation to hide malicious activities.

    ransomwaredharma
  • Deletes shadow copies 2 TTPs

    Ransomware often targets backup files to inhibit system recovery.

    ransomware
  • Drops startup file 1 IoCs
  • Adds Run key to start application 2 TTPs 1 IoCs
    persistence
  • Drops desktop.ini file(s) 2 IoCs
  • Drops file in System32 directory 1 IoCs
  • Drops file in Program Files directory 64 IoCs
  • Program crash 42 IoCs
  • Interacts with shadow copies 2 TTPs 1 IoCs

    Shadow copies are often targeted by ransomware to inhibit system recovery.

    ransomware
  • Suspicious behavior: EnumeratesProcesses 64 IoCs
  • Suspicious use of AdjustPrivilegeToken 3 IoCs
  • Suspicious use of WriteProcessMemory 6 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\18ba862c1a283c5038b02bbe84b904930ccb8d7a168f20d40b4ce5ed5427635c.exe
    "C:\Users\Admin\AppData\Local\Temp\18ba862c1a283c5038b02bbe84b904930ccb8d7a168f20d40b4ce5ed5427635c.exe"
    1⤵
    • Drops startup file
    • Adds Run key to start application
    • Drops desktop.ini file(s)
    • Drops file in System32 directory
    • Drops file in Program Files directory
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of WriteProcessMemory
    PID:4200
    • C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:4360
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 504
      2⤵
      • Program crash
      PID:2076
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 540
      2⤵
      • Program crash
      PID:4220
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 536
      2⤵
      • Program crash
      PID:1672
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 572
      2⤵
      • Program crash
      PID:2516
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 580
      2⤵
      • Program crash
      PID:4776
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 584
      2⤵
      • Program crash
      PID:704
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 536
      2⤵
      • Program crash
      PID:3676
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 696
      2⤵
      • Program crash
      PID:1708
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 660
      2⤵
      • Program crash
      PID:4640
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 708
      2⤵
      • Program crash
      PID:4624
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 716
      2⤵
      • Program crash
      PID:3740
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 744
      2⤵
      • Program crash
      PID:1788
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 728
      2⤵
      • Program crash
      PID:3608
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 736
      2⤵
      • Program crash
      PID:2772
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 768
      2⤵
      • Program crash
      PID:4592
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 800
      2⤵
      • Program crash
      PID:1952
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 828
      2⤵
      • Program crash
      PID:1140
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 772
      2⤵
      • Program crash
      PID:2868
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 720
      2⤵
      • Program crash
      PID:2144
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 912
      2⤵
      • Program crash
      PID:4324
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 904
      2⤵
      • Program crash
      PID:3644
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 860
      2⤵
      • Program crash
      PID:2912
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 884
      2⤵
      • Program crash
      PID:4008
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 880
      2⤵
      • Program crash
      PID:1716
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 808
      2⤵
      • Program crash
      PID:4216
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 832
      2⤵
      • Program crash
      PID:284
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 836
      2⤵
      • Program crash
      PID:2960
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 916
      2⤵
      • Program crash
      PID:1448
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 740
      2⤵
      • Program crash
      PID:4484
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 916
      2⤵
      • Program crash
      PID:436
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 904
      2⤵
      • Program crash
      PID:4816
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 988
      2⤵
      • Program crash
      PID:2256
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 756
      2⤵
      • Program crash
      PID:4420
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 744
      2⤵
      • Program crash
      PID:4492
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 1008
      2⤵
      • Program crash
      PID:3972
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 952
      2⤵
      • Program crash
      PID:4488
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 888
      2⤵
      • Program crash
      PID:3348
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 768
      2⤵
      • Program crash
      PID:2908
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 1012
      2⤵
      • Program crash
      PID:3980
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 856
      2⤵
      • Program crash
      PID:3016
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 844
      2⤵
      • Program crash
      PID:1560
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4200 -s 648
      2⤵
      • Program crash
      PID:2996
  • C:\Windows\system32\mode.com
    mode con cp select=1251
    1⤵
      PID:4868
    • C:\Windows\system32\vssvc.exe
      C:\Windows\system32\vssvc.exe
      1⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:4248
    • C:\Windows\system32\vssadmin.exe
      vssadmin delete shadows /all /quiet
      1⤵
      • Interacts with shadow copies
      PID:4212
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 4200 -ip 4200
      1⤵
        PID:4284
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4200 -ip 4200
        1⤵
          PID:2964
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4200 -ip 4200
          1⤵
            PID:3772
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 4200 -ip 4200
            1⤵
              PID:4192
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 448 -p 4200 -ip 4200
              1⤵
                PID:4748
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 184 -p 4200 -ip 4200
                1⤵
                  PID:1912
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4200 -ip 4200
                  1⤵
                    PID:1076
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4200 -ip 4200
                    1⤵
                      PID:3852
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 4200 -ip 4200
                      1⤵
                        PID:1976
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 564 -p 4200 -ip 4200
                        1⤵
                          PID:4800
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4200 -ip 4200
                          1⤵
                            PID:1344
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 572 -p 4200 -ip 4200
                            1⤵
                              PID:3436
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 4200 -ip 4200
                              1⤵
                                PID:3632
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 628 -p 4200 -ip 4200
                                1⤵
                                  PID:3492
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 636 -p 4200 -ip 4200
                                  1⤵
                                    PID:4736
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 4200 -ip 4200
                                    1⤵
                                      PID:1840
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 4200 -ip 4200
                                      1⤵
                                        PID:780
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 636 -p 4200 -ip 4200
                                        1⤵
                                          PID:4888
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 4200 -ip 4200
                                          1⤵
                                            PID:1244
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 4200 -ip 4200
                                            1⤵
                                              PID:3400
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 636 -p 4200 -ip 4200
                                              1⤵
                                                PID:4660
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 4200 -ip 4200
                                                1⤵
                                                  PID:2008
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 620 -p 4200 -ip 4200
                                                  1⤵
                                                    PID:1044
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 636 -p 4200 -ip 4200
                                                    1⤵
                                                      PID:2492
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 572 -p 4200 -ip 4200
                                                      1⤵
                                                        PID:4400
                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 620 -p 4200 -ip 4200
                                                        1⤵
                                                          PID:280
                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 4200 -ip 4200
                                                          1⤵
                                                            PID:4184
                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 596 -p 4200 -ip 4200
                                                            1⤵
                                                              PID:2448
                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 572 -p 4200 -ip 4200
                                                              1⤵
                                                                PID:2052
                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 4200 -ip 4200
                                                                1⤵
                                                                  PID:1276
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 4200 -ip 4200
                                                                  1⤵
                                                                    PID:3924
                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 4200 -ip 4200
                                                                    1⤵
                                                                      PID:392
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 4200 -ip 4200
                                                                      1⤵
                                                                        PID:4804
                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 4200 -ip 4200
                                                                        1⤵
                                                                          PID:1920
                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 4200 -ip 4200
                                                                          1⤵
                                                                            PID:1708
                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 608 -p 4200 -ip 4200
                                                                            1⤵
                                                                              PID:5060
                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 588 -p 4200 -ip 4200
                                                                              1⤵
                                                                                PID:1368
                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4200 -ip 4200
                                                                                1⤵
                                                                                  PID:1236
                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 560 -p 4200 -ip 4200
                                                                                  1⤵
                                                                                    PID:1788
                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 620 -p 4200 -ip 4200
                                                                                    1⤵
                                                                                      PID:4896
                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4200 -ip 4200
                                                                                      1⤵
                                                                                        PID:2872
                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4200 -ip 4200
                                                                                        1⤵
                                                                                          PID:4076

                                                                                        Network

                                                                                        MITRE ATT&CK Enterprise v6

                                                                                        Replay Monitor

                                                                                        Loading Replay Monitor...

                                                                                        Downloads

                                                                                        • memory/4200-130-0x000000000067B000-0x0000000000690000-memory.dmp

                                                                                          Filesize

                                                                                          84KB

                                                                                          Download

                                                                                        • memory/4200-135-0x00000000001C0000-0x00000000001D9000-memory.dmp

                                                                                          Filesize

                                                                                          100KB

                                                                                          Download

                                                                                        • memory/4200-136-0x0000000000400000-0x000000000045D000-memory.dmp

                                                                                          Filesize

                                                                                          372KB

                                                                                          Download

                                                                                        • memory/4200-134-0x000000000067B000-0x0000000000690000-memory.dmp

                                                                                          Filesize

                                                                                          84KB

                                                                                          Download

                                                                                        • memory/4212-133-0x0000000000000000-mapping.dmp

                                                                                          Download

                                                                                        • memory/4360-131-0x0000000000000000-mapping.dmp

                                                                                          Download

                                                                                        • memory/4868-132-0x0000000000000000-mapping.dmp

                                                                                          Download