Overview

overview

10

Static

static

023f69ef6d...10.exe

windows7_x64

10

023f69ef6d...10.exe

windows10-2004_x64

10

Analysis

  • max time kernel
    153s
  • max time network
    159s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220414-en
  • submitted
    28-05-2022 05:35

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    023f69ef6dae03563d033b53730b56c53cedcb376d253ada613fd98c9a9ee010.exe

  • Size

    314KB

  • MD5

    35c571a5e2465bd7d7b8c3e3eca4eaed

  • SHA1

    0e8ebcd8d1042a5f2d59c6439051dda41675e972

  • SHA256

    023f69ef6dae03563d033b53730b56c53cedcb376d253ada613fd98c9a9ee010

  • SHA512

    7c609be2fd889297d02581a21fe2560873373feb95545d77b385317da434ee20688b8891bf3bc1394210cf75b89fd543d477b6a34a4dfa4c5ef86597c05ae69d

Score
10/10
dharmapersistenceransomware

Malware Config

Signatures

  • Dharma

    Dharma is a ransomware that uses security software installation to hide malicious activities.

    ransomwaredharma
  • Deletes shadow copies 2 TTPs

    Ransomware often targets backup files to inhibit system recovery.

    ransomware
  • Drops startup file 1 IoCs
  • Adds Run key to start application 2 TTPs 1 IoCs
    persistence
  • Drops desktop.ini file(s) 3 IoCs
  • Drops file in System32 directory 1 IoCs
  • Drops file in Program Files directory 64 IoCs
  • Program crash 40 IoCs
  • Interacts with shadow copies 2 TTPs 1 IoCs

    Shadow copies are often targeted by ransomware to inhibit system recovery.

    ransomware
  • Suspicious behavior: EnumeratesProcesses 64 IoCs
  • Suspicious use of AdjustPrivilegeToken 3 IoCs
  • Suspicious use of WriteProcessMemory 6 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\023f69ef6dae03563d033b53730b56c53cedcb376d253ada613fd98c9a9ee010.exe
    "C:\Users\Admin\AppData\Local\Temp\023f69ef6dae03563d033b53730b56c53cedcb376d253ada613fd98c9a9ee010.exe"
    1⤵
    • Drops startup file
    • Adds Run key to start application
    • Drops desktop.ini file(s)
    • Drops file in System32 directory
    • Drops file in Program Files directory
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of WriteProcessMemory
    PID:3304
    • C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:1216
      • C:\Windows\system32\mode.com
        mode con cp select=1251
        3⤵
          PID:4652
        • C:\Windows\system32\vssadmin.exe
          vssadmin delete shadows /all /quiet
          3⤵
          • Interacts with shadow copies
          PID:3580
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 520
        2⤵
        • Program crash
        PID:4456
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 540
        2⤵
        • Program crash
        PID:1104
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 568
        2⤵
        • Program crash
        PID:1836
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 588
        2⤵
        • Program crash
        PID:2416
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 576
        2⤵
        • Program crash
        PID:3148
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 576
        2⤵
        • Program crash
        PID:3164
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 628
        2⤵
        • Program crash
        PID:4956
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 660
        2⤵
        • Program crash
        PID:3756
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 720
        2⤵
        • Program crash
        PID:4136
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 740
        2⤵
        • Program crash
        PID:460
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 672
        2⤵
        • Program crash
        PID:2296
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 660
        2⤵
        • Program crash
        PID:3620
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 760
        2⤵
        • Program crash
        PID:1840
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 776
        2⤵
        • Program crash
        PID:1520
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 812
        2⤵
        • Program crash
        PID:3308
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 780
        2⤵
        • Program crash
        PID:2168
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 776
        2⤵
        • Program crash
        PID:3824
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 812
        2⤵
        • Program crash
        PID:4140
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 844
        2⤵
        • Program crash
        PID:3808
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 848
        2⤵
        • Program crash
        PID:3332
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 860
        2⤵
        • Program crash
        PID:4128
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 868
        2⤵
        • Program crash
        PID:3688
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 840
        2⤵
        • Program crash
        PID:1540
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 856
        2⤵
        • Program crash
        PID:1548
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 764
        2⤵
        • Program crash
        PID:4368
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 768
        2⤵
        • Program crash
        PID:4932
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 796
        2⤵
        • Program crash
        PID:4564
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 768
        2⤵
        • Program crash
        PID:4836
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 776
        2⤵
        • Program crash
        PID:4616
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 768
        2⤵
        • Program crash
        PID:276
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 756
        2⤵
        • Program crash
        PID:4348
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 872
        2⤵
        • Program crash
        PID:3920
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 896
        2⤵
        • Program crash
        PID:2400
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 864
        2⤵
        • Program crash
        PID:5084
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 856
        2⤵
        • Program crash
        PID:5056
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 900
        2⤵
        • Program crash
        PID:3912
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 972
        2⤵
        • Program crash
        PID:4280
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 948
        2⤵
        • Program crash
        PID:4600
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 960
        2⤵
        • Program crash
        PID:1520
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 3304 -s 1012
        2⤵
        • Program crash
        PID:832
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 3304 -ip 3304
      1⤵
        PID:4636
      • C:\Windows\system32\vssvc.exe
        C:\Windows\system32\vssvc.exe
        1⤵
        • Suspicious use of AdjustPrivilegeToken
        PID:448
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 184 -p 3304 -ip 3304
        1⤵
          PID:1452
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 3304 -ip 3304
          1⤵
            PID:3180
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 3304 -ip 3304
            1⤵
              PID:3916
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 184 -p 3304 -ip 3304
              1⤵
                PID:2960
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 3304 -ip 3304
                1⤵
                  PID:1032
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 464 -p 3304 -ip 3304
                  1⤵
                    PID:440
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 3304 -ip 3304
                    1⤵
                      PID:2684
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 3304 -ip 3304
                      1⤵
                        PID:3600
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 3304 -ip 3304
                        1⤵
                          PID:2292
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 3304 -ip 3304
                          1⤵
                            PID:3880
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 3304 -ip 3304
                            1⤵
                              PID:732
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 3304 -ip 3304
                              1⤵
                                PID:4124
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 560 -p 3304 -ip 3304
                                1⤵
                                  PID:4112
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 572 -p 3304 -ip 3304
                                  1⤵
                                    PID:2412
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 3304 -ip 3304
                                    1⤵
                                      PID:1920
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 580 -p 3304 -ip 3304
                                      1⤵
                                        PID:3640
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 3304 -ip 3304
                                        1⤵
                                          PID:3816
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 3304 -ip 3304
                                          1⤵
                                            PID:3796
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 596 -p 3304 -ip 3304
                                            1⤵
                                              PID:4356
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 3304 -ip 3304
                                              1⤵
                                                PID:2024
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 592 -p 3304 -ip 3304
                                                1⤵
                                                  PID:4948
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 3304 -ip 3304
                                                  1⤵
                                                    PID:2344
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 3304 -ip 3304
                                                    1⤵
                                                      PID:5064
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 3304 -ip 3304
                                                      1⤵
                                                        PID:444
                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 3304 -ip 3304
                                                        1⤵
                                                          PID:2560
                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 3304 -ip 3304
                                                          1⤵
                                                            PID:2448
                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 3304 -ip 3304
                                                            1⤵
                                                              PID:4556
                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 580 -p 3304 -ip 3304
                                                              1⤵
                                                                PID:3320
                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 3304 -ip 3304
                                                                1⤵
                                                                  PID:1072
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 3304 -ip 3304
                                                                  1⤵
                                                                    PID:4420
                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 3304 -ip 3304
                                                                    1⤵
                                                                      PID:4432
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 3304 -ip 3304
                                                                      1⤵
                                                                        PID:2688
                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 3304 -ip 3304
                                                                        1⤵
                                                                          PID:4352
                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 580 -p 3304 -ip 3304
                                                                          1⤵
                                                                            PID:3588
                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 564 -p 3304 -ip 3304
                                                                            1⤵
                                                                              PID:460
                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 3304 -ip 3304
                                                                              1⤵
                                                                                PID:1276
                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 564 -p 3304 -ip 3304
                                                                                1⤵
                                                                                  PID:4852
                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 612 -p 3304 -ip 3304
                                                                                  1⤵
                                                                                    PID:4112
                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 3304 -ip 3304
                                                                                    1⤵
                                                                                      PID:2572
                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 3304 -ip 3304
                                                                                      1⤵
                                                                                        PID:1308

                                                                                      Network

                                                                                      MITRE ATT&CK Enterprise v6

                                                                                      Replay Monitor

                                                                                      Loading Replay Monitor...

                                                                                      Downloads

                                                                                      • memory/1216-131-0x0000000000000000-mapping.dmp

                                                                                        Download

                                                                                      • memory/3304-130-0x00000000008FA000-0x0000000000910000-memory.dmp

                                                                                        Filesize

                                                                                        88KB

                                                                                        Download

                                                                                      • memory/3304-134-0x00000000008FA000-0x0000000000910000-memory.dmp

                                                                                        Filesize

                                                                                        88KB

                                                                                        Download

                                                                                      • memory/3304-135-0x0000000002330000-0x0000000002349000-memory.dmp

                                                                                        Filesize

                                                                                        100KB

                                                                                        Download

                                                                                      • memory/3304-136-0x0000000000400000-0x00000000005FE000-memory.dmp

                                                                                        Filesize

                                                                                        2.0MB

                                                                                        Download

                                                                                      • memory/3580-133-0x0000000000000000-mapping.dmp

                                                                                        Download

                                                                                      • memory/4652-132-0x0000000000000000-mapping.dmp

                                                                                        Download