Analysis
- max time kernel
215s - max time network
226s - platform
windows10-2004_x64 - resource
win10v2004-20220414-en - submitted
25/06/2022, 07:27
Static task
static1
Behavioral task
behavioral1
Sample
3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe
Resource
win7-20220414-en
windows7_x64
0 signatures
0 seconds
General
- Target 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe
- Size 191KB
- Sample220625-jagh2addd2
- SHA256 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d
- MD5 9c6d6a18cf015f54f1f4c97654f663e7
- SHA1 cfab1438f3139b63c2346a175ac66a2b58da0324
- SHA512 d2c4c9ad11b3cc331278985e01dc5991931fe91161eead6c9541a7b7bb042747d16c58bf4ac774f3916e1ade4305e437a46b0495782a11b0186ffe31adc24200
- MD5 SHA1 SHA512
Malware Config
Extracted
Family
-
gootkit
Botnet
-
2860
C2
-
adp.reevesandcompany.com
-
picturecrafting.site
Attributes
-
vendor_id
2860
Signatures
- Modifies Internet Explorer Protected Mode 1 TTPs 5 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-2632097139-1792035885-811742494-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\2500 = "3" 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe Set value (int) \REGISTRY\USER\S-1-5-21-2632097139-1792035885-811742494-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\2500 = "3" 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe Set value (int) \REGISTRY\USER\S-1-5-21-2632097139-1792035885-811742494-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\2500 = "3" 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe Set value (int) \REGISTRY\USER\S-1-5-21-2632097139-1792035885-811742494-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\2500 = "3" 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe Set value (int) \REGISTRY\USER\S-1-5-21-2632097139-1792035885-811742494-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\2500 = "3" 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe - Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 4524 wrote to memory of 1480 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 81 PID 4524 wrote to memory of 1480 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 81 PID 4524 wrote to memory of 1480 4524 3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe 81
Processes
-
C:\Users\Admin\AppData\Local\Temp\3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe"C:\Users\Admin\AppData\Local\Temp\3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe"1⤵
- Modifies Internet Explorer Protected Mode
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:4524 -
C:\Users\Admin\AppData\Local\Temp\3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exeC:\Users\Admin\AppData\Local\Temp\3e2009d1a556bcf5be30e975d83dfd938d271598435460516acc4739304a7e8d.exe --vwxyz2⤵PID:1480
-