Analysis
-
max time kernel
42s -
max time network
152s -
platform
windows7_x64 -
resource
win7-20220812-en -
resource tags
arch:x64arch:x86image:win7-20220812-enlocale:en-usos:windows7-x64system -
submitted
29-09-2022 16:48
Static task
static1
Behavioral task
behavioral1
Sample
BOLETA DE CITACION SEPTIEMBRE.exe
Resource
win7-20220812-en
Behavioral task
behavioral2
Sample
BOLETA DE CITACION SEPTIEMBRE.exe
Resource
win10v2004-20220812-en
General
-
Target
BOLETA DE CITACION SEPTIEMBRE.exe
-
Size
1.8MB
-
MD5
ff034e670af40d53470dc8f1536fd58e
-
SHA1
cc48f6ec06ce2f4a5d11d4ba693413c807fb2c7d
-
SHA256
e490c0eb6beec707ee6a46816aa7b765a98a5a637f66a854948270ed06b2332a
-
SHA512
4bb24683fb06a078ff448918f4e118015d88eb03e07ee4a66cf3200e15c5eb4888fd59349102932a3048eb24371bedd1909ef42aa9ac0d1a1b19d62eff24a5d3
-
SSDEEP
49152:pHIKvoo917KPKE7xPd9gAKl1mphxF1ZQik92/hRWGQX:tx92Kb5mzr1ljPWJX
Malware Config
Extracted
asyncrat
0.5.7B
Default
dfdagreyt.duckdns.org:8091
AsyncMutex_6SI8OkPnk
-
delay
3
-
install
false
-
install_folder
%AppData%
Signatures
-
Async RAT payload 6 IoCs
Processes:
resource yara_rule behavioral1/memory/1408-65-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1408-66-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1408-67-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1408-68-0x000000000040C73E-mapping.dmp asyncrat behavioral1/memory/1408-70-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1408-72-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat -
Adds Run key to start application 2 TTPs 1 IoCs
Processes:
BOLETA DE CITACION SEPTIEMBRE.exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-2292972927-2705560509-2768824231-1000\Software\Microsoft\Windows\CurrentVersion\Run\Mpqsjqn = "\"C:\\Users\\Admin\\AppData\\Roaming\\Klmgdma\\Mpqsjqn.exe\"" BOLETA DE CITACION SEPTIEMBRE.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
BOLETA DE CITACION SEPTIEMBRE.exedescription pid process target process PID 1048 set thread context of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 1 IoCs
Processes:
powershell.exepid process 612 powershell.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
powershell.exeBOLETA DE CITACION SEPTIEMBRE.exeInstallUtil.exedescription pid process Token: SeDebugPrivilege 612 powershell.exe Token: SeDebugPrivilege 1048 BOLETA DE CITACION SEPTIEMBRE.exe Token: SeDebugPrivilege 1408 InstallUtil.exe -
Suspicious use of WriteProcessMemory 16 IoCs
Processes:
BOLETA DE CITACION SEPTIEMBRE.exedescription pid process target process PID 1048 wrote to memory of 612 1048 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1048 wrote to memory of 612 1048 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1048 wrote to memory of 612 1048 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1048 wrote to memory of 612 1048 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1048 wrote to memory of 1408 1048 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\BOLETA DE CITACION SEPTIEMBRE.exe"C:\Users\Admin\AppData\Local\Temp\BOLETA DE CITACION SEPTIEMBRE.exe"1⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMQAwAA==2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exeC:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe2⤵
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/612-58-0x0000000000000000-mapping.dmp
-
memory/612-61-0x000000006FD10000-0x00000000702BB000-memory.dmpFilesize
5.7MB
-
memory/612-60-0x000000006FD10000-0x00000000702BB000-memory.dmpFilesize
5.7MB
-
memory/1048-57-0x0000000004920000-0x00000000049B2000-memory.dmpFilesize
584KB
-
memory/1048-54-0x0000000000020000-0x00000000001F2000-memory.dmpFilesize
1.8MB
-
memory/1048-56-0x0000000076171000-0x0000000076173000-memory.dmpFilesize
8KB
-
memory/1048-55-0x0000000004340000-0x00000000043E4000-memory.dmpFilesize
656KB
-
memory/1408-62-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1408-63-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1408-65-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1408-66-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1408-67-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1408-68-0x000000000040C73E-mapping.dmp
-
memory/1408-70-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1408-72-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB