Analysis
-
max time kernel
45s -
max time network
151s -
platform
windows7_x64 -
resource
win7-20220901-en -
resource tags
arch:x64arch:x86image:win7-20220901-enlocale:en-usos:windows7-x64system -
submitted
29-09-2022 16:49
Static task
static1
Behavioral task
behavioral1
Sample
BOLETA DE CITACION SEPTIEMBRE.exe
Resource
win7-20220901-en
Behavioral task
behavioral2
Sample
BOLETA DE CITACION SEPTIEMBRE.exe
Resource
win10v2004-20220812-en
General
-
Target
BOLETA DE CITACION SEPTIEMBRE.exe
-
Size
1.8MB
-
MD5
ff034e670af40d53470dc8f1536fd58e
-
SHA1
cc48f6ec06ce2f4a5d11d4ba693413c807fb2c7d
-
SHA256
e490c0eb6beec707ee6a46816aa7b765a98a5a637f66a854948270ed06b2332a
-
SHA512
4bb24683fb06a078ff448918f4e118015d88eb03e07ee4a66cf3200e15c5eb4888fd59349102932a3048eb24371bedd1909ef42aa9ac0d1a1b19d62eff24a5d3
-
SSDEEP
49152:pHIKvoo917KPKE7xPd9gAKl1mphxF1ZQik92/hRWGQX:tx92Kb5mzr1ljPWJX
Malware Config
Extracted
asyncrat
0.5.7B
Default
dfdagreyt.duckdns.org:8091
AsyncMutex_6SI8OkPnk
-
delay
3
-
install
false
-
install_folder
%AppData%
Signatures
-
Async RAT payload 6 IoCs
Processes:
resource yara_rule behavioral1/memory/1636-65-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1636-66-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1636-67-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1636-68-0x000000000040C73E-mapping.dmp asyncrat behavioral1/memory/1636-72-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat behavioral1/memory/1636-70-0x0000000000400000-0x0000000000412000-memory.dmp asyncrat -
Adds Run key to start application 2 TTPs 1 IoCs
Processes:
BOLETA DE CITACION SEPTIEMBRE.exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\Mpqsjqn = "\"C:\\Users\\Admin\\AppData\\Roaming\\Klmgdma\\Mpqsjqn.exe\"" BOLETA DE CITACION SEPTIEMBRE.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
BOLETA DE CITACION SEPTIEMBRE.exedescription pid process target process PID 1204 set thread context of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 2 IoCs
Processes:
powershell.exeBOLETA DE CITACION SEPTIEMBRE.exepid process 1644 powershell.exe 1204 BOLETA DE CITACION SEPTIEMBRE.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
powershell.exeBOLETA DE CITACION SEPTIEMBRE.exeInstallUtil.exedescription pid process Token: SeDebugPrivilege 1644 powershell.exe Token: SeDebugPrivilege 1204 BOLETA DE CITACION SEPTIEMBRE.exe Token: SeDebugPrivilege 1636 InstallUtil.exe -
Suspicious use of WriteProcessMemory 23 IoCs
Processes:
BOLETA DE CITACION SEPTIEMBRE.exedescription pid process target process PID 1204 wrote to memory of 1644 1204 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1204 wrote to memory of 1644 1204 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1204 wrote to memory of 1644 1204 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1204 wrote to memory of 1644 1204 BOLETA DE CITACION SEPTIEMBRE.exe powershell.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1496 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe PID 1204 wrote to memory of 1636 1204 BOLETA DE CITACION SEPTIEMBRE.exe InstallUtil.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\BOLETA DE CITACION SEPTIEMBRE.exe"C:\Users\Admin\AppData\Local\Temp\BOLETA DE CITACION SEPTIEMBRE.exe"1⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMQAwAA==2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exeC:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe2⤵
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exeC:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe2⤵
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/1204-54-0x0000000001250000-0x0000000001422000-memory.dmpFilesize
1.8MB
-
memory/1204-55-0x00000000009A0000-0x0000000000A44000-memory.dmpFilesize
656KB
-
memory/1204-56-0x0000000074E41000-0x0000000074E43000-memory.dmpFilesize
8KB
-
memory/1204-57-0x0000000000DB0000-0x0000000000E42000-memory.dmpFilesize
584KB
-
memory/1636-65-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1636-62-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1636-63-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1636-66-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1636-67-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1636-68-0x000000000040C73E-mapping.dmp
-
memory/1636-72-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1636-70-0x0000000000400000-0x0000000000412000-memory.dmpFilesize
72KB
-
memory/1644-60-0x000000006F0D0000-0x000000006F67B000-memory.dmpFilesize
5.7MB
-
memory/1644-61-0x000000006F0D0000-0x000000006F67B000-memory.dmpFilesize
5.7MB
-
memory/1644-58-0x0000000000000000-mapping.dmp