Analysis
-
max time kernel
150s -
max time network
49s -
platform
windows7_x64 -
resource
win7-20220901-en -
resource tags
arch:x64arch:x86image:win7-20220901-enlocale:en-usos:windows7-x64system -
submitted
02/10/2022, 15:33
Static task
static1
Behavioral task
behavioral1
Sample
c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe
Resource
win7-20220901-en
windows7-x64
8 signatures
150 seconds
Behavioral task
behavioral2
Sample
c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe
Resource
win10v2004-20220812-en
windows10-2004-x64
8 signatures
150 seconds
General
-
Target
c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe
-
Size
244KB
-
MD5
6fe635101c73889aca1e52167f80f7ff
-
SHA1
08971f64e91087aa061d02c1c7c81cc638b8fe72
-
SHA256
c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e
-
SHA512
c8401082735d5ae84a06350daa91e1598badf4ccd431f3bffcf69fc04a214d1f3167307ac694123a8d7cc4462359c421730b7e2ae004b7030745facd34db11a4
-
SSDEEP
3072:KjiMHAO8qeMcy1imsW7A0g3XDYHYTvZm3ov5Q4/cMIVH5bEvhSSqeLSqnjqEs:ENgYeFy1imdJgc4s2QRhH5IXs
Score
10/10
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 2 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe Set value (int) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" quuipol.exe -
Executes dropped EXE 1 IoCs
pid Process 644 quuipol.exe -
Loads dropped DLL 2 IoCs
pid Process 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe -
Adds Run key to start application 2 TTPs 29 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /n" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /t" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /f" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /y" quuipol.exe Key created \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\ c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /y" c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /g" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /x" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /i" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /o" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /r" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /m" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /k" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /s" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /j" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /c" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /q" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /u" quuipol.exe Key created \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\ quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /b" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /a" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /v" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /e" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /l" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /w" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /h" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /z" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /p" quuipol.exe Set value (str) \REGISTRY\USER\S-1-5-21-4063495947-34355257-727531523-1000\Software\Microsoft\Windows\CurrentVersion\Run\quuipol = "C:\\Users\\Admin\\quuipol.exe /d" quuipol.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe 644 quuipol.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 644 quuipol.exe -
Suspicious use of WriteProcessMemory 4 IoCs
description pid Process procid_target PID 2032 wrote to memory of 644 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 27 PID 2032 wrote to memory of 644 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 27 PID 2032 wrote to memory of 644 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 27 PID 2032 wrote to memory of 644 2032 c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe 27
Processes
-
C:\Users\Admin\AppData\Local\Temp\c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe"C:\Users\Admin\AppData\Local\Temp\c1bd32ee8288d783ffb8f2ea7f535f509d8d687966b5abef8f364f45c076627e.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Loads dropped DLL
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2032 -
C:\Users\Admin\quuipol.exe"C:\Users\Admin\quuipol.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:644
-
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
244KB
MD5e07e6c634c07ad469aace6d297ab5767
SHA1032a973b96b730e131f61086a7a1eab869231f3d
SHA2566f26e5f9505e91172146de61b8fa61fe9b16f9584bb62efdf8f092f2dcef2e6a
SHA512dccb4e370f7cf9762331c64cb88ca4d2b7adfc86af58615cc3df662e84eedb30e2ed3b63a0441e060d744c986ecdd8d7c5d12678779f4384afeefe91b85210eb
-
Filesize
244KB
MD5e07e6c634c07ad469aace6d297ab5767
SHA1032a973b96b730e131f61086a7a1eab869231f3d
SHA2566f26e5f9505e91172146de61b8fa61fe9b16f9584bb62efdf8f092f2dcef2e6a
SHA512dccb4e370f7cf9762331c64cb88ca4d2b7adfc86af58615cc3df662e84eedb30e2ed3b63a0441e060d744c986ecdd8d7c5d12678779f4384afeefe91b85210eb
-
Filesize
244KB
MD5e07e6c634c07ad469aace6d297ab5767
SHA1032a973b96b730e131f61086a7a1eab869231f3d
SHA2566f26e5f9505e91172146de61b8fa61fe9b16f9584bb62efdf8f092f2dcef2e6a
SHA512dccb4e370f7cf9762331c64cb88ca4d2b7adfc86af58615cc3df662e84eedb30e2ed3b63a0441e060d744c986ecdd8d7c5d12678779f4384afeefe91b85210eb
-
Filesize
244KB
MD5e07e6c634c07ad469aace6d297ab5767
SHA1032a973b96b730e131f61086a7a1eab869231f3d
SHA2566f26e5f9505e91172146de61b8fa61fe9b16f9584bb62efdf8f092f2dcef2e6a
SHA512dccb4e370f7cf9762331c64cb88ca4d2b7adfc86af58615cc3df662e84eedb30e2ed3b63a0441e060d744c986ecdd8d7c5d12678779f4384afeefe91b85210eb