Analysis
-
max time kernel
154s -
max time network
167s -
platform
windows10-2004_x64 -
resource
win10v2004-20220812-en -
resource tags
arch:x64arch:x86image:win10v2004-20220812-enlocale:en-usos:windows10-2004-x64system -
submitted
03/10/2022, 03:16
Static task
static1
Behavioral task
behavioral1
Sample
591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe
Resource
win7-20220812-en
windows7-x64
8 signatures
150 seconds
Behavioral task
behavioral2
Sample
591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe
Resource
win10v2004-20220812-en
windows10-2004-x64
8 signatures
150 seconds
General
-
Target
591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe
-
Size
140KB
-
MD5
6a1295f7431ae4fd2aec4ecef5b3951d
-
SHA1
19849b71026e3292170fd3dc853ebe89fdf0cf73
-
SHA256
591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2
-
SHA512
bfd74c0e1e5eb0853722010a6b2cfcfbf1b23b622914ea2bd4b3d394e08b38c3e7922676acd776b26dd563d991578cda2ba8ebfb1311339427c1b9839a49edf0
-
SSDEEP
1536:T+6Qe6VtKEeYAcANSU+MNG5ipzqNbCa34YaI77UsMJn1ogCnzqLcTJLO01DvqKWt:XZeKBYnAz4R77UsMJn1o9fG+O7
Score
10/10
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 2 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe Set value (int) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" vqzoej.exe -
Executes dropped EXE 1 IoCs
pid Process 596 vqzoej.exe -
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
description ioc Process Key value queried \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\Control Panel\International\Geo\Nation 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe -
Adds Run key to start application 2 TTPs 29 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /q" vqzoej.exe Key created \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\Software\Microsoft\Windows\CurrentVersion\Run\ 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /r" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /k" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /u" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /g" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /s" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /v" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /y" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /p" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /t" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /w" 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe Key created \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\Software\Microsoft\Windows\CurrentVersion\Run\ vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /b" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /i" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /x" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /o" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /c" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /h" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /j" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /n" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /a" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /m" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /z" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /f" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /w" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /l" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /e" vqzoej.exe Set value (str) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vqzoej = "C:\\Users\\Admin\\vqzoej.exe /d" vqzoej.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe 596 vqzoej.exe -
Suspicious use of SetWindowsHookEx 4 IoCs
pid Process 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 596 vqzoej.exe 596 vqzoej.exe -
Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 4032 wrote to memory of 596 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 81 PID 4032 wrote to memory of 596 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 81 PID 4032 wrote to memory of 596 4032 591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe 81
Processes
-
C:\Users\Admin\AppData\Local\Temp\591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe"C:\Users\Admin\AppData\Local\Temp\591101842e9faed8384a27c3596974763c78604bcc54e847d444aaa7dfbdccf2.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Checks computer location settings
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:4032 -
C:\Users\Admin\vqzoej.exe"C:\Users\Admin\vqzoej.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:596
-
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
140KB
MD56a2a413443620b51bbe18ae6a3d2f29b
SHA1c93d4ba6218b770281261d5e1ae7f898cc666450
SHA256917309d1f206240a65ae0396456e5bbf183dd11d8f8269d3414a6172e49ff825
SHA512ae2469c32ada3f09c528bd7938636ef009d43e9bafc177883281422f34a0b99e1cc67dc31b6ddd851f0d3f65d4140f2c9d0650b2df82cb6b6ffc612e52f94538
-
Filesize
140KB
MD56a2a413443620b51bbe18ae6a3d2f29b
SHA1c93d4ba6218b770281261d5e1ae7f898cc666450
SHA256917309d1f206240a65ae0396456e5bbf183dd11d8f8269d3414a6172e49ff825
SHA512ae2469c32ada3f09c528bd7938636ef009d43e9bafc177883281422f34a0b99e1cc67dc31b6ddd851f0d3f65d4140f2c9d0650b2df82cb6b6ffc612e52f94538