Analysis
-
max time kernel
150s -
max time network
146s -
platform
windows10-2004_x64 -
resource
win10v2004-20220901-en -
resource tags
arch:x64arch:x86image:win10v2004-20220901-enlocale:en-usos:windows10-2004-x64system -
submitted
03/10/2022, 06:27
Static task
static1
Behavioral task
behavioral1
Sample
8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe
Resource
win7-20220812-en
windows7-x64
8 signatures
150 seconds
Behavioral task
behavioral2
Sample
8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe
Resource
win10v2004-20220901-en
windows10-2004-x64
8 signatures
150 seconds
General
-
Target
8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe
-
Size
324KB
-
MD5
6cfbeb58d6ffb6805f1fbf70ab3b6d80
-
SHA1
9de0c495097f1c5fb06db9b8f0f44c42b2b0611c
-
SHA256
8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e
-
SHA512
ab59349e724a6028ed64b5232a5dbdedff13dce993473c6699a87eb3f037dc8d79f748da1b50e97e16746ca75852f6f33f19b3356098dd1e9a2702025c735d5d
-
SSDEEP
6144:tqsKDJlGM/DPWAiKz28tnQToBgnDMMM0U:tDKDJlGM/7AT8GTMMM0U
Score
10/10
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 2 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe Set value (int) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" zueoniz.exe -
Executes dropped EXE 1 IoCs
pid Process 3408 zueoniz.exe -
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
description ioc Process Key value queried \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\Control Panel\International\Geo\Nation 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe -
Adds Run key to start application 2 TTPs 53 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /n" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /L" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /u" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /k" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /Z" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /C" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /U" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /m" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /J" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /k" 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /j" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /K" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /z" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /q" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /F" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /T" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /w" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /l" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /Q" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /A" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /g" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /i" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /H" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /x" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /o" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /O" zueoniz.exe Key created \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\Software\Microsoft\Windows\CurrentVersion\Run\ zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /e" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /R" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /a" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /f" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /I" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /d" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /c" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /S" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /Y" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /E" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /v" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /b" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /t" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /G" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /p" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /B" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /D" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /X" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /P" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /s" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /r" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /y" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /N" zueoniz.exe Key created \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\Software\Microsoft\Windows\CurrentVersion\Run\ 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /h" zueoniz.exe Set value (str) \REGISTRY\USER\S-1-5-21-929662420-1054238289-2961194603-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\zueoniz = "C:\\Users\\Admin\\zueoniz.exe /W" zueoniz.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 3728 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe 3728 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe 3408 zueoniz.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 3728 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe 3408 zueoniz.exe -
Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 3728 wrote to memory of 3408 3728 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe 83 PID 3728 wrote to memory of 3408 3728 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe 83 PID 3728 wrote to memory of 3408 3728 8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe 83
Processes
-
C:\Users\Admin\AppData\Local\Temp\8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe"C:\Users\Admin\AppData\Local\Temp\8f6042ed4a3b4e3e4cad79c827ff623e53e45ecca869ae091394bbc858f8560e.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Checks computer location settings
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:3728 -
C:\Users\Admin\zueoniz.exe"C:\Users\Admin\zueoniz.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:3408
-
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
324KB
MD555844b55adc1a3f6bcdd19a178d0ab83
SHA116960e183db42e82dfc7b7d96d05501956b4a8a6
SHA256d897beb89b3d919f803e900b687630e4c3604b184006eeeeedc3ab1a11cb0df2
SHA512eb58fba20f8ed6f2bf461be6a38c84e6c86ef8195784194e7ee648b40a548a34d33e9f407681d8c59c1dc9c30fb171a919a44e212a90e81211388a137e07f30f
-
Filesize
324KB
MD555844b55adc1a3f6bcdd19a178d0ab83
SHA116960e183db42e82dfc7b7d96d05501956b4a8a6
SHA256d897beb89b3d919f803e900b687630e4c3604b184006eeeeedc3ab1a11cb0df2
SHA512eb58fba20f8ed6f2bf461be6a38c84e6c86ef8195784194e7ee648b40a548a34d33e9f407681d8c59c1dc9c30fb171a919a44e212a90e81211388a137e07f30f