Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
150s -
max time network
152s -
platform
windows7_x64 -
resource
win7-20220812-en -
resource tags
arch:x64arch:x86image:win7-20220812-enlocale:en-usos:windows7-x64system -
submitted
08/10/2022, 15:51
Static task
static1
Behavioral task
behavioral1
Sample
211325afecc4756847d5964f312e0a56.exe
Resource
win7-20220812-en
Behavioral task
behavioral2
Sample
211325afecc4756847d5964f312e0a56.exe
Resource
win10v2004-20220812-en
General
-
Target
211325afecc4756847d5964f312e0a56.exe
-
Size
1.1MB
-
MD5
211325afecc4756847d5964f312e0a56
-
SHA1
c3479dcf0edf80bf3549c63c403e0b6c2d38e1dc
-
SHA256
1cc62bcf5d8ec1beb8d7414e95aac964b31d0fcdca01f5dabfbd979ba7f44ad9
-
SHA512
4baa3170c5d2462f48912b201493ea1c938aa8d946b9578543035e8592196c83fce4a15f0f7233e25c6302a900b4e47cc7dd83594e7d06fdac3a93a220b1a9eb
-
SSDEEP
24576:DRSs5A7kY+1Bk6BJsOIbBBp2XyHTiYuRLwOvIYtZ:DxA7d+1Bk6pI1BAyZuRLEg
Malware Config
Extracted
njrat
im523
hackmine141
6.tcp.eu.ngrok.io:16211
85da80f4a8dee96549d096ddac33fdf4
-
reg_key
85da80f4a8dee96549d096ddac33fdf4
-
splitter
|'|'|
Signatures
-
Executes dropped EXE 1 IoCs
pid Process 2040 Читы на майнкрафт.exe -
Modifies Windows Firewall 1 TTPs 1 IoCs
pid Process 1720 netsh.exe -
Drops startup file 2 IoCs
description ioc Process File created C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\85da80f4a8dee96549d096ddac33fdf4.exe Читы на майнкрафт.exe File opened for modification C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\85da80f4a8dee96549d096ddac33fdf4.exe Читы на майнкрафт.exe -
Loads dropped DLL 1 IoCs
pid Process 1476 211325afecc4756847d5964f312e0a56.exe -
Adds Run key to start application 2 TTPs 2 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\85da80f4a8dee96549d096ddac33fdf4 = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\Читы на майнкрафт.exe\" .." Читы на майнкрафт.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\85da80f4a8dee96549d096ddac33fdf4 = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\Читы на майнкрафт.exe\" .." Читы на майнкрафт.exe -
Drops autorun.inf file 1 TTPs 3 IoCs
Malware can abuse Windows Autorun to spread further via attached volumes.
description ioc Process File created C:\autorun.inf Читы на майнкрафт.exe File opened for modification C:\autorun.inf Читы на майнкрафт.exe File created D:\autorun.inf Читы на майнкрафт.exe -
Suspicious use of NtSetInformationThreadHideFromDebugger 11 IoCs
pid Process 1476 211325afecc4756847d5964f312e0a56.exe 1476 211325afecc4756847d5964f312e0a56.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1476 211325afecc4756847d5964f312e0a56.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe 2040 Читы на майнкрафт.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 2040 Читы на майнкрафт.exe -
Suspicious use of AdjustPrivilegeToken 19 IoCs
description pid Process Token: SeDebugPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe Token: 33 2040 Читы на майнкрафт.exe Token: SeIncBasePriorityPrivilege 2040 Читы на майнкрафт.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 1476 211325afecc4756847d5964f312e0a56.exe 2040 Читы на майнкрафт.exe -
Suspicious use of WriteProcessMemory 8 IoCs
description pid Process procid_target PID 1476 wrote to memory of 2040 1476 211325afecc4756847d5964f312e0a56.exe 27 PID 1476 wrote to memory of 2040 1476 211325afecc4756847d5964f312e0a56.exe 27 PID 1476 wrote to memory of 2040 1476 211325afecc4756847d5964f312e0a56.exe 27 PID 1476 wrote to memory of 2040 1476 211325afecc4756847d5964f312e0a56.exe 27 PID 2040 wrote to memory of 1720 2040 Читы на майнкрафт.exe 28 PID 2040 wrote to memory of 1720 2040 Читы на майнкрафт.exe 28 PID 2040 wrote to memory of 1720 2040 Читы на майнкрафт.exe 28 PID 2040 wrote to memory of 1720 2040 Читы на майнкрафт.exe 28
Processes
-
C:\Users\Admin\AppData\Local\Temp\211325afecc4756847d5964f312e0a56.exe"C:\Users\Admin\AppData\Local\Temp\211325afecc4756847d5964f312e0a56.exe"1⤵
- Loads dropped DLL
- Suspicious use of NtSetInformationThreadHideFromDebugger
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1476 -
C:\Users\Admin\AppData\Local\Temp\Читы РЅР° майнкрафт.exe"C:\Users\Admin\AppData\Local\Temp\Читы РЅР° майнкрафт.exe"2⤵
- Executes dropped EXE
- Drops startup file
- Adds Run key to start application
- Drops autorun.inf file
- Suspicious use of NtSetInformationThreadHideFromDebugger
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2040 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\Читы РЅР° майнкрафт.exe" "Читы РЅР° майнкрафт.exe" ENABLE3⤵
- Modifies Windows Firewall
PID:1720
-
-
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
1.1MB
MD5211325afecc4756847d5964f312e0a56
SHA1c3479dcf0edf80bf3549c63c403e0b6c2d38e1dc
SHA2561cc62bcf5d8ec1beb8d7414e95aac964b31d0fcdca01f5dabfbd979ba7f44ad9
SHA5124baa3170c5d2462f48912b201493ea1c938aa8d946b9578543035e8592196c83fce4a15f0f7233e25c6302a900b4e47cc7dd83594e7d06fdac3a93a220b1a9eb
-
Filesize
1.1MB
MD5211325afecc4756847d5964f312e0a56
SHA1c3479dcf0edf80bf3549c63c403e0b6c2d38e1dc
SHA2561cc62bcf5d8ec1beb8d7414e95aac964b31d0fcdca01f5dabfbd979ba7f44ad9
SHA5124baa3170c5d2462f48912b201493ea1c938aa8d946b9578543035e8592196c83fce4a15f0f7233e25c6302a900b4e47cc7dd83594e7d06fdac3a93a220b1a9eb
-
Filesize
1.1MB
MD5211325afecc4756847d5964f312e0a56
SHA1c3479dcf0edf80bf3549c63c403e0b6c2d38e1dc
SHA2561cc62bcf5d8ec1beb8d7414e95aac964b31d0fcdca01f5dabfbd979ba7f44ad9
SHA5124baa3170c5d2462f48912b201493ea1c938aa8d946b9578543035e8592196c83fce4a15f0f7233e25c6302a900b4e47cc7dd83594e7d06fdac3a93a220b1a9eb