Windows 7 deprecation

Windows 7 will be removed from tria.ge on 2025-03-31

Analysis

  • max time kernel
    152s
  • max time network
    189s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220812-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20220812-enlocale:en-usos:windows10-2004-x64system
  • submitted
    06/11/2022, 13:51

General

  • Target

    ae3bb4d1a67520467269660489264d9424e0b24ed334aeacc23d1bd9e53fdc1b.exe

  • Size

    317KB

  • MD5

    083b318840c63ee177519f1b7d45f1af

  • SHA1

    e512fa09d72a2027e7eb5b29989aba6b0d739378

  • SHA256

    ae3bb4d1a67520467269660489264d9424e0b24ed334aeacc23d1bd9e53fdc1b

  • SHA512

    83e8d9e34102831a294e9d259faf405aed442c6a6b47ecbdd6f17213b4ac41288300e5ead32400a14af4d19ea9cf37fa3791933c083046b163163e5aba41e34c

  • SSDEEP

    6144:/Rg2HxuuQagkTj9hBhf+q/R+eDDyVMKOKhWKO9POgVxiarcEqh9D1m:5BHx19g2jfBNWrVtOIWHPR+Eco

Score
8/10

Malware Config

Signatures

  • Executes dropped EXE 1 IoCs
  • UPX packed file 7 IoCs

    Detects executables packed with UPX/modified UPX open source packer.

  • Adds Run key to start application 2 TTPs 1 IoCs
  • Program crash 26 IoCs
  • Suspicious use of AdjustPrivilegeToken 2 IoCs
  • Suspicious use of FindShellTrayWindow 2 IoCs
  • Suspicious use of SendNotifyMessage 2 IoCs
  • Suspicious use of SetWindowsHookEx 2 IoCs
  • Suspicious use of WriteProcessMemory 3 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\ae3bb4d1a67520467269660489264d9424e0b24ed334aeacc23d1bd9e53fdc1b.exe
    "C:\Users\Admin\AppData\Local\Temp\ae3bb4d1a67520467269660489264d9424e0b24ed334aeacc23d1bd9e53fdc1b.exe"
    1⤵
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:4644
    • C:\ProgramData\bEjOgGo15301\bEjOgGo15301.exe
      "C:\ProgramData\bEjOgGo15301\bEjOgGo15301.exe" "C:\Users\Admin\AppData\Local\Temp\ae3bb4d1a67520467269660489264d9424e0b24ed334aeacc23d1bd9e53fdc1b.exe"
      2⤵
      • Executes dropped EXE
      • Adds Run key to start application
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of FindShellTrayWindow
      • Suspicious use of SendNotifyMessage
      • Suspicious use of SetWindowsHookEx
      PID:1928
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 764
        3⤵
        • Program crash
        PID:5116
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 772
        3⤵
        • Program crash
        PID:1608
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 772
        3⤵
        • Program crash
        PID:116
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 796
        3⤵
        • Program crash
        PID:4504
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 924
        3⤵
        • Program crash
        PID:4312
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 996
        3⤵
        • Program crash
        PID:2136
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1052
        3⤵
        • Program crash
        PID:4044
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1220
        3⤵
        • Program crash
        PID:3868
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1412
        3⤵
        • Program crash
        PID:740
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1620
        3⤵
        • Program crash
        PID:3888
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 948
        3⤵
        • Program crash
        PID:2220
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 640
        3⤵
        • Program crash
        PID:1140
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1696
        3⤵
        • Program crash
        PID:3312
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1884
        3⤵
        • Program crash
        PID:540
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1892
        3⤵
        • Program crash
        PID:3160
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1972
        3⤵
        • Program crash
        PID:4480
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1928 -s 1968
        3⤵
        • Program crash
        PID:1272
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 620
      2⤵
      • Program crash
      PID:1060
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 788
      2⤵
      • Program crash
      PID:1452
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 796
      2⤵
      • Program crash
      PID:3792
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 788
      2⤵
      • Program crash
      PID:376
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 844
      2⤵
      • Program crash
      PID:3628
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 964
      2⤵
      • Program crash
      PID:2952
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 1040
      2⤵
      • Program crash
      PID:4620
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 640
      2⤵
      • Program crash
      PID:388
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4644 -s 160
      2⤵
      • Program crash
      PID:1540
  • C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4644 -ip 4644
    1⤵
      PID:3084
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 436 -p 1928 -ip 1928
      1⤵
        PID:1948
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4644 -ip 4644
        1⤵
          PID:1524
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 1928 -ip 1928
          1⤵
            PID:2008
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 1928 -ip 1928
            1⤵
              PID:4304
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 572 -p 4644 -ip 4644
              1⤵
                PID:4816
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4644 -ip 4644
                1⤵
                  PID:4048
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 596 -p 1928 -ip 1928
                  1⤵
                    PID:1672
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 612 -p 4644 -ip 4644
                    1⤵
                      PID:4496
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 636 -p 1928 -ip 1928
                      1⤵
                        PID:3120
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 620 -p 4644 -ip 4644
                        1⤵
                          PID:3468
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 616 -p 1928 -ip 1928
                          1⤵
                            PID:488
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 632 -p 4644 -ip 4644
                            1⤵
                              PID:2968
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 668 -p 1928 -ip 1928
                              1⤵
                                PID:2416
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 684 -p 1928 -ip 1928
                                1⤵
                                  PID:4904
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 664 -p 1928 -ip 1928
                                  1⤵
                                    PID:4468
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 728 -p 1928 -ip 1928
                                    1⤵
                                      PID:3348
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 732 -p 1928 -ip 1928
                                      1⤵
                                        PID:4916
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 756 -p 1928 -ip 1928
                                        1⤵
                                          PID:4240
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 748 -p 1928 -ip 1928
                                          1⤵
                                            PID:4388
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 744 -p 1928 -ip 1928
                                            1⤵
                                              PID:4680
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 748 -p 1928 -ip 1928
                                              1⤵
                                                PID:3692
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 800 -p 1928 -ip 1928
                                                1⤵
                                                  PID:2824
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 796 -p 4644 -ip 4644
                                                  1⤵
                                                    PID:1608
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 824 -p 4644 -ip 4644
                                                    1⤵
                                                      PID:2660
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 844 -p 1928 -ip 1928
                                                      1⤵
                                                        PID:4068

                                                      Network

                                                      MITRE ATT&CK Enterprise v6

                                                      Replay Monitor

                                                      Loading Replay Monitor...

                                                      Downloads

                                                      • C:\ProgramData\bEjOgGo15301\bEjOgGo15301.exe

                                                        Filesize

                                                        317KB

                                                        MD5

                                                        6b87f993ae1ba56bed8791e06797ac62

                                                        SHA1

                                                        d064758a320d727ee93aa58164a25d89a93b5961

                                                        SHA256

                                                        db7b73b8e35351a342f620f7594de209adc4a71f35c3d0177c953dbf181ece07

                                                        SHA512

                                                        138cfee8d2b8c87861dad4aaa5ad737fc43e82bbb6dd130465436852e669155467c829fe9cc62898d1584703c0385892915ce803f08d429b9ff415823f3244b9

                                                      • C:\ProgramData\bEjOgGo15301\bEjOgGo15301.exe

                                                        Filesize

                                                        317KB

                                                        MD5

                                                        6b87f993ae1ba56bed8791e06797ac62

                                                        SHA1

                                                        d064758a320d727ee93aa58164a25d89a93b5961

                                                        SHA256

                                                        db7b73b8e35351a342f620f7594de209adc4a71f35c3d0177c953dbf181ece07

                                                        SHA512

                                                        138cfee8d2b8c87861dad4aaa5ad737fc43e82bbb6dd130465436852e669155467c829fe9cc62898d1584703c0385892915ce803f08d429b9ff415823f3244b9

                                                      • memory/1928-142-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB

                                                      • memory/1928-144-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB

                                                      • memory/4644-132-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB

                                                      • memory/4644-134-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB

                                                      • memory/4644-135-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB

                                                      • memory/4644-143-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB

                                                      • memory/4644-145-0x0000000000400000-0x00000000004B4000-memory.dmp

                                                        Filesize

                                                        720KB