600998a2f877eefb1960d2ed167a955b0e07f406527a41ca649d024dee10254e

Analysis

max time kernel
170s
max time network
263s
platform
windows10-2004_x64
resource
win10v2004-20221111-en
resource tags

arch:x64arch:x86image:win10v2004-20221111-enlocale:en-usos:windows10-2004-x64system
submitted
24-11-2022 04:01

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
Size

148KB
MD5

bb6eaa3caf122030e276ddb20790e5e5
SHA1

050019c2864790aa5f0ac4fa6d2e1a65eb59cd70
SHA256

bba5332c6f0d44bc3f2935842dfbcc051f3edb1b7f186a94c665271ccca13755
SHA512

1290ae818f8a64288848fd6fc1e721edb96b4cd5b0991b1f7d10602198ddefdfcdd1f8b3b7610594432581752f14cc60514cd57930c636a4b8a714a18f7d4d7d
SSDEEP

3072:cIjIB3k5uMfRUL9glXFQuMlgSLLPr6s6THgFWP27:n/uUa+QuMumqAFWP6

Score

5^/10

Malware Config

Signatures

Suspicious use of SetThreadContext 1 IoCs

Processes:

Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

description	pid	process	target process
PID 1620 set thread context of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

Suspicious behavior: EnumeratesProcesses 2 IoCs

Processes:

Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

pid	process
1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

Suspicious use of SetWindowsHookEx 2 IoCs

Processes:

Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

pid	process
1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

Suspicious use of WriteProcessMemory 12 IoCs

Processes:

Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exeInformationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe

description	pid	process	target process
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 1620 wrote to memory of 3424	1620	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
PID 3424 wrote to memory of 5108	3424	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	cmd.exe
PID 3424 wrote to memory of 5108	3424	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	cmd.exe
PID 3424 wrote to memory of 5108	3424	Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe	cmd.exe

C:\Users\Admin\AppData\Local\Temp\Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
"C:\Users\Admin\AppData\Local\Temp\Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe"
1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1620

C:\Users\Admin\AppData\Local\Temp\Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
C:\Users\Admin\AppData\Local\Temp\Informationen_Kontobewegung_dezember_2014_de_20_8139_237_90109238_000129_000028_05.exe
2⤵
- Suspicious use of WriteProcessMemory
PID:3424

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\system32\cmd.exe" /c "C:\Users\Admin\AppData\Roaming\MS8995~1.BAT"
3⤵
PID:5108

Network

MITRE ATT&CK Matrix

Replay Monitor

Loading Replay Monitor...

Downloads

memory/1620-136-0x00000000022E0000-0x00000000022E4000-memory.dmp

Filesize
16KB

Download
memory/3424-132-0x0000000000000000-mapping.dmp

Download
memory/3424-133-0x0000000000400000-0x0000000000412000-memory.dmp

Filesize
72KB

Download
memory/3424-135-0x0000000000400000-0x0000000000412000-memory.dmp

Filesize
72KB

Download
memory/3424-137-0x0000000000400000-0x0000000000412000-memory.dmp

Filesize
72KB

Download
memory/5108-138-0x0000000000000000-mapping.dmp

Download