Analysis
-
max time kernel
150s -
max time network
153s -
platform
windows7_x64 -
resource
win7-20220812-en -
resource tags
arch:x64arch:x86image:win7-20220812-enlocale:en-usos:windows7-x64system -
submitted
24-11-2022 04:10
Static task
static1
Behavioral task
behavioral1
Sample
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe
Resource
win7-20220812-en
Behavioral task
behavioral2
Sample
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe
Resource
win10v2004-20221111-en
General
-
Target
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe
-
Size
164KB
-
MD5
b779127121ae2844dd49a63a9017fa2f
-
SHA1
638a99a79bc63a7211422db7b851725b62b3617b
-
SHA256
4241921870ae6fee9cef8a48cfa99f2189dd6d2e88ea22bff6caf6474d7d3ee0
-
SHA512
c43aafb393ba68406c02a507d1ad5fbc18d78625a65a4c65a5c921ad5bc0cde050a513860c1e9340d6b1dde77b687d1c1a33481e883d5f1097d159f1abab5d2d
-
SSDEEP
3072:ZJ/YG2oBH7RFQcISXZtYs9DiOkqBFtQhMpDhCVT1A6djL9Jf+yY:ZJ/GoJti4jFtQh2hCVTd/
Malware Config
Signatures
-
Deletes itself 1 IoCs
Processes:
cmd.exepid process 1116 cmd.exe -
Adds Run key to start application 2 TTPs 2 IoCs
Processes:
Explorer.EXEdescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-2292972927-2705560509-2768824231-1000\Software\Microsoft\Windows\CurrentVersion\Run\ypbkryye.exe = "\"C:\\Users\\Admin\\AppData\\Roaming\\Identities\\ypbkryye.exe\"" Explorer.EXE Key created \REGISTRY\USER\S-1-5-21-2292972927-2705560509-2768824231-1000\Software\Microsoft\Windows\CurrentVersion\Run Explorer.EXE -
Suspicious use of SetThreadContext 1 IoCs
Processes:
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exedescription pid process target process PID 1096 set thread context of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe -
Suspicious behavior: EnumeratesProcesses 15 IoCs
Processes:
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exebestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exeExplorer.EXEpid process 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE 1412 Explorer.EXE -
Suspicious use of AdjustPrivilegeToken 2 IoCs
Processes:
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exeExplorer.EXEdescription pid process Token: SeDebugPrivilege 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe Token: SeDebugPrivilege 1412 Explorer.EXE -
Suspicious use of FindShellTrayWindow 2 IoCs
Processes:
Explorer.EXEpid process 1412 Explorer.EXE 1412 Explorer.EXE -
Suspicious use of SendNotifyMessage 2 IoCs
Processes:
Explorer.EXEpid process 1412 Explorer.EXE 1412 Explorer.EXE -
Suspicious use of SetWindowsHookEx 2 IoCs
Processes:
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exepid process 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe -
Suspicious use of UnmapMainImage 1 IoCs
Processes:
Explorer.EXEpid process 1412 Explorer.EXE -
Suspicious use of WriteProcessMemory 21 IoCs
Processes:
bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exebestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exeExplorer.EXEdescription pid process target process PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1096 wrote to memory of 1628 1096 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe PID 1628 wrote to memory of 1116 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe cmd.exe PID 1628 wrote to memory of 1116 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe cmd.exe PID 1628 wrote to memory of 1116 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe cmd.exe PID 1628 wrote to memory of 1116 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe cmd.exe PID 1628 wrote to memory of 1412 1628 bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe Explorer.EXE PID 1412 wrote to memory of 1260 1412 Explorer.EXE taskhost.exe PID 1412 wrote to memory of 1260 1412 Explorer.EXE taskhost.exe PID 1412 wrote to memory of 1336 1412 Explorer.EXE Dwm.exe PID 1412 wrote to memory of 1116 1412 Explorer.EXE cmd.exe PID 1412 wrote to memory of 2028 1412 Explorer.EXE conhost.exe PID 1412 wrote to memory of 2028 1412 Explorer.EXE conhost.exe
Processes
-
C:\Windows\Explorer.EXEC:\Windows\Explorer.EXE1⤵
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
- Suspicious use of UnmapMainImage
- Suspicious use of WriteProcessMemory
PID:1412 -
C:\Users\Admin\AppData\Local\Temp\bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe"C:\Users\Admin\AppData\Local\Temp\bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe"2⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1096 -
C:\Users\Admin\AppData\Local\Temp\bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exeC:\Users\Admin\AppData\Local\Temp\bestätigung_zahlungseingang_2014_11_55_02_277_001_033_927_0983900005_0000009127_01_20.exe3⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1628 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\system32\cmd.exe" /c "C:\Users\Admin\AppData\Roaming\MS2925~1.BAT"4⤵
- Deletes itself
PID:1116
-
C:\Windows\system32\Dwm.exe"C:\Windows\system32\Dwm.exe"1⤵PID:1336
-
C:\Windows\system32\taskhost.exe"taskhost.exe"1⤵PID:1260
-
C:\Windows\system32\conhost.exe\??\C:\Windows\system32\conhost.exe "-163351683621330329862053060700-1521979429-1959676713-168701753410111669381152010898"1⤵PID:2028
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
201B
MD5b531b949477b7d800d5c3a539ab651a2
SHA1e59b50b4a9f3e3be51ef0fdcafa2a017bc36508a
SHA2567a7d918461f5fe95e33d40190f44aee538c4e8c540f239582e709241f7d008ff
SHA512ceea9dbdb03b7ccc843f043b3cdbd1ee27d37ec0311de1bcfa6d661ea4dcf0fa03643781bcc184de14b358e05df57008429c444b2cb333a976ed41051338b0a4