Analysis
-
max time kernel
163s -
max time network
167s -
platform
windows10-2004_x64 -
resource
win10v2004-20220812-en -
resource tags
arch:x64arch:x86image:win10v2004-20220812-enlocale:en-usos:windows10-2004-x64system -
submitted
26-11-2022 23:28
Behavioral task
behavioral1
Sample
ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe
Resource
win7-20220812-en
windows7-x64
14 signatures
150 seconds
Behavioral task
behavioral2
Sample
ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe
Resource
win10v2004-20220812-en
windows10-2004-x64
12 signatures
150 seconds
General
-
Target
ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe
-
Size
551KB
-
MD5
fd4f91a73f52cd100012d32b18b81daa
-
SHA1
25545878e7ab8a1cd8ae736446aa0fa7f72981a6
-
SHA256
ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e
-
SHA512
242de09805086f1446272fe907597b166f43212eb1eb3c430f4e1b4ce7c328888be04f2898f0ef7956f9206ba4dd965ea6054e2b49bce7fd4eb7a1d50274e99b
-
SSDEEP
6144:1v7N+NSSx+T/wzitHlBSZmn6aw/jrgXkaZaitUivNO50dG3lBBg/uMTwzrCVditC:1vQwSxTi2AwQX4H50aloB5VSM3
Score
10/10
Malware Config
Signatures
-
Modifies WinLogon for persistence 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = "C:\\Users\\Admin\\AppData\\Local\\Temp\\ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe" ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe -
Disables RegEdit via registry modification 1 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\system\DisableRegistryTools = "1" ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe -
Disables Task Manager via registry modification
-
Sets file execution options in registry 2 TTPs 2 IoCs
description ioc Process Key created \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe\debugger = "C:\\Users\\Admin\\AppData\\Local\\Temp\\ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe" ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe -
resource yara_rule behavioral2/memory/1568-132-0x0000000000400000-0x0000000000575000-memory.dmp upx behavioral2/memory/1568-137-0x0000000000400000-0x0000000000575000-memory.dmp upx -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Kills process with taskkill 4 IoCs
pid Process 2584 taskkill.exe 1328 taskkill.exe 2936 taskkill.exe 2888 taskkill.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe -
Suspicious use of AdjustPrivilegeToken 64 IoCs
description pid Process Token: SeDebugPrivilege 2936 taskkill.exe Token: SeDebugPrivilege 1328 taskkill.exe Token: SeDebugPrivilege 2888 taskkill.exe Token: SeDebugPrivilege 2584 taskkill.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Token: SeDebugPrivilege 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe -
Suspicious use of SetWindowsHookEx 3 IoCs
pid Process 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe -
Suspicious use of WriteProcessMemory 12 IoCs
description pid Process procid_target PID 1568 wrote to memory of 2936 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 80 PID 1568 wrote to memory of 2936 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 80 PID 1568 wrote to memory of 2936 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 80 PID 1568 wrote to memory of 2888 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 81 PID 1568 wrote to memory of 2888 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 81 PID 1568 wrote to memory of 2888 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 81 PID 1568 wrote to memory of 1328 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 85 PID 1568 wrote to memory of 1328 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 85 PID 1568 wrote to memory of 1328 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 85 PID 1568 wrote to memory of 2584 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 83 PID 1568 wrote to memory of 2584 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 83 PID 1568 wrote to memory of 2584 1568 ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe 83 -
System policy modification 1 TTPs 2 IoCs
description ioc Process Key created \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoViewOnDrive = "12" ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe"C:\Users\Admin\AppData\Local\Temp\ee9f822481646c3e26f1187553721d2b956642a69790ec20f9feef2a4044476e.exe"1⤵
- Modifies WinLogon for persistence
- Disables RegEdit via registry modification
- Sets file execution options in registry
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
- System policy modification
PID:1568 -
C:\Windows\SysWOW64\taskkill.exetaskkill /f /im Explorer.exe2⤵
- Kills process with taskkill
- Suspicious use of AdjustPrivilegeToken
PID:2936
-
-
C:\Windows\SysWOW64\taskkill.exetaskkill /f /im TaskMgr.exe2⤵
- Kills process with taskkill
- Suspicious use of AdjustPrivilegeToken
PID:2888
-
-
C:\Windows\SysWOW64\taskkill.exetaskkill /f /im Cmd.exe2⤵
- Kills process with taskkill
- Suspicious use of AdjustPrivilegeToken
PID:2584
-
-
C:\Windows\SysWOW64\taskkill.exetaskkill /f /im Regedit.exe2⤵
- Kills process with taskkill
- Suspicious use of AdjustPrivilegeToken
PID:1328
-