Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
265s -
max time network
336s -
platform
windows7_x64 -
resource
win7-20221111-en -
resource tags
arch:x64arch:x86image:win7-20221111-enlocale:en-usos:windows7-x64system -
submitted
27/11/2022, 23:13
Static task
static1
1 signatures
Behavioral task
behavioral1
Sample
bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe
Resource
win7-20221111-en
windows7-x64
9 signatures
150 seconds
Behavioral task
behavioral2
Sample
bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe
Resource
win10v2004-20221111-en
windows10-2004-x64
1 signatures
150 seconds
General
-
Target
bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe
-
Size
1.7MB
-
MD5
af2d7fb9fbf0fb5ccb3736a50595e1c2
-
SHA1
40a547cf32cf77b993963a7833a2b9981ef82acd
-
SHA256
bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a
-
SHA512
b06be7a07a521542da36a773c1b7f565938147928ed515182de1922bb1a60333a25118219eeeb7a113473dce028d115b15445d4087e11bae42b4d6736f5396ee
-
SSDEEP
24576:pRmJkcoQricOIQxiZY1iadvKmxTBNWyrAr7Kl3ysb375I8AS0fhGT48qlc:mJZoQrbTFZY1iaJ/Rro7Kl3ysK8A6X
Malware Config
Extracted
Family
darkcomet
Botnet
Vecxed
C2
clients.no-ip.org:1337
Mutex
DC_MUTEX-YX2DBVE
Attributes
-
gencode
hYAo19VcEYz5
-
install
false
-
offline_keylogger
true
-
password
Vicious1234
-
persistence
false
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 1 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-1214520366-621468234-4062160515-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe -
Adds Run key to start application 2 TTPs 12 IoCs
description ioc Process Key deleted \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RUNONCE bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\USER\S-1-5-21-1214520366-621468234-4062160515-1000\Software\Microsoft\Windows\CurrentVersion\RUNONCE bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RUN bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\OptionalComponents bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RUNONCE bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key created \REGISTRY\USER\S-1-5-21-1214520366-621468234-4062160515-1000\Software\Microsoft\Windows\CurrentVersion\RunOnce bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Key deleted \REGISTRY\USER\S-1-5-21-1214520366-621468234-4062160515-1000\Software\Microsoft\Windows\CurrentVersion\RUN bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Set value (str) \REGISTRY\USER\S-1-5-21-1214520366-621468234-4062160515-1000\Software\Microsoft\Windows\CurrentVersion\RunOnce\Service = "C:\\Users\\Admin\\AppData\\Local\\Temp\\Service\\Update_Service.exe" bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe -
Suspicious use of SetThreadContext 1 IoCs
description pid Process procid_target PID 1532 set thread context of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe -
Suspicious use of AdjustPrivilegeToken 23 IoCs
description pid Process Token: SeIncreaseQuotaPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeSecurityPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeTakeOwnershipPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeLoadDriverPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeSystemProfilePrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeSystemtimePrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeProfSingleProcessPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeIncBasePriorityPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeCreatePagefilePrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeBackupPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeRestorePrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeShutdownPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeDebugPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeSystemEnvironmentPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeChangeNotifyPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeRemoteShutdownPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeUndockPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeManageVolumePrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeImpersonatePrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: SeCreateGlobalPrivilege 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: 33 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: 34 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe Token: 35 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
pid Process 560 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe -
Suspicious use of WriteProcessMemory 13 IoCs
description pid Process procid_target PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28 PID 1532 wrote to memory of 560 1532 bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe 28
Processes
-
C:\Users\Admin\AppData\Local\Temp\bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe"C:\Users\Admin\AppData\Local\Temp\bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:1532 -
C:\Users\Admin\AppData\Local\Temp\bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe"C:\Users\Admin\AppData\Local\Temp\bcd6cf6116fe59919f3e2e2ca92e03267c3cda6e2802e330a036ef492146b75a.exe"2⤵
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
PID:560
-