Analysis
-
max time kernel
169s -
max time network
143s -
platform
windows7_x64 -
resource
win7-20221111-en -
resource tags
arch:x64arch:x86image:win7-20221111-enlocale:en-usos:windows7-x64system -
submitted
29/11/2022, 17:23
Static task
static1
Behavioral task
behavioral1
Sample
9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe
Resource
win7-20221111-en
windows7-x64
8 signatures
150 seconds
Behavioral task
behavioral2
Sample
9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe
Resource
win10v2004-20221111-en
windows10-2004-x64
8 signatures
150 seconds
General
-
Target
9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe
-
Size
208KB
-
MD5
3a260d6e5204b0d4cdbdc2cae96dc340
-
SHA1
142a4cfda07173d89a9798584b8b5324e5422266
-
SHA256
9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339
-
SHA512
23861b63b2b4c4d3193879116d04047ebc29f97a165d913371b1739b2162784d086c7f987746c7e0629a51fe95f056fc35c660571c5dbde039207a967d2a8f86
-
SSDEEP
6144:oyeXcutAYXhkKnvmb7/D26LeOSvZngYs8RAR/jgSzH1z90lpS4C/8/+BneIfp:0XcoXmKnvmb7/D26yVgYs8RAR/jgS595
Score
10/10
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 2 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe Set value (int) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" veopuom.exe -
Executes dropped EXE 1 IoCs
pid Process 880 veopuom.exe -
Loads dropped DLL 2 IoCs
pid Process 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe -
Adds Run key to start application 2 TTPs 50 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /Z" 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe Key created \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\ veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /x" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /B" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /L" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /J" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /w" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /n" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /v" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /F" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /h" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /H" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /a" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /d" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /u" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /T" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /Z" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /Y" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /m" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /R" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /N" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /k" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /p" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /t" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /Q" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /P" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /A" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /V" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /f" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /g" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /K" veopuom.exe Key created \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\ 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /j" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /o" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /X" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /l" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /i" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /y" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /G" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /M" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /D" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /s" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /S" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /W" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /b" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /r" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /q" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /C" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /O" veopuom.exe Set value (str) \REGISTRY\USER\S-1-5-21-3406023954-474543476-3319432036-1000\Software\Microsoft\Windows\CurrentVersion\Run\veopuom = "C:\\Users\\Admin\\veopuom.exe /c" veopuom.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe 880 veopuom.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 880 veopuom.exe -
Suspicious use of WriteProcessMemory 4 IoCs
description pid Process procid_target PID 1788 wrote to memory of 880 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 28 PID 1788 wrote to memory of 880 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 28 PID 1788 wrote to memory of 880 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 28 PID 1788 wrote to memory of 880 1788 9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe 28
Processes
-
C:\Users\Admin\AppData\Local\Temp\9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe"C:\Users\Admin\AppData\Local\Temp\9e82f20990570cb9d59d4875af2099dc9f08f35225ee59293a6bd7868358d339.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Loads dropped DLL
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1788 -
C:\Users\Admin\veopuom.exe"C:\Users\Admin\veopuom.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:880
-
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
208KB
MD56a337e3364a03291d204a1db90490155
SHA185b0c66b7dea6d9da51f1d33ffe993d2149dd247
SHA256ac374985f96d48122f7ae5272d275c15c97143aace7d589468605d0860136581
SHA51240195fba8d69b659216291b301babc2abc31c8bc4ed00d5e0aa2bf737d6c8bab50659354da4943fbabb1a400460fec3d62566078e3801f820ef37bf1069adbcd
-
Filesize
208KB
MD56a337e3364a03291d204a1db90490155
SHA185b0c66b7dea6d9da51f1d33ffe993d2149dd247
SHA256ac374985f96d48122f7ae5272d275c15c97143aace7d589468605d0860136581
SHA51240195fba8d69b659216291b301babc2abc31c8bc4ed00d5e0aa2bf737d6c8bab50659354da4943fbabb1a400460fec3d62566078e3801f820ef37bf1069adbcd
-
Filesize
208KB
MD56a337e3364a03291d204a1db90490155
SHA185b0c66b7dea6d9da51f1d33ffe993d2149dd247
SHA256ac374985f96d48122f7ae5272d275c15c97143aace7d589468605d0860136581
SHA51240195fba8d69b659216291b301babc2abc31c8bc4ed00d5e0aa2bf737d6c8bab50659354da4943fbabb1a400460fec3d62566078e3801f820ef37bf1069adbcd
-
Filesize
208KB
MD56a337e3364a03291d204a1db90490155
SHA185b0c66b7dea6d9da51f1d33ffe993d2149dd247
SHA256ac374985f96d48122f7ae5272d275c15c97143aace7d589468605d0860136581
SHA51240195fba8d69b659216291b301babc2abc31c8bc4ed00d5e0aa2bf737d6c8bab50659354da4943fbabb1a400460fec3d62566078e3801f820ef37bf1069adbcd