Analysis
-
max time kernel
151s -
max time network
145s -
platform
windows10-2004_x64 -
resource
win10v2004-20220901-en -
resource tags
arch:x64arch:x86image:win10v2004-20220901-enlocale:en-usos:windows10-2004-x64system -
submitted
30-11-2022 19:01
Static task
static1
Behavioral task
behavioral1
Sample
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe
Resource
win7-20220812-en
General
-
Target
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe
-
Size
1.1MB
-
MD5
f88b069ef7bd12d5cb4db9098d4beeeb
-
SHA1
8c786f1f2c2ae666607e8073b27dd1632277f976
-
SHA256
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a
-
SHA512
093be3cdd3b8cdf700d83c4308848f259d92c70cb6870e92faab8d9a226af7fe394024fc3c8063f1d9cf5d85ec55dc57cbd60d7e68077fae8f6a9b4750e3bb8a
-
SSDEEP
24576:XAHnh+eWsN3skA4RV1Hom2KXSmdas6J2jvmrrb5:Kh+ZkldoPKi2as6J2Lmd
Malware Config
Extracted
netwire
194.5.98.103:8912
-
activex_autorun
false
-
copy_executable
false
-
delete_original
false
-
host_id
HostId-%Rand%
-
lock_executable
false
-
offline_keylogger
false
-
password
Password
-
registry_autorun
false
-
use_mutex
false
Signatures
-
NetWire RAT payload 2 IoCs
Processes:
resource yara_rule behavioral2/memory/1184-133-0x0000000000400000-0x000000000042C000-memory.dmp netwire behavioral2/memory/1184-142-0x0000000000400000-0x000000000042C000-memory.dmp netwire -
Drops startup file 1 IoCs
Processes:
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exedescription ioc process File opened for modification C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\certreq.vbs 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exedescription pid process target process PID 3488 set thread context of 1184 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
Processes:
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exepid process 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe -
Suspicious use of FindShellTrayWindow 3 IoCs
Processes:
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exepid process 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe -
Suspicious use of SendNotifyMessage 3 IoCs
Processes:
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exepid process 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe -
Suspicious use of WriteProcessMemory 5 IoCs
Processes:
14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exedescription pid process target process PID 3488 wrote to memory of 1184 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe PID 3488 wrote to memory of 1184 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe PID 3488 wrote to memory of 1184 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe PID 3488 wrote to memory of 1184 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe PID 3488 wrote to memory of 1184 3488 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe 14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe"C:\Users\Admin\AppData\Local\Temp\14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe"1⤵
- Drops startup file
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Temp\14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe"C:\Users\Admin\AppData\Local\Temp\14877fa4f39377ada4306b7ed535e31186135b11f8981da35e2d3a124824a40a.exe"2⤵