Analysis
-
max time kernel
150s -
max time network
41s -
platform
windows7_x64 -
resource
win7-20220812-en -
resource tags
arch:x64arch:x86image:win7-20220812-enlocale:en-usos:windows7-x64system -
submitted
03/12/2022, 20:02
Static task
static1
Behavioral task
behavioral1
Sample
5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe
Resource
win7-20220812-en
windows7-x64
8 signatures
150 seconds
Behavioral task
behavioral2
Sample
5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe
Resource
win10v2004-20220812-en
windows10-2004-x64
8 signatures
150 seconds
General
-
Target
5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe
-
Size
228KB
-
MD5
369f66149f3566d1dbe659e35f8cb2a0
-
SHA1
eeb3a9077e60947d2569d098c72a3afcc87b1250
-
SHA256
5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff
-
SHA512
9514523a3f3d371001da7fb865007fa1029f2288c7ab2cba5d3514555cf98e313758e1984be8fa94e42dab08c61267c235193dcdd993438eb70ddacf21c0be6e
-
SSDEEP
3072:E3DIpK9xKA9w2p4QZisLaazNiIIkyyqY4oQZiE0BUj:E38pKxY+1isuazgfkl/WH
Score
10/10
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 2 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe Set value (int) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" xogak.exe -
Executes dropped EXE 1 IoCs
pid Process 984 xogak.exe -
Loads dropped DLL 2 IoCs
pid Process 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe -
Adds Run key to start application 2 TTPs 54 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /D" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /o" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /E" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /G" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /I" 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /d" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /F" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /g" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /X" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /V" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /j" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /K" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /q" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /b" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /a" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /Z" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /w" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /M" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /c" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /h" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /r" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /p" xogak.exe Key created \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\ 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /W" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /Y" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /L" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /u" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /R" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /C" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /i" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /Q" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /f" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /P" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /A" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /v" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /J" xogak.exe Key created \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\ xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /n" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /z" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /S" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /t" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /k" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /I" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /T" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /e" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /s" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /U" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /m" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /l" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /x" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /B" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /y" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /H" xogak.exe Set value (str) \REGISTRY\USER\S-1-5-21-999675638-2867687379-27515722-1000\Software\Microsoft\Windows\CurrentVersion\Run\xogak = "C:\\Users\\Admin\\xogak.exe /O" xogak.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe 984 xogak.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 984 xogak.exe -
Suspicious use of WriteProcessMemory 4 IoCs
description pid Process procid_target PID 1672 wrote to memory of 984 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 27 PID 1672 wrote to memory of 984 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 27 PID 1672 wrote to memory of 984 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 27 PID 1672 wrote to memory of 984 1672 5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe 27
Processes
-
C:\Users\Admin\AppData\Local\Temp\5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe"C:\Users\Admin\AppData\Local\Temp\5070c6273304f6bc2a49bd0e77d79c6e018a70aeb015c13d774fb2a9eecc23ff.exe"1⤵
- Modifies visiblity of hidden/system files in Explorer
- Loads dropped DLL
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1672 -
C:\Users\Admin\xogak.exe"C:\Users\Admin\xogak.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:984
-
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
228KB
MD5d15253e1fd9fa94ec6e6c2d31554632a
SHA1592688d8f45f42edd069a035ec1f6e5262a40d9b
SHA2567845e445730fcfad4dbaef168171437f796fc49c0c19c6f2e194500d34128e5d
SHA5125baafb057053d7f6cac022271170e6b8e6b741928a391be0d6b5bb33ce5e114b681c2d5d802ce48911e2025eb423473489335d0197a7c6e569e0d35991bace9d
-
Filesize
228KB
MD5d15253e1fd9fa94ec6e6c2d31554632a
SHA1592688d8f45f42edd069a035ec1f6e5262a40d9b
SHA2567845e445730fcfad4dbaef168171437f796fc49c0c19c6f2e194500d34128e5d
SHA5125baafb057053d7f6cac022271170e6b8e6b741928a391be0d6b5bb33ce5e114b681c2d5d802ce48911e2025eb423473489335d0197a7c6e569e0d35991bace9d
-
Filesize
228KB
MD5d15253e1fd9fa94ec6e6c2d31554632a
SHA1592688d8f45f42edd069a035ec1f6e5262a40d9b
SHA2567845e445730fcfad4dbaef168171437f796fc49c0c19c6f2e194500d34128e5d
SHA5125baafb057053d7f6cac022271170e6b8e6b741928a391be0d6b5bb33ce5e114b681c2d5d802ce48911e2025eb423473489335d0197a7c6e569e0d35991bace9d
-
Filesize
228KB
MD5d15253e1fd9fa94ec6e6c2d31554632a
SHA1592688d8f45f42edd069a035ec1f6e5262a40d9b
SHA2567845e445730fcfad4dbaef168171437f796fc49c0c19c6f2e194500d34128e5d
SHA5125baafb057053d7f6cac022271170e6b8e6b741928a391be0d6b5bb33ce5e114b681c2d5d802ce48911e2025eb423473489335d0197a7c6e569e0d35991bace9d