Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
55s -
max time network
73s -
platform
windows7_x64 -
resource
win7-20220812-en -
resource tags
arch:x64arch:x86image:win7-20220812-enlocale:en-usos:windows7-x64system -
submitted
06/01/2023, 01:49
Static task
static1
Behavioral task
behavioral1
Sample
34 рекламные материалы, тз .exe
Resource
win7-20220812-en
Behavioral task
behavioral2
Sample
34 рекламные материалы, тз .exe
Resource
win10v2004-20220812-en
General
-
Target
34 рекламные материалы, тз .exe
-
Size
763.8MB
-
MD5
3be1c69b41af83d371a3c7ec53b594d3
-
SHA1
3c28537f0c0ff9b45d5bf8085f31d3da91eea8e3
-
SHA256
8311d74ee56baf34698abfed0c71f36f73502ad6be7a2b4459bf771767ab32f2
-
SHA512
11f93d40514059d252634ec30ed76d72ea4c3fbecb3b0f17396f971bc921583331ef6fdcf2e6e218b3d4c6be786f60f12f2a9a1397a30a2125abf0c06c4fd5de
-
SSDEEP
196608:zsHz+H8822i22r2222+41nuwPrR93uL17B7IWvlp0yF/wu3DqBub7mt:f8822i22r2222+GuwP1telhFHzvm
Malware Config
Extracted
redline
16
46.3.199.69:21581
-
auth_value
2d39c11f320a5db0b4d6863a9e41919c
Signatures
-
RedLine
RedLine Stealer is a malware family written in C#, first appearing in early 2020.
-
Identifies VirtualBox via ACPI registry values (likely anti-VM) 2 TTPs 1 IoCs
description ioc Process Key opened \REGISTRY\MACHINE\HARDWARE\ACPI\DSDT\VBOX__ 34 рекламные материалы, тз .exe -
Checks BIOS information in registry 2 TTPs 2 IoCs
BIOS information is often read in order to detect sandboxing environments.
description ioc Process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\VideoBiosVersion 34 рекламные материалы, тз .exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosVersion 34 рекламные материалы, тз .exe -
Uses the VBS compiler for execution 1 TTPs
-
description ioc Process Key value queried \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA 34 рекламные материалы, тз .exe -
Suspicious use of SetThreadContext 1 IoCs
description pid Process procid_target PID 1264 set thread context of 988 1264 34 рекламные материалы, тз .exe 29 -
Suspicious use of WriteProcessMemory 10 IoCs
description pid Process procid_target PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29 PID 1264 wrote to memory of 988 1264 34 рекламные материалы, тз .exe 29
Processes
-
C:\Users\Admin\AppData\Local\Temp\34 рекламные материалы, тз .exe"C:\Users\Admin\AppData\Local\Temp\34 рекламные материалы, тз .exe"1⤵
- Identifies VirtualBox via ACPI registry values (likely anti-VM)
- Checks BIOS information in registry
- Checks whether UAC is enabled
- Suspicious use of SetThreadContext
- Suspicious use of WriteProcessMemory
PID:1264 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\vbc.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\vbc.exe"2⤵PID:988
-