Resubmissions

05-03-2023 10:32

230305-mk95wagc54 10

26-02-2023 16:19

230226-tstleshc4z 10

26-02-2023 16:16

230226-tq2t1shc4s 10

26-02-2023 16:07

230226-tk2bashd66 10

26-02-2023 15:50

230226-taa2cshb61 10

26-02-2023 15:19

230226-sqhwgahc64 10

General

  • Target

    ChatgptHelper.bin.zip

  • Size

    16KB

  • Sample

    230226-taa2cshb61

  • MD5

    08480329b811e7d893d69964f42d04e7

  • SHA1

    a6749bd149d476ecfd0ac7453d9bfeae39579325

  • SHA256

    21373a6d949a357dd7cab0df39490d440415d0887316430771923547f65a349c

  • SHA512

    79180bd8711e70feae33050423092e0be2f8b39390db493a81e5361c5283a7c34a29780d097a2b56d9c3a6b4cdc513259118ad4152ee8e75b2e8aba9f62c3570

  • SSDEEP

    384:wHIDNXyAoto5djCYNTq7OAZVTvWuK/sHpHLgD7jGMb5YAlbQ:wyNXyudm7O4Tuf8ponXZQ

Malware Config

Extracted

Family

njrat

Version

im523

Botnet

HacKed

C2

7.tcp.eu.ngrok.io:19698

Mutex

330867499299d35c5dff831d5c393122

Attributes
  • reg_key

    330867499299d35c5dff831d5c393122

  • splitter

    |'|'|

Extracted

Path

C:\Users\Admin\Desktop\Icons\read_it.txt

Family

chaos

Ransom Note
----> Chaos is multi language ransomware. Translate your note to any language <---- All of your files have been encrypted Your computer was infected with a ransomware virus. Your files have been encrypted and you won't be able to decrypt them without our help.What can I do to get my files back?You can buy our special decryption software, this software will allow you to recover all of your data and remove the ransomware from your computer.The price for the software is $1,500. Payment can be made in Bitcoin only. How do I pay, where do I get Bitcoin? Purchasing Bitcoin varies from country to country, you are best advised to do a quick google search yourself to find out how to buy Bitcoin. Many of our customers have reported these sites to be fast and reliable: Coinmama - hxxps://www.coinmama.com Bitpanda - hxxps://www.bitpanda.com Payment informationAmount: 0.1473766 BTC Bitcoin Address: bc1qlnzcep4l4ac0ttdrq7awxev9ehu465f2vpt9x0

Extracted

Path

C:\Users\Admin\AppData\Local\Temp\m.bin

Ransom Note
MZP������������������@���������������������������������������� �!�L�!��This program must be run under Win32 $7����������������������������������������������������������������������������������������������������������������������������������������PE��L�^B*������������ �p���������� }�����������@��������������������������������������@��������������������������F���������������������������� ��������������������������������������������������������������������������������CODE�����o������p����������������� ��`DATA�����������������t��������������@���BSS����������������������������������.idata��F������������������������@���.tls���������������������������������.rdata��������������������������@��P.reloc��� ������ ����������������@��P.rsrc��������������������������@��P���������������������������������@��P����������������������������������������������������������������������������������������������������������������������������������������������������������������@� StringX@�����������������������������X@��������L-@�X-@�\-@�`-@�T-@�,@�4,@�P,@�TObject�%�C����%�C����% �C����%�C����%�C����%(�C����%��C����%$�C����%��C����%��C����%��C����%��C����%��C����%��C����%��C����%��C����%ܠC����%ؠC����%ԠC����% �C����%PC����%̠C����%8�C����%4�C����%0�C����%ȠC����%@�C����%ĠC����%��C���S�ļ� ���T������D$,t�\$0�Ã�D[Ë��%��C����%��C����%��C����%��C����%��C����%��C����%��C����%��C���SV��A��>�u:hD��j�������ȅ�u3�^[á�A��� �A�3ҋ���D����B��du����^[Ð���@Ë�SV�����������u3�^[Ë�P�V�P ���X�B��^[ËP�� �Q��A����A��SVWUQ���$���]��$���P�V�;��SS ;�u��������C��C F�F;Cu ��������C F��;�uË֋��V�����u3��Z]_^[�SVWU����؋��2�C;�rp��J��k ;�wb;�u�BC�B)C �{ �uH���9����?�΋zϋ�k ;�u){ �*� J� $�{{ +��|$+��s �ԋ��������u3�� ���;�u�3�YZ]_^[ÐSVW�ڋ������}����� �������������sjh� ��Vj���������;��t#�Ӹ�A��l�����uh����j��P�����3��_^[ÐSVWU�ً����C���jh� ��h���U��������;��u�������������sjh� ��VU�������;�t#�Ӹ�A��������uh����j��P�b���3��]_^[ÐSVWU����L$�$�D$����3҉T$ ���$ʼnD$��A��Q�;�s;�wF��C ;D$w;;t$s�t$��C ;D$ v�D$ h����j�V�������u ��A������������߁��A�u��D$3҉�|$ �t�D$�T$��D$ +D$�T$�B��]_^[�SVWU����L$�$�Ћ�������$������������T$�D$�(�D$+ŋT$�B�5�A��<�^�~ �;�v��;|$v�|$;�vjh���+�WS�&�����u �D$3҉� �6���A�u��� ]_^[Ë�SVWUQ�؋�������������4$����������$���+$�A�5�A��8�^�~ �;$s�$;�s��;�vh�@��+�WS�������u ��A�����6���A�u�Z]_^[Í@�SVWU���������A����?���������]��3;{ ,�΋׋C������>�tP�FC�F)C �{ �u>��������5�;�uɋ֋�������>�t!�̋֋�������<$�u��̋V������3��YZ]_^[Ë�SVWU���� $������A����?���������]���;�t;su�;suW;{ ������L$��+S �CC ������|$�t3�L$ �T$���]����|$ �u��L$ �T$�D$�%����$3҉������L$�׋�������|$�t4�L$ �T$�������|$ ��f����L$ �T$�D$������$3҉�H�k;�u:;{ 5� $�׋��q����$�8�t(�$�@C�$�@)C �{ �u���������$3҉��]_^[ÐSVW������$���?���������4$�������;�s[�ϋ�+Ӌ�������L$�׸�A��]����\$��t�L$ �T$���&����D$ �D$�D$�D$�|$�t�T$��A�������3����_^[�U��3�Uh�@�d�2d�"h�A��9����=EA��t h�A��.�����A��������A������� A��x���h���j�������A��=A��t/�����A�3ɉL��@=��u��A��@���A���A�3�ZYYd�h�@��=EA��t h�A��������)���堼A�]�U��S�=�A�������3�Uh�@�d�2d�"�=EA��t h�A��f�����A���A�P�4���3��A���A��h����j��CP�%�������A�u���A��������A������ A��u�����A���t���A�P�������A���u�3�ZYYd�h�@��=EA��t h�A������h�A��������E����[]�S;A�u �P�A��P�H�����8;�u��y�����A�3҉T���$��y�����A��T������P[Ë���P[Í@�� A���J;�rJ ;�r��� A�u���A����3ҋ�ÐS�ʃ����|����������[Ã�| �ʁ������ [���A��Ѓ����������A�����Ë��� |����������Ã�| �ʁ�����ƒ ��SV�Ѓ���ʁ���������t ��A�����ځ����+Ë�3������t ��A�����t �Ѓ� �r+�;pt ��A���������ދ�^[Í@�SVW��3�������t %����؋�u�����X����F�؃#���_^[�SVWU��������$���������؅�������k��C �Ѝ 7+y� ��+���+Ń� }�L$��+S׋��������L$�׃��F������l$��t4��+֋��c�����D$�SS ;�s �7+�������T$��������$�$�� ]_^[Í@�SVW�����߉s��ƃ� �p�����7�օ�y�����A��D����u�A��\���[��:��C���Z�,���<��| �֋��������u�A��A���C���Z_^[Í@��=A��~@�=A� } ��A�����+�A����A���A��������3��A�3��A�Ë�SVW������<$����������L$�׸ A������\$��u3��R�;�s �����)G�G��t$ ;�s�����G�G;�u������������o��A��G�A����_^[Í@�S����؋GC�D����<$�t ���W�����u3���YZ[ÐSV������؋̍V��������<$�t ���&�����u3���YZ^[Í@�3҅�y����=����A��T����u@=��u����SVWU���A��A��A�;s�������C;�~{�s�[;s���B;t��c����� ��������؅�uN��������u3������;u��)u��}� }u�3��E��A�5A��փ������A���5�A��L�������S��+ƃ� | ��֒�T������;u�C���ƃ ��Ëփ������A���5�A�]_^[�U�����SVW�؀=�A��u �������t�����~ 3��E��T��3�Uh� @�d�1d�!�=EA��t h�A�� ���������� }� ��������������Å�y�����A��T����ty����à ��B;�u�Å�y����� A�3��|���&�˅�y�����=A��D��� �M��M��A�M���ƋR������E���A����A����������;A�J)A��=A� } A�3��A��A�A��Ӄ�����E���A����A������2��������E�3�ZYYd�h� @��=EA��t h�A��������w�����E�_^[YY]Í@�U��QSVW��3���A��=�A��u�f�����u��A�����E�����a��3�UhF"@�d�1d�!�=EA��t h�A�������������u��A� ��������� �A���%�����)�A���tE�ƃ� �P�� |�����t��A� ����������+�;Pt��A� ��������ڋ��T����������Ë�;=A�u,)A�A��=A��<��~����3��E��=����������t�������} ��A� ����7��)�ǃx�t �8�t�x } ��A� �����P�������Ӌ��'�����A��E�3�ZYYd�hM"@��=EA��t h�A��W������ �����E�_^[Y]Ë�SVWU������������ }� ��������}��������Nj�;�u�����;��������+։$;A�u8�$)A��$A��=A� �L���$A��$)A����3�����u �ËP$������<$ |��ދ$����Ã��������������������+ljD$;A�ug�A�;D$|S�D$)A��D$A��=A� }�A�A�5A�3��A���+��A��E�%��� ��u��������>�������uM�Ӌ‹H� $� $;L$}$�ڋ$)D$�,�����D$)$�<$ |��Ƌ$�n����:4$��ރ#��.������t!%���Ë؋T$���������t ���� ���3����+��A��E�%��� ��u��YZ]_^[Ë�U��QSVW���؀=�A��u�������u 3��E������3�Uh�$@�d�2d�"�=EA��t h�A������֋��������t�]��6����������Ã���%�����;�}�ƅ�t�׋ˑ������������}�3�ZYYd�h�$@��=EA��t h�A��������2 �����E�_^[Y]Í@�S��~�,�@��؅�u �������3ۋ�[�S��t�0�@��؅�t �������3ۋ�[Ë��t2��tP���4�@�Y �t�ð���������0�@� �u�ð�p�����tP���,�@�Y �t��Í@���@��I���SV���؀��=A��t �֋��A���u �����������w 3��Ê�8�@�3��Ë������^[Ë����$������PRQ����������YZXu�1������Í@�S�����������[�S�������������3҉������[Í@�VW�Ɖ׉�9�wt/��x*��������_^Ít1��|9���x��������������_^�Sf�Hf����tIf��s ���Ӌ��3��=A�t=�A�u3���g�����t���O�����[Í@��P�����Í@�SV��3�f�Cf=��r/f=��w)f%��f=��u���S����u���S$����t����������HA�t �g����������^[Ë�SVW��P��tl1�1ۿ��� �F�� t�����-tb��+t_��$t_��xtZ��XtU��0u�F��xtH��XtC��t ���t-��0�� w%9�w!���؊F��u���t ��}T� F���~KxI[)��G�ŊF뜿����F��t߀�ar�� ��0�� v ����wЀ� 9�w���؊F��u���u��Y1��2_^[Í@�VW�Ɖׁ�������_^Í@�����Ë�S1ۅ�|M�����=���������ƒ���۬S�(@�����ty�ƒ�t ��۬S*@�����ta��۬C�*@����S��=���}F�ƒ���۬S�(@�����t4�ƒ�t ��۬S*@�����t��۬C�*@������۫�(@������[�������������������?��������@��������@��������@������@� @������P�@������$�@��������@����� ��@�����(k�@������� @����@�C�#@�������&@����*焑*@����� ��-@����1�_�0@������4@����.���7@��@v:k �:@����#NJ>@��b���x�A@��z�&��D@���n2x��H@��W ?h�K@�������N@��@aQY�R@ȥ���o�U@: �'���X@� ��x9?�\@� �6���_@�Ng����b@�"�E@|o�e@��p+��ŝi@զ��Ix��@������=A�����G���A��+��BkU'9��p�|B0�<���R��B������~�QC�/j\�&һCv���)/��&D� ���'���D�������DY������dE�����Jz��Eb����>�9FǑ�����F u��uv�HM䧓9;5���S�]=�];���Z��� �T��7a�Z��%]���g��'���]݀n�� �R`�%u�Y�nb5��{��%�C���S3�j��������uj�����%����=� ��t=���u���[ÐU�������@��E��E�Pjj�h�+@�h����������uM3�Uh�+@�d�0d� �E�����E�P�E�Pj�j�h�+@��E�P�����3�ZYYd�h�+@��E�P�l�����r����f��@�f%��f�U�f��?f �f��@���]��SOFTWARE\Borland\Delphi\RTL�FPUMaskValue��������-�@�Ë�VW�׋p�1ɊA��_^Í@�S�؋��&���������Ћ��<���[Ë�S�؋�������������[Ð��؋�Ë�������~�z��Ð��t���Q��SVW�É׫�K�1�Q��I��Y�����Љ��K���tQ�[܅�t���9�t[� ���s��t�{�4��Iu�9�u�_^[Ë�SV�ÉƋ6�V��v܅�t�Q ���؅�u�^[�SV���؅�t �֋�A�����u3�^[ð^[Í@�W���6�~S�t �Q���f�t Y�v܅�u�_�X�)ȋtG�_Ë����9�t�@܅�u�ðÐ�����Ë�Í@�Í@�Í@�Vf�2f �tf����sP�������Xt��^��^��a�ÐRQS��|�P�1ҍL$d���i�A�-@��A d� [YZ��:���D$,�@ ��t���P�Q�X� �������Í@���R�Ë�S�؋Ë�R���[Ë����PR��R�ZXÐ�=�@�vj�j�j�h����A�Ð�=�@��tPPRTjj�h����A���XÍ@�Tjj�h����A���XÍ@��=�@�vPS�����Í@���t�A�9�t �9�u ��AA����Ë��=�@�vPRQ�����QTjj�h����A�YYZXÐ�=�@�vRTjj�h����A�Z�PR�=�@�vTjj�h����A�ZXË��D$�@�������8����P�Htn�������A���������҅�������T$ �L$�9���t7������=�@��v)�=�@��w �L$PQ�������X������‹D$�H �0�‹D$�H �=�@�v�=�@��wP�D$RQP��������YZXtp�HS1�VWUd�SPRQ�T$(j�Ph�/@�R�A��|$(����������������o�_�G�/@����f������#���������������������A�L�������Ë��D$�T$�@���t�J�BL0@�SVWU�j���F�����]_^[����Ë� �u ���������ZTUWVSPRTjjh���R�%A�ËD$0�@�0@��L��������� �������B �`��8���t �B������J���1���d�Y��]_^[����Í@����������� �������B�u���Z�d$,1�Yd�X]��������1ҋL$�D$��d���� �Ë�U���U�=����,t\=����tW-���t\-����t=HtN�`q��?��r6t0�R=����t=-����t.HtHt$�:-����t/��=t&�,���*���&���"������������������ ��������%�����R �����]���D$�@���������=�@��w�D$P��������tq�D$�� ����T$j�Ph�

Targets

    • Target

      ChatgptHelper.bin.zip

    • Size

      16KB

    • MD5

      08480329b811e7d893d69964f42d04e7

    • SHA1

      a6749bd149d476ecfd0ac7453d9bfeae39579325

    • SHA256

      21373a6d949a357dd7cab0df39490d440415d0887316430771923547f65a349c

    • SHA512

      79180bd8711e70feae33050423092e0be2f8b39390db493a81e5361c5283a7c34a29780d097a2b56d9c3a6b4cdc513259118ad4152ee8e75b2e8aba9f62c3570

    • SSDEEP

      384:wHIDNXyAoto5djCYNTq7OAZVTvWuK/sHpHLgD7jGMb5YAlbQ:wyNXyudm7O4Tuf8ponXZQ

    • Chaos

      Ransomware family first seen in June 2021.

    • Chaos Ransomware

    • njRAT/Bladabindi

      Widely used RAT written in .NET.

    • Deletes shadow copies

      Ransomware often targets backup files to inhibit system recovery.

    • Modifies boot configuration data using bcdedit

    • Deletes backup catalog

      Uses wbadmin.exe to inhibit system recovery.

    • Modifies Windows Firewall

    • Checks computer location settings

      Looks up country code configured in the registry, likely geofence.

    • Drops startup file

    • Executes dropped EXE

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Drops desktop.ini file(s)

    • Legitimate hosting services abused for malware hosting/C2

    • Sets desktop wallpaper using registry

MITRE ATT&CK Matrix ATT&CK v6

Execution

Command-Line Interface

1
T1059

Persistence

Modify Existing Service

1
T1031

Defense Evasion

File Deletion

3
T1107

Modify Registry

1
T1112

Credential Access

Credentials in Files

1
T1081

Discovery

Query Registry

5
T1012

System Information Discovery

5
T1082

Peripheral Device Discovery

1
T1120

Collection

Data from Local System

1
T1005

Command and Control

Web Service

1
T1102

Impact

Inhibit System Recovery

4
T1490

Defacement

1
T1491

Tasks