General

  • Target

    ACNHSpawner.exe

  • Size

    635KB

  • Sample

    230312-1d6e1afe33

  • MD5

    51af19d91789adb15a320b1cd957de76

  • SHA1

    38302244a37f533bbbe6a56b11927db36320a487

  • SHA256

    5877ff8332596cf786131c077ae510b8eb4d0371498380f6c147de8dfce6a706

  • SHA512

    5ab6e77744d9c3d64a4a0eb6e0ce6a2ed0c8864496b5addcb1448d3efff14cc0be374c2281e4f45c40d6b19efec2edffd94991697ed259cea519118c3950c949

  • SSDEEP

    3072:oys7oYfSbbQTLWuiUg7VsS4jMJN0LvdPJ+Y7g9R6E7T1lW:o/7oYfSHQPWTUg4/9J+q40

Malware Config

Extracted

Path

C:\Program Files (x86)\PCProtect\locale\it_IT.mo

Ransom Note
������' �����TI��A �������������������������l�������������������������������O����������;���5���X���t�����������������������������t����������0���Q���K���W�������F����������<���4���>������s������{������������������������%���������������������������������������������������������������E���7��&�������^���a���$���B����������������������g���w����������������������$��������������������� �������������� ������� ��������������)������� ���(������6������E������L������T������]���?���s����������\������� ���$��� ���1���:���>���3���y����������W�������e���"���4����������������������(������� �����������������������������.��� ���5������B��� ���[������h������}���$�������j�������m���#��� ������� �������������� ���������������������������� ������A���"������d������v�������������������������������?������� �������������&�������d���������{���%�������8������������������������ ��� ���������=������V���;���]���3�������2�������;�������P���<���5�������4�������C�����������<�����������7�������D�������p������I������w�������H���A�����������v���=����������@�������N���������a��������� ��������������� ���|��� �����������������������������������$������������� ���)���,���J���@���w���A�������O�������L���J���������������� ���������*������?���(���W���'�������X�������������5��� ������V������r���"���{���<�������b�������U���>���#�������N�������/������*���7���^���b�����������"���Q���i���t���������������`���=���?���[���}���A������������4���6���)��k������������������������e����������;��� ���L���.���W������������������������1������� �������)������ ���,���)���8������b������y��� �������+�������T�������D������:���_���3��������������� �������%������� �������*������������������� ���������$������;���"���R������u�������������������������������3�������,��� ������8��� ���O������p��������������������������������������!����������������0��� ���C������P�������X������������������������������!���2������T������m�����������������#�������"�������������������-���'��� ���U������_������n������������������������������� �����������������������������+������<���P���U����������K�������E�������8���@��.��y��/���������� ����� ������������� ���-�#���9����]����d����|������ ����������������������������������#��� �Q���D���������������� �����#����������[�������d����z����������� ����������������������-�U���E���������������� ������������������ �����(���3�J���\�J����� ���������� �����������/����5� ���D����O����e����t��������������������� ���������������:����+���M����y�=����������������������� ���� ����( �L���C �=���� �=���� �E��� ����R ����d ����j ����{ ����� ����� � ���� ����� ����� �7���� ���� � ���) ����5 ����= � ���W ����e ����t ����� ����� � ���� ����� ����� ����� ���� ����$ �$���5 ����Z ����s ����� ����� �u���� ����1 ����F �����W �-���� �R��������o����<� ���D����P�@���_�$�����#����������� ���y� ���������� ��������������� �����-��������� ���.����9�i���B�����������������������������-���,�%���Z�-���������� ����� �������������������$���)�"���N� ���q�������������������������� �����������$�"���?����b����k� ����������L���������� ����1������Q� ���X����d����y� ������������������������� ���y���������������� ������������������������������������!����=����M����]�1���y� ���������� ���������������Q��������<� ���V����b����j�>���r�����������Y������������!����)�;���:����v� ��������� ��������������� ����� �����g�������L�����[� ���U� ���b����m����u������ ����� �����+�������������� �������(�[���;������(�����6�������� ����$ �5���) ����_ ����h � ���y ����� �(���� ����� ����� ����� ����!����0!� ���D!����N!�[���^!�����!�����!�����!�!����"����""����2"�+���M"�����y"� ��� #����#����#����1#����H#� ���M#�����W#�����#����$����$� ��� $� ���.$����9$� ���@$����N$����V$����]$����q$�����$�����$�����$�����$�����$�����$���� %�#���&%����J%����b%����x%� ����%�A����%�z����%�s���G&�7����&�����&����'����''����A'����X'�"���q'�1����'�7����'�����'�=���(�%���U(�9���{(�*����(�����(�+����(�*���)� ���=)� ���H)�V���R)�����)�����)�����)�����)�$����)����*����*����9*� ���A*�,���O*����|*�4����*�����*�����*�����*����+����+�*���$+�,���O+�'���|+�!����+�-����+�<����+�<���1,����n,������,�+���-�'���D-�(���l-�3����-�����-�/����-�1���.�,���:.�&���g.�0����.�"����.�+����.�8���/�I���G/�;����/�6����/�<���0�6���A0�-���x0�0����0�'����0�.����0�=���.1�G���l1�P����1�V���2�<���\2�����2�����2�����2�����2� ����2� ����2� ����2�����2� ���3����3� ���3�$���-3�i���R3�v����3�����34������4� ����5�����5�����5�+����5�����5����6����!6����*6����:6�q���L6�D����6� ���7����7����7����7����:7�&���T7�J���{7�����7�����7� ����7�$����7�$���8�.���A8�(���p8�(����8�O����8�����9�����9�����9�*����9����:����:����3:����D:����T:� ���W:� ���a:����n:����s:����{:� ����:�����:�����:� ����:�L��� ;�N���V;�*����;�����;� ����;� ����;� ���<����<� ���0<�q���<<�����<�)����<�����<�����<� ���=����=����=����=����&=����.=� ���>=� ���I=����U=����\=����u=�����=�����=�?����=�����=�����=�����=�#���>�$���<>����a>� ����>�����>�$����>�����>�����>�����>�����>����?����?����?����3?����N?����i?�����?�����?�����?� ����?�$����?�����?�����?�����?����@����0@�+���P@�q���|@������@�x����A�0��RB�����C�����C�J����C����C�$���E�.���(E�x���WE�5���E����G�����H�����J� ����J�����J�����J����IL����PL����hL� ���xL�����L�����L�����L�����L�����L� ��� M����M����+M����IM�]��eM�����N�S����P�Y���P����?R����QR����ZR����sR�����R�����R�����R�+����R�����R� ���S� ���S����"S����*S����:S����LS� ���[S����gS�����S������S�5���jT�����T� ����T�����T�����T�����T�J����T�b���AU�����U�����U�����U�����U�����U�H���V�E���PV�����V�����V�����V�����V�����V����W����W�!���+W����MW� ���SW����^W����eW����kW� ���tW�����W�����W�����W�&����W�U����W�R���HX�����X�����X�-����X������X�&����Y�?����Y�����Y�����[� ����[�����[�����[�X����[����0\� ���B\����L\����R\����[\����m\�����\� ����\�����\� ����\�����\� ����\� ����\�����\������\�����]�����]�����]�����]�����]����^����^� ���4^�T���B^�����^�_����^�j����_����k_�����}_� ���`�&���9`����``����{`�����`�����`� ����`�����`�����`�����`������`����ba����|a�����a�$����a�)���a� ����b�����b� ��� c����c����&c����.c����1c����Dc����\c�����dc����%d����9d����Jd����]d����yd� ����d�����d�7����d�����d�d���e�u���je������e������f����$g�#���Ag����eg����yg�����g�����g� ����g�����g�����g�����g�����g�2���h����7h� ���Jh����Vh����[h����bh����qh�����h�����h�����h�����h� ����h� ����h�7����h�$���%i�*���Ji����ui����}i�����i�����i�����i�����i� ����i�����i�)����i�����i�x��� j�����j�����j� ����j�3����j�/����j����k����1k����@k����Gk����\k����ak����vk����~k� ����k�����k�����k�����k�����k�#����k����l����l����&l����9l����Il�#���[l����l� ����l� ����l�"����l�#����l�����l���� m����(m����9m�/���Mm�$���}m�'����m�T����m�7���n����Wn�'���wn�����n�&����n�#����n�"����o����#o�(���Co����lo����}o� ����o� ����o� ����o�0����o� ����o�F����o����-p����3p� ���Hp�/���Vp�&����p�5����p�*����p�+���q�7���:q�B���rq�����q�����q�����q�*����q� ����q���� r���� r� ���r����r� ���+r����6r� ���Lr����Yr����ur����|r�����r�i����r� ����r����� s������s�#���7t�-���[t�2����t�*����t�����t������t�����u� ����u�����u�����u� ����u�����u�����u�!����u����v���� v����$v����>v�5���Ev����{v�����v� ����v�����v�L���v�p���x������x�#��}y�����z�~���!{�Y����{�Z����{�����U|������|�����p}����� ~� ����~�����~�����~�����~� ����~�����~������~� ��������������������������������������#�����;�����W�����o�����������������������ǀ���������������������*�����@����X�����\��&���u��~������������s����������p����/��9��6��~���p��[������*���K�����v�������� ����������������W�����]�����c�� ���h�������� ������������+��������������������� �� ����� ����� ���+�����9��.���H�����w��,������3������0��������������4��0���L��"���}�����������������؋�x������G��p���������6������5������3���������(��:���9������t��h�����I������)���ː�'������ ��������+�����:�����@�� ���]��&���~���������1���<������n��r�����;���������“�t���ޓ�*���S�����~��>���������Ŕ����˔�&���ܔ�O��������S�����[�����t��!���������������������ϕ����ޕ���������������������������%�����A��!���a��Y������a���ݖ�*���?��;���j�� ������&���������ח�"�������������� ��(���5��#���^��%������K������������"����� ���+��v���5��j������ �����L���!��=���n��A������ ��������������� ��(���$�����M�����g�����������������������������ϛ����ߛ�U������%���K��!���q��"������ ���������������՜� ������!��������������7�����<�� ���E�� ���P�� ���[�����g�����{��������������L������B������E���C��0������ ���������Ğ�-���ٞ���������&�����9��7���N��6���������������ٟ�������%���������:������������נ�����m���������������������/�����A�� ���B�����c�������%��������ĥ������� �����������������������#�����G���=��������(������"������3��������������1�����:�����I�����X�����s�� ������#���������Χ�������������������,��������B�����b�����i�����}��������������������&������ ���ب��������������������������'�����/�����@�����_�� ���|��{�������������������-�� ���5�����C�����J�����g�����x��������������������-���̪��������������������������'�����?�����V�����g�����}�����������������ī����֫������������������������F�����=��b��U��������������������1�� ���6�� ���C�����P�� ���_�� ���j�����x�� ������ ������ ������<������������G������2���F��^���y��a���د�L���:�����������������������ΰ�@������Z���&��^������������`������6���^��(������(������������������ �����!��������6�����P�����m��%���������������ʳ������������'��������@�����^��"���z�������� �������������+������������������"���������ɶ����ݶ��������������������2�����G�����d�����k�����s�����z�����������������������Ʒ�*���շ�3���������4�����C�� ���J�����V�����l�����~�� ���������������������������˸����ܸ�%��������������7�����I�����Z�� ���j��L���v�����ù������������������������%�����+���9��-���e��1������)���ź�*������+��������F��9��������S�� ���h��$���u�����������������ͽ������������P�����J���g��D��������������������������<�����A�����P�����`�����f�����y��������������������������� �����������������������������������������������(���'��T���P��c������$��� �� ���.�����;�����S�����k�� ������������ ����������������� ������������������v���������q��������������������!������������ ���������������������� ���!�����-�����E�� ���M�����Z�����j�� ������������������������ ������������Q���������?�����R�����j�����o�� �����#������������������������ ��������������������+�����F�� ���N�� ���X��k���e�������������������������� ����������������� ��������+�����K�����Z��A���i��7����������������l�����o��(���s��(������������@������K��������h��������N��������W�����\�����l�� ���r�����|��(������#������ ������ ����I�����!���^�������� ������E������/������`�����T���|��p����������B������ �������������.��1������>������2���!��(���T��9���}��:������+������=�����p���\���������e���O���������*���u���������v���+��+������w������0���F��*���w��/������)������i������H���f��9������<������6���&��?���]��

Targets

    • Target

      ACNHSpawner.exe

    • Size

      635KB

    • MD5

      51af19d91789adb15a320b1cd957de76

    • SHA1

      38302244a37f533bbbe6a56b11927db36320a487

    • SHA256

      5877ff8332596cf786131c077ae510b8eb4d0371498380f6c147de8dfce6a706

    • SHA512

      5ab6e77744d9c3d64a4a0eb6e0ce6a2ed0c8864496b5addcb1448d3efff14cc0be374c2281e4f45c40d6b19efec2edffd94991697ed259cea519118c3950c949

    • SSDEEP

      3072:oys7oYfSbbQTLWuiUg7VsS4jMJN0LvdPJ+Y7g9R6E7T1lW:o/7oYfSHQPWTUg4/9J+q40

    • Lumma Stealer

      An infostealer written in C++ first seen in August 2022.

    • Zloader, Terdot, DELoader, ZeusSphinx

      Zloader is a malware strain that was initially discovered back in August 2015.

    • Creates new service(s)

    • Downloads MZ/PE file

    • Drops file in Drivers directory

    • Stops running service(s)

    • ACProtect 1.3x - 1.4x DLL software

      Detects file using ACProtect software.

    • Checks computer location settings

      Looks up country code configured in the registry, likely geofence.

    • Executes dropped EXE

    • Loads dropped DLL

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Registers COM server for autorun

    • UPX packed file

      Detects executables packed with UPX/modified UPX open source packer.

    • Adds Run key to start application

    • Checks installed software on the system

      Looks up Uninstall key entries in the registry to enumerate software on the system.

    • Drops desktop.ini file(s)

    • Drops file in System32 directory

MITRE ATT&CK Matrix ATT&CK v6

Persistence

New Service

1
T1050

Modify Existing Service

1
T1031

Registry Run Keys / Startup Folder

2
T1060

Privilege Escalation

New Service

1
T1050

Defense Evasion

Impair Defenses

1
T1562

Modify Registry

3
T1112

Install Root Certificate

1
T1130

Credential Access

Credentials in Files

1
T1081

Discovery

Query Registry

6
T1012

System Information Discovery

5
T1082

Peripheral Device Discovery

1
T1120

Collection

Data from Local System

1
T1005

Impact

Service Stop

1
T1489

Tasks