Resubmissions
15-03-2023 05:44
230315-ge8f7sbg62 615-03-2023 00:20
230315-am19jaaf39 614-03-2023 05:55
230314-gmnf1afh4v 3Analysis
-
max time kernel
151s -
max time network
155s -
platform
windows10-2004_x64 -
resource
win10v2004-20230220-es -
resource tags
arch:x64arch:x86image:win10v2004-20230220-eslocale:es-esos:windows10-2004-x64systemwindows -
submitted
15-03-2023 05:44
Static task
static1
Behavioral task
behavioral1
Sample
PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe
Resource
win10v2004-20230220-es
windows10-2004-x64
10 signatures
300 seconds
General
-
Target
PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe
-
Size
313.5MB
-
MD5
07f42c9c9094240d7fdc4e58ce7eeffd
-
SHA1
e6e291b5c9d8eaf6ccaadbbb2ad2092750a38584
-
SHA256
d524e75f3fd6aa2f59b335384a029e1cfff62def68bcf7cf9d7cd9d39ff704df
-
SHA512
c73a971a0aea6029a2b1a95fe2033017f5b0df183d3ad92b902055871e82093d2a0f873ccd7e9cc59bb64ad5cc09d4a0415f6eebc3d03a6d12b991b484a122bd
-
SSDEEP
49152:P7WDb5p9VUKuGTrSbMEqxmm1jjV5zKSUKFHK7VKM+PIMUoEWLX6j6HNaVIT6TL1Q:P7WnXJL1nPWRVx+PIOHNq1cpJQ
Score
6/10
Malware Config
Signatures
-
Looks up external IP address via web service 1 IoCs
Uses a legitimate IP lookup service to find the infected system's external IP.
flow ioc 39 ip-api.com -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 848 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 5 IoCs
description pid Process Token: SeDebugPrivilege 848 taskmgr.exe Token: SeSystemProfilePrivilege 848 taskmgr.exe Token: SeCreateGlobalPrivilege 848 taskmgr.exe Token: 33 848 taskmgr.exe Token: SeIncBasePriorityPrivilege 848 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe 848 taskmgr.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
pid Process 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe -
Suspicious use of WriteProcessMemory 2 IoCs
description pid Process procid_target PID 1860 wrote to memory of 3944 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 84 PID 1860 wrote to memory of 3944 1860 PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe 84
Processes
-
C:\Users\Admin\AppData\Local\Temp\PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe"C:\Users\Admin\AppData\Local\Temp\PDF_Archivo_DocumtoYCNCFQUFIICMOHQgyezk.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:1860 -
C:\Windows\splwow64.exeC:\Windows\splwow64.exe 122882⤵PID:3944
-
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k PrintWorkflow -s PrintWorkflowUserSvc1⤵PID:216
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:848