General

  • Target

    d2836cbcc2f103c079eb15c5bce0ae62bde57f70bc3f9f268654a564dec8ed8f.zip

  • Size

    7KB

  • Sample

    230414-zhrxqsdc5z

  • MD5

    6a670dd94d94b24a4951dbb546668406

  • SHA1

    891252b3b2925d52ddd969bd58b86af9ead15526

  • SHA256

    48c0663ebe0499bdf954489b065c48c4568e4a58c4b6b90167c5d68ff0d4ab07

  • SHA512

    a25ca5df78d6fe62a92a669ca674fb2f788d847c7b3260698f3e025ef6d29bc1416f414a15667efb313f41cdadf52f6d0165d9402ab1846080f53a6e5d1048a2

  • SSDEEP

    192:30X6LliqvVPSZWkgLopCDVvHCdFP+6iG3FvfUl:30X6LcqdPKgLop64FG61vfUl

Malware Config

Extracted

Path

C:\Program Files (x86)\Windows NT\explorer.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������3�Ҙw���w���w���PF��d���w������i�5�v���i�-�v���Richw�����������PE��L�KbX����������  �����*������0#������0����@���������������������������������������������������������������8�������p�����������������������������������������������������������������������������0�����������������������������.text��������������������������� ��`.rdata��X���0��������������������@��@.data�������P������0��������������@���.rsrc������p������2��������������@��@����������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������SU�-0@�VWh�2@�j��Ջ=0@��0@�����tj�V��V��h�2@�j��Ջ���tj�V��V��_^][�������́���V3�d�=���������u�D$P�?��(0@���?���L$h�2@�Q�h1@����T$RVj�h3@�h����00@���uW�5�1@�W�D$ P�֋T$�= 0@��P�L$Qjj�h�3@�R��h�V@����P�D$ h�V@�jj�h�3@�P�׋L$Q�0@�_^������́���Vh�1@�P�L$h�3@�Q�h1@���j�j�jj�jh���@�T$ R��0@������t(j��D$Ph�V@���1@��Ph�V@�V��0@�V�h0@�^�������������������̃�0SU�l$<VW3�WWjWjh����3�U�\$@�|$4�|$0��0@�����������D$(P�L$4Q�T$@RV�H0@�h����jh�3@�W�D$,P�0@��������T$�L$QWWh ���R�,0@�������Wh�T@���1@��P�D$h�T@�P�0@����U���T$�D$�L$QjRhf��P� 0@����0��WV��0@��T$W�L$QWWjWR�D$,��0@��D$jh�0��PW�=1@��׋T$j��L$$QR��SV��0@���������D$�T$P�L$$QSj�jj�R��0@��������V��0@�j�j�j�V��0@��L$j��D$$PQSV��0@���ui�T$(R�D$4P�L$@QV��0@�V�h0@�jh���h���j���h<2@�U��hD4@�W�h1@���WU�1@�h����j�W��0@����D$$��������h����j�S��0@��T$R�40@��\$$3��D$P�80@��|$�L$WQ�$0@�V�h0@�_^]��[��0�������́�(����$,��SUVW3�SSjSjh����P�\$0��0@����������SW��0@������x���L$Q�T$(R�D$4PW�H0@�jh���h���S�1@��������@��u��13ˆ)A�����r�j�j�j�W��0@��� �����t'��$����j��L$Qh���UW��0@�;�u�\$+�u�W�h0@�9\$������T$R�D$(P�L$4QW��0@�jh���h���j��1@���$<���h1@�h<2@�R��hD4@�V�Ӌ�$L����VP�1@�h����j�V��0@���$<��h�1@�Q�T$@h�3@�R�Ӄ�j�j�jj�jh���@�D$PP��0@������t(j��L$8Qh�V@���1@��Ph�V@�V��0@�V�h0@�h����j�U��0@��\$W�h0@�_^]��[��(����������������U�������\ ��SV�uWV��1@��=h1@�3Ƀ���V��$l��hP4@�R�L$ �׃� �D$P��$l��Q��0@��D$����x���P1@�����$������=h1@��|$�u�T$DRVh`4@���$t��P��L$DQVhD4@���$t��R�׃��D$tC�=�0@�hl4@��D$HP�ׅ������ht4@��L$HQ�ׅ��������$h��R�����������3�3�����������P@�P��$l��Q�Ӆ�t��������8r�h�_@���$l��R�Ӆ�uhx4@���$l��P�Ӆ�t�����D$�u[����uT��uP=����th������$l��Q�\0@���$h��R�Y�������u"��$h��P���������u��$h��Q�d0@��u�D$�T$RP�l0@���������L$Q�$1@�_^[��]���̃��D$ P�D$�����D$�����`0@�P�(1@��������S�L$ Q�T$Rjj�j�����3�9\$ �{���VW3��D$ � ;L$t^���x0@�;�tR�T$R�D$PjWj�������u9�L$f�9Pu �T$�P��L$�Rj��s����uP�D$� Qj��d��C�� ;\$r�_^�T$R�<��[���������̃��$h�e@�P�h1@��L$Q�$����� j���0@���������́�X ����$\ ��SUVWP��$l��hP4@�Q�h1@��� �T$R��$l��P��0@��D$����7����0@��-P1@���$l ���L$DQR��$p��h`4@�P�h1@����D$t=hl4@��L$HQ�Ӆ������ht4@��T$HR�Ӆ��������$h��P�M����������3�3�����P@�Q��$l��R�Յ�t��������4rދD$�u����t����hx4@���$l��P�Յ�uW��uS�|$����th������$l��Q�\0@���$h��R���������u"��$h��P���������u��$h��Q�d0@��t$�T$RV�l0@��������V�$1@�_^][��X ���������U������� �MSVW�D$PQj�jj�D$ �@���D$$�����^ ����t 3�_^[��]���T$ Rj@��0@��؅�t��L$ �Å�t �d$����@��u��T$�D$ PS�L$QR� ����u?3�9|$vȍs�I��~�u �P��������N�����u �V�R�K���G�� ;|$r���=��u�S� 1@��D$P�� ��_^����[��]����������̃�VWjh���jj��1@��L$(�T$$���D$P�D$$Vj�j�Qj�j�j�RP��0@���u.9D$,u �L$j�Q��0@��T$ �=h0@�R�׋D$P�׿����3�h����j�V��0@���_^����������́���VWh���D$Ph�4@��P0@�h�4@��L$Q��$ ��ht5@�R�h1@���jh���jj��1@����D$PVj�j�h���j�j�j���$8��Q�T$<R��0@���u!�D$j�P��0@��L$ �=h0@�Q�׋T$R��h����j�V��0@�_^���������������́���SUVW3��/���� ���h����h�_@�h�5@��P0@��D$(Ph�����0@��t$(f9|$(������h1@��-T0@�V��0@���tV��0@���t V��0@���upV�L$h�5@�Q�Ӄ� h���j�j�j��T$ Rh����j��D$0P�X0@���u9�|$�t2Vh�e@��Ӄ�j�j�h�e@�hp@�j�j��Չ��_@�h���G��0@�V��1@�f�|F��tF�U���j�jh�_@�W��0@�j�������#����=0@�h�2@�j��׋0@��-0@�����tj�V��V��h�2@�j��׋���tj�V��V��_^][������������́����SVWjh���j���0@���Vj���0@�Vj�����0@�W�,1@���0@���V��P�D$PV��PVj�j���0@�W��0@�h@P@��L$Qh�V@��h1@��� _^[�������́� ��SVWh�����D$,Ph�5@��P0@��5�0@�j�h����jj�jh�����L$@Q�֋���t[�T$ R�D$P�L$ QW�H0@��h0@���t8j�h���jj�jh���@h�a@��֋���t�T$ R�D$P�L$ QV��0@�V��W��_^[�� ����������́����h�a@��D$h�5@�P�h1@��� j�j�jj�j�h�����L$Q��0@����tP�h0@��$R�d0@������������������W3�W��1@���u^Vh����j��0@�����tE�D$ h����PV��0@�P��^@�V�1@���1@���uVj �x1@������X1@�V� 1@�^��_Ë�_����������������SVW13‹��`0@����01@�����0@���13�P�D$3�3�QVh�5@�P�h1@���_^[�������������̃�S��W�D$PS�B������tyVjh���� ?Qj��1@���VWj�S����T$Rh�P@�h6@�V���j�h�a@��1@��ء�P@��WVQjjS�p0@�j�S��0@�h����j�V��0@�S�h0@�^_[�����������́�����VWjU�D$ P3�3��1@��-���f9D$tFf9Dtu�Ff�Dt�Ltf�D$f��t�A��Gf�D|f��u��T$3�Rf�L| ��1@�_^��u�$Ph@P@��t0@��Ĭ����h<6@�h@P@��t0@��Ĭ����������́�����Vj@�D$ PhD6@��P0@��L$Q��1@��P�T$ Rj���T@�h���j�j�j����D$Ph����j�hx6@��X0@��L$3�Qh�6@�h@P@��h1@��� �����^�Ą����̋L$��������V���-��t)��$����$��P��$��RQP�p1@�^��������$�������������a@�h�����T$ RP��1@��=�V@��������L$Q��1@���������5h1@��T$Rh@P@���$��h�6@�P�֍�$��Q���������u:�T$Rh�P@���$��h�6@�P��j�j���$ ��Qh�a@��/����� j���0@�jh�6@�h�6@�j���1@�3�^������j��`1@�3�^������U�������T��SVWh�����0@��|0@�h�6@�3�WW����0@��1@�=����� ������������"��������#������h$7@���0@�� 1@���h87@�V��hH7@�V��^@���h���h�P@�W��T@���0@��5P0@�h���h�a@�hX7@��������h�a@��L0@����uHjh�a@�h�P@���0@������h�����D$dPh�5@��֍D$`����jh�a@��\0@����������h�7@�h�P@��P1@��������d�0����C��V@����f9x@tu�PD�L$QR�H1@��|$��u]�P�d0@��NQh�T@��h1@��C�H8�@<��;�t �d$����@��u��C�H@�@D;�t ���@��u�WWWhp@�WW�T0@��]�5�1@�h���W�\$0�D$D�2@��D$$�"@��D$ ����D$0�����h���W�D$4��h���W�D$H�d1@�h����D$4�|$<�|$$�|$(�@0@��T$R�D$8��1@�f��� ��9=�V@������5|1@�WSWWh����h��j�֙+���-����PW�֙+���-����Ph��H�h�2@�h�2@�W�=�1@���j���j�V��1@�Ph���Vh����h,��j<j�h��Ph�7@�h�7@�j���j�j�V��a@���1@�Ph���Vj<h,��j�j�h��Ph�7@�h�7@�j��ף�e@���a@�h�7@�P�t1@�� �e@�h08@�Q�t1@�j�Sh���Vjjnj(jKh�Ph|8@�h�8@�h�����j�Sh���Vjh����jdjh�Ph|8@�h�8@�h�����e@���j�Sj�Vjh����h����jh�Ph�8@�h�8@�j���a@��׍�$`��R��e@������ �a@��=t1@�����$`��PQ�׋�e@�h@P@�R��j V��1@�3��������"���������5\1@�WWW�D$PP�օ�t+��1@��=l1@��L$DQ�ӍT$DR��j�j�j��D$PP�օ�u��D$L_^[��]��W��0@����%�1@��%�1@��%�1@��%�1@��%�1@��%�1@��%�1@��%�1@��%@1@��%<1@��%81@�������������������������������������������������������*<���<���<���<���<���<���;���;���;���;��<��:<��L<��\<��n<������C�������@��J?���A��~A��fA��PA��:A��,A��A���@���@���@���@���=���=���=���=���=���=��>��>��$>��4>��D>��T>��d>��v>���>���>���>���>���>���>���>�� ?��?��$?��,?��8?���@��`?��l?���?���?���?���?���?���?���?���?���?��@��&@��2@��P@��^@��j@���@��A�������=��r=��b=������6C������\;�������B���B���B���B���B���A���A���A���A��B��B��&B��6B��HB��VB��hB��zB���B���B���B������r;���;���;������(=��=���=���<��@=����������C�o�n�t�a�c�t�_�D�a�t�a�_�R�e�c�o�v�e�r�y�.�t�x�t���.�m�u�i�����.�d�a�t�����.�b�a�t�����.�b�i�n�����.�m�i�s�s�i�n�g�����.�i�n�i�����.�t�m�p�����.�l�n�k�����.�c�o�m�����.�m�s�i�����.�s�y�s�����.�d�l�l�����.�e�x�e�����S�m�a�r�t� �D�a�t�a� �R�e�c�o�v�e�r�y���S�y�s�t�e�m�����S�e�c�u�r�i�t�y�����A�t�t�e�n�t�i�o�n�!���������S�O�F�T�W�A�R�E�\�M�i�c�r�o�s�o�f�t�\�W�i�n�d�o�w�s� �N�T�\�C�u�r�r�e�n�t�V�e�r�s�i�o�n�\�W�i�n�l�o�g�o�n���L�e�g�a�l�N�o�t�i�c�e�C�a�p�t�i�o�n�����L�e�g�a�l�N�o�t�i�c�e�T�e�x�t���%�s�.�%�s���M�i�c�r�o�s�o�f�t� �E�n�h�a�n�c�e�d� �R�S�A� �a�n�d� �A�E�S� �C�r�y�p�t�o�g�r�a�p�h�i�c� �P�r�o�v�i�d�e�r���%�s�%�s�����%�s�\�*�.�*�����%�s�\�%�s���.�.�����.���\�M�i�c�r�o�s�o�f�t�\�W�i�n�d�o�w�s�����%�S�y�s�t�e�m�R�o�o�t�%�\�S�y�s�t�e�m�3�2�\�w�b�e�m�\�w�m�i�c�.�e�x�e���p�r�o�c�e�s�s� �c�a�l�l� �c�r�e�a�t�e� �"�c�m�d�.�e�x�e� �/�c� �v�s�s�a�d�m�i�n� �d�e�l�e�t�e� �s�h�a�d�o�w�s� �/�a�l�l� �/�q�u�i�e�t�"�����%�s� �%�s���%�W�I�N�D�I�R�%�����%�s�\���%�s�y�s�t�e�m�r�o�o�t�%�\�e�x�p�l�o�r�e�r�.�e�x�e���%�s�:�Z�o�n�e�.�I�d�e�n�t�i�f�i�e�r�����%�X�%�X�%�X�����\�V�a�r�F�i�l�e�I�n�f�o�\�T�r�a�n�s�l�a�t�i�o�n�����U�N�K���%�C�O�M�P�U�T�E�R�N�A�M�E�%�%�U�S�E�R�N�A�M�E�%�����C�:�\���%�X�%���%�s� � �%�s�����"�%�s�"� �%�s���E�r�r�o�r���C�a�n�t� �c�o�p�y� �t�e�x�t� �t�o� �c�l�i�p�b�o�a�r�d�!�����L�o�c�a�l�\�K�a�n�g�a�r�o�o�_�R�a�n�s�o�m�w�a�r�e���n�t�d�l�l�.�d�l�l���RtlMoveMemory���RtlComputeCrc32�%�P�R�O�G�R�A�M�F�I�L�E�S�%�\�W�i�n�d�o�w�s� �N�T�\�e�x�p�l�o�r�e�r�.�e�x�e�����e�x�p�l�o�r�e�r�.�e�x�e�����S�T�_�U�����s�t�a�t�i�c����� � � � � � � � � � � � � � � � � � � � � � �E�n�c�r�y�p�t�i�o�n� �k�e�y�:������� � � � � � � � � � � � � � � � � � � � � � � � � � �U�n�i�q�u�e� �I�D�:���������E�D�I�T�����C�o�p�y� �a�n�d� �C�o�n�t�i�n�u�e���B�U�T�T�O�N������:����������f;��P1��4;�����������;���1���9�����������<���0��D;����������T=���1���:�����������=��81���9�����������A��H0���:���������� C��X1���9����������,C��@0���:����������LC��H1����������������������*<���<���<���<���<���<���;���;���;���;��<��:<��L<��\<��n<������C�������@��J?���A��~A��fA��PA��:A��,A��A���@���@���@���@���=���=���=���=���=���=��>��>��$>��4>��D>��T>��d>��v>���>���>���>���>���>���>���>�� ?��?��$?��,?��8?���@��`?��l?���?���?���?���?���?���?���?���?���?��@��&@��2@��P@��^@��j@���@��A�������=��r=��b=������6C������\;�������B���B���B���B���B���A���A���A���A��B��B��&B��6B��HB��VB��hB��zB���B���B���B������r;���;���;������(=��=���=���<��@=������EStrStrW�SHLWAPI.dll��GetFileVersionInfoW� �VerQueryValueW���GetFileVersionInfoSizeW�VERSION.dll���CryptAcquireContextW���OpenEventLogW���CryptDeriveKey����CryptReleaseContext�ERegDisableReflectionKey���CryptEncrypt����CryptCreateHash�[RegOpenKeyExW���CryptDestroyKey���CryptDestroyHash��O�ClearEventLogW��*RegCloseKey�xRegSetValueExW��R�CloseEventLog���CryptHashData�ADVAPI32.dll�� �WTSQuerySessionInformationW��WTSFreeMemory��WTSEnumerateSessionsW��WTSDisconnectSession�� �WTSLogoffSession��WTSAPI32.dll���WNetCloseEnum�=�WNetOpenEnumW��WNetEnumResourceW�MPR.dll�BGetSystemDefaultLangID��ExitProcess��GetFileSize���CreateMutexW��$FindFirstFileW���SetFilePointer��OFreeResource���lstrlenA���GetDriveTypeW��SetEndOfFile��9FindResourceW��LoadResource����CreateProcessW����EndUpdateResourceW���GetLogicalDriveStringsW��GlobalLock��dWaitForSingleObject��GetModuleHandleW��fGetTickCount��WVirtualFree��SetFileTime��WriteFile��GlobalAlloc�!Sleep�e�CopyFileW� SizeofResource���GetFileAttributesW��hReadFile���GetModuleFileNameW���CreateFileW�ExitThread���lstrcmpW��MultiByteToWideChar��lstrlenW���GlobalUnlock���GetLastError�� GetProcAddress��TVirtualAlloc��)�BeginUpdateResourceW��MoveFileW�CGetSystemDefaultLocaleName���GlobalFree��FindClose�GProcessIdToSessionId��LockResource��bWaitForMultipleObjects��_WTSGetActiveConsoleSessionId���lstrcatW��JUpdateResourceW�0FindNextFileW��GetFileTime��GetCurrentThreadId��C�CloseHandle���DeleteFileW��GetCurrentProcessId��SetFileAttributesW��yGetVolumeInformationW���CreateThread��ExpandEnvironmentStringsW�KERNEL32.dll����DispatchMessageW����DefWindowProcW���SetWindowTextW��mSetClipboardData��oGetSystemMetrics���MessageBoxW�OpenClipboard�h�CreateWindowExW��ShowWindow����EmptyClipboard���GetWindowTextW���GetWindowLongW���LoadIconW�5RegisterClassExW���TranslateMessage��wsprintfW��LoadCursorW� PostQuitMessage�NGetMessageW�G�CloseClipboard��USER32.dll��R�CreateSolidBrush��GDI32.dll��CommandLineToArgvW��SHELL32.dll��������������������������������������������������������������������������������������������������������������������������������������������������������������������������2@��2@��2@��2@�t2@�h2@�\2@�P2@�<2@�02@�$2@�2@� 2@��1@��1@�<2@���������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������

Extracted

Path

C:\MSOCache\All Users\{90140000-0011-0000-0000-0000000FF1CE}-C\ProPsWW.cab.Contact_Data_Recovery.txt

Ransom Note
Your PC ran into a critical problem and all files have been encrypted with .missing extension. Including all partitions from all drives. Its impossible to decrypt your files by yourself or with thierd parties softwares and doing such a thing could damage all files forever. The only safe method to recover your data is contacting the email below and purchasing for the right decrypter software. Email: [email protected] ID code: .MISSING_4FAAAD26US Contact the email with your ID code and 1-2 files for free decryption to make sure the data is still safe and undamaged. If you dont receive an answer within 12 h, email again from another email service. The faster you purchase the software the sooner you get back on track.

Extracted

Path

C:\Program Files\7-Zip\descript.ion.Contact_Data_Recovery.txt

Ransom Note
Your PC ran into a critical problem and all files have been encrypted with .missing extension. Including all partitions from all drives. Its impossible to decrypt your files by yourself or with thierd parties softwares and doing such a thing could damage all files forever. The only safe method to recover your data is contacting the email below and purchasing for the right decrypter software. Email: [email protected] ID code: .MISSING_28F7BAC8US Contact the email with your ID code and 1-2 files for free decryption to make sure the data is still safe and undamaged. If you dont receive an answer within 12 h, email again from another email service. The faster you purchase the software the sooner you get back on track.܁夐

Targets

    • Target

      d2836cbcc2f103c079eb15c5bce0ae62bde57f70bc3f9f268654a564dec8ed8f.exe

    • Size

      17KB

    • MD5

      afd4357f76d04b947920e9831af8ce66

    • SHA1

      b7d67cdd306fbff772d82c2f02ba701ba5306d5a

    • SHA256

      d2836cbcc2f103c079eb15c5bce0ae62bde57f70bc3f9f268654a564dec8ed8f

    • SHA512

      c61b64561d40036f414d0332a7ada1570e2f0313e6aee78f4141dc839f9937c6acb5b6a8259d3cb332282a3c578cc23dbdf70b54e0edb578f55b107890c295be

    • SSDEEP

      384:1NuTZHnVcaI2r4BCTXZhtam11fTgC01p1Xx99zxWKhWqWhUCF:1Nu9CaxEovcm/BCvX7zA

    • Process spawned unexpected child process

      This typically indicates the parent process was compromised via an exploit or macro.

    • Deletes shadow copies

      Ransomware often targets backup files to inhibit system recovery.

    • Modifies extensions of user files

      Ransomware generally changes the extension on encrypted files.

    • Deletes itself

    • Executes dropped EXE

    • Loads dropped DLL

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Drops desktop.ini file(s)

    • Modifies WinLogon

MITRE ATT&CK Enterprise v6

Tasks