Analysis
-
max time kernel
31s -
max time network
33s -
platform
windows7_x64 -
resource
win7-20230220-en -
resource tags
arch:x64arch:x86image:win7-20230220-enlocale:en-usos:windows7-x64system -
submitted
18-05-2023 07:33
Static task
static1
Behavioral task
behavioral1
Sample
Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe
Resource
win7-20230220-en
General
-
Target
Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe
-
Size
481KB
-
MD5
eda3cee701fa882bd737df5e0ac4e558
-
SHA1
6c21aaaf9902a39e3e18236a32331593d15f96b5
-
SHA256
adc7909c67b4a85f430bd526a93228512bcd61340b4a06540071469ddc3b1d2c
-
SHA512
af61ebd8ef89900b5518fd06dc2d2c42b6ddbaa590fa11cd33f1ba67b62f07808bcec67f74285e0f49dfe4fc06ba3ab04b88bf875e5d97035d48c416db67072d
-
SSDEEP
6144:VaoDpZkndJsStA+tgRFsTpb9GX/F0mZNFEtQkODi3RURDVCLwvGUvpohAZ:VH1CoStpt+sTd94t0m4QZD00DVCsuQo
Malware Config
Signatures
-
Blocklisted process makes network request 2 IoCs
Processes:
PoWeRshElL.exeflow pid process 4 1248 PoWeRshElL.exe 6 1248 PoWeRshElL.exe -
Legitimate hosting services abused for malware hosting/C2 1 TTPs
-
Suspicious behavior: EnumeratesProcesses 1 IoCs
Processes:
PoWeRshElL.exepid process 1248 PoWeRshElL.exe -
Suspicious use of AdjustPrivilegeToken 1 IoCs
Processes:
PoWeRshElL.exedescription pid process Token: SeDebugPrivilege 1248 PoWeRshElL.exe -
Suspicious use of WriteProcessMemory 3 IoCs
Processes:
Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exedescription pid process target process PID 1732 wrote to memory of 1248 1732 Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe PoWeRshElL.exe PID 1732 wrote to memory of 1248 1732 Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe PoWeRshElL.exe PID 1732 wrote to memory of 1248 1732 Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe PoWeRshElL.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe"C:\Users\Admin\AppData\Local\Temp\Comprobante De La transacción No. [4148748414571lI8CJ] realizada el día Miércoles 17 de mayo del 2023 ha sido exitosa..exe"1⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\PoWeRshElL.exePoWeRshElL -EXeC byPaSs -F C:/ProgramData/f187JWfPl2EwH6lHMQs.ps12⤵
- Blocklisted process makes network request
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
Network
MITRE ATT&CK Matrix ATT&CK v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\ProgramData\f187JWfPl2EwH6lHMQs.ps1Filesize
25KB
MD583bc8073dfca17612cca8cd27637c9ef
SHA1f60769c97a5588fedcd71d42d72f9bc9acde2d51
SHA256e369f82a97213941dbfbf8d816487fce8aebed694b9c9fbe222102355d537a31
SHA512a0d28fa01a01010c9ac719a7fc7773185eac9a7e8e25eb4884674f2e04936da43c14a2feb5592b125c24e8703fdc3faeca07bddd41ad6b62cb620b23eb0dd54e
-
memory/1248-59-0x000000001B200000-0x000000001B4E2000-memory.dmpFilesize
2.9MB
-
memory/1248-60-0x0000000001D70000-0x0000000001D78000-memory.dmpFilesize
32KB
-
memory/1248-61-0x00000000026F0000-0x0000000002770000-memory.dmpFilesize
512KB
-
memory/1248-62-0x00000000026F0000-0x0000000002770000-memory.dmpFilesize
512KB
-
memory/1248-64-0x00000000026F0000-0x0000000002770000-memory.dmpFilesize
512KB