Analysis
-
max time kernel
244s -
max time network
179s -
platform
windows10-1703_x64 -
resource
win10-20230220-es -
resource tags
arch:x64arch:x86image:win10-20230220-eslocale:es-esos:windows10-1703-x64systemwindows -
submitted
23/05/2023, 14:58
Static task
static1
Behavioral task
behavioral1
Sample
H5xpt7JH.exe
Resource
win10-20230220-es
windows10-1703-x64
8 signatures
600 seconds
General
-
Target
H5xpt7JH.exe
-
Size
1.0MB
-
MD5
59806071ccf67b8aa327a25917cc7acc
-
SHA1
791cfe225f58d0599c863e024df9959621a5fe3d
-
SHA256
be9ea282263b3bf71430b4bb4adc79dd32e3bd0dcac42e700401721160ba8271
-
SHA512
82842bf3817262d9a18d5641a80a546c2c2a1f480c667afd0ebb3cba8fcd4b38f4aac48aae197eb9fc50901f333e9b3943d26c139466569b85237acbe15e0f45
-
SSDEEP
24576:dst76ubD7XOXwTiXxjSgJdSXgvELGwpKiiyHe:OB72wTihjSgFveBI
Score
4/10
Malware Config
Signatures
-
Drops file in Windows directory 2 IoCs
description ioc Process File created C:\Windows\rescache\_merged\4183903823\810424605.pri taskmgr.exe File created C:\Windows\rescache\_merged\1601268389\3877292338.pri taskmgr.exe -
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 3912 taskmgr.exe -
Suspicious behavior: LoadsDriver 1 IoCs
pid Process 648 Process not Found -
Suspicious use of AdjustPrivilegeToken 5 IoCs
description pid Process Token: SeDebugPrivilege 3912 taskmgr.exe Token: SeSystemProfilePrivilege 3912 taskmgr.exe Token: SeCreateGlobalPrivilege 3912 taskmgr.exe Token: 33 3912 taskmgr.exe Token: SeIncBasePriorityPrivilege 3912 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe 3912 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\H5xpt7JH.exe"C:\Users\Admin\AppData\Local\Temp\H5xpt7JH.exe"1⤵PID:2016
-
C:\Windows\System32\rundll32.exeC:\Windows\System32\rundll32.exe C:\Windows\System32\shell32.dll,SHCreateLocalServerRunDll {9aa46009-3ce0-458a-a354-715610a075e6} -Embedding1⤵PID:5064
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Drops file in Windows directory
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:3912