Analysis

  • max time kernel
    142s
  • max time network
    152s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20230621-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20230621-enlocale:en-usos:windows10-2004-x64system
  • submitted
    02/07/2023, 03:38

General

  • Target

    9fd30939c8ee3482c074f9820b8f97e0.exe

  • Size

    303KB

  • MD5

    9fd30939c8ee3482c074f9820b8f97e0

  • SHA1

    9a7d6d4024474dffde0861280b8f48261d2475b2

  • SHA256

    5690f00f6a81c9888c09c505f46663c36c62cbede4337786f7848f05791afa11

  • SHA512

    de79911d1c97e52d3900c4e40b5bef629d8b24625ea8dc85d8134623d2428ccdc3a2dfea4335e4a59b70beffacbb73d23a8165009eb4b96219595f30b70d1900

  • SSDEEP

    6144:l5p7oDkc0qmpHhuvYQzAn/xd9pzRi3vdIFgPTH:lX0khCvYQz8l6FIFI

Score
10/10

Malware Config

Extracted

Family

gcleaner

C2

45.12.253.56

45.12.253.72

45.12.253.98

45.12.253.75

Signatures

  • GCleaner

    GCleaner is a Pay-Per-Install malware loader first discovered in early 2019.

  • Downloads MZ/PE file
  • Program crash 15 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\9fd30939c8ee3482c074f9820b8f97e0.exe
    "C:\Users\Admin\AppData\Local\Temp\9fd30939c8ee3482c074f9820b8f97e0.exe"
    1⤵
      PID:2280
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 744
        2⤵
        • Program crash
        PID:4020
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 764
        2⤵
        • Program crash
        PID:224
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 744
        2⤵
        • Program crash
        PID:5052
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 848
        2⤵
        • Program crash
        PID:4948
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 864
        2⤵
        • Program crash
        PID:656
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1016
        2⤵
        • Program crash
        PID:2132
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1320
        2⤵
        • Program crash
        PID:3196
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1496
        2⤵
        • Program crash
        PID:2680
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1588
        2⤵
        • Program crash
        PID:1900
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1532
        2⤵
        • Program crash
        PID:4672
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1628
        2⤵
        • Program crash
        PID:1968
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1764
        2⤵
        • Program crash
        PID:1908
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1508
        2⤵
        • Program crash
        PID:1380
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1840
        2⤵
        • Program crash
        PID:3500
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 2280 -s 1860
        2⤵
        • Program crash
        PID:4548
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 464 -p 2280 -ip 2280
      1⤵
        PID:3688
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 456 -p 2280 -ip 2280
        1⤵
          PID:644
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 2280 -ip 2280
          1⤵
            PID:1216
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 488 -p 2280 -ip 2280
            1⤵
              PID:4544
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 2280 -ip 2280
              1⤵
                PID:3384
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 2280 -ip 2280
                1⤵
                  PID:2080
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 492 -p 2280 -ip 2280
                  1⤵
                    PID:2536
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 384 -p 2280 -ip 2280
                    1⤵
                      PID:3524
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 444 -p 2280 -ip 2280
                      1⤵
                        PID:2676
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 488 -p 2280 -ip 2280
                        1⤵
                          PID:892
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 2280 -ip 2280
                          1⤵
                            PID:2944
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 468 -p 2280 -ip 2280
                            1⤵
                              PID:4692
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 456 -p 2280 -ip 2280
                              1⤵
                                PID:3264
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 488 -p 2280 -ip 2280
                                1⤵
                                  PID:3236
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 472 -p 2280 -ip 2280
                                  1⤵
                                    PID:4520

                                  Network

                                        MITRE ATT&CK Matrix

                                        Replay Monitor

                                        Loading Replay Monitor...

                                        Downloads

                                        • memory/2280-135-0x00000000005E0000-0x0000000000622000-memory.dmp

                                          Filesize

                                          264KB

                                        • memory/2280-136-0x0000000000400000-0x000000000048D000-memory.dmp

                                          Filesize

                                          564KB

                                        • memory/2280-145-0x0000000000400000-0x000000000048D000-memory.dmp

                                          Filesize

                                          564KB