Resubmissions

09-10-2023 22:49

231009-2rwndsgh8w 10

06-03-2022 02:50

220306-dbkzyshha4 10

General

  • Target

    14ee5fe40e76955ea27cc715dd5849f10ce7dc992c234db67467bbb1757aa8f9

  • Size

    136KB

  • Sample

    231009-2rwndsgh8w

  • MD5

    17f29268c9f1c5d5bca8b2b66cd1044c

  • SHA1

    16273c67d772dccd1bc9d375b1c9ffa25e83129c

  • SHA256

    14ee5fe40e76955ea27cc715dd5849f10ce7dc992c234db67467bbb1757aa8f9

  • SHA512

    bd4d3f760de8225626f748f0168188d40c283b1a5525234cb8ff63621ff5f5952c6d6bf6de464485784641ff7aa08d89979ad000d26feb34f44fc231287ab1db

  • SSDEEP

    3072:zPpF+jHgCl1YERTwBl2kZUYxYID6KN4WWEES:zRPK1YERTeIkZVxYgT

Malware Config

Extracted

Path

C:\Users\Admin\AppData\Local\Drpbx\drpbx.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L���_����������"� 0���� �������3�� ���@���@�� ������������������������������@�����������������������������3�O����@�$�������������������`� ���������������������������������������������������� ������������� ��H�����������.text����� ������������������� ��`.rsrc���$���@������������������@��@.reloc�� ����`����� �������������@��B�����������������3�����H�����,J�� R�����'��8���h������������������������������������������{�� *{�� *V(�� }�� }�� *��0�;�����u�� ,/(�� {�� {�� o�� ,( �� {�� {�� o!�� **� ut� )UU�Z(�� {�� o"�� X )UU�Z( �� {�� o#�� X*0�b�����r��p���%{�� �%q�����-&+ ���o$�� �%{�� %q�����-&+ ���o$�� �(%�� *{&�� *{'�� *V(�� }&�� }'�� *0�;�����u�� ,/(�� {&�� {&�� o�� ,( �� {'�� {'�� o!�� **� i��u )UU�Z(�� {&�� o"�� X )UU�Z( �� {'�� o#�� X*0�b�����r9��p���%{&�� �%q�����-&+ ���o$�� �%{'�� %q�����-&+ ���o$�� �(%�� *��0���������� p�����((�� ((�� � �� ���s)�� ���ro��p(*�� r���p(+�� � ��r���p� �����r���p���r���p���%~��(,�� ���~��(,�� ���r �p���~��(,�� ���~��(-�� - ~��(.�� &���r%�p���d���ru�p��(/�� r��p(+�� ���*�(0�� (��{��~��o1�� {��o2�� *�~��,*(9��-*���(��s��(3�� *(<��**z,{��, {��o�� (4�� *�0���������s5�� }��{��s6�� }��(7�� {��o2�� {�����s8�� o9�� "���@"��PAs:�� (;�� (<��  �� ��s=�� (>�� r��p(?�� r��po@�� ���s8�� (A�� (B�� *6(0�� (��*0�������(=��oC�� +b�(D�� r��p(E�� (F�� ,%{��oG�� ���%r�p�%�oH�� &+#{��oG�� ���%r�p�%�oH�� &�(I�� -���� ��o�� �*������ �oz�����z,{��, {��o�� (4�� *�0��������sJ�� }��sK�� } ��sK�� }!��{��oL�� (7�� {��oM�� {��oN�� �^��%{ ���%{!���oO�� {��oP�� {��sQ�� oR�� {��r�po?�� {�� R�� F��s=�� oS�� {��oT�� {�����sU�� oV�� { ��rO�poW�� { ��r_�poX�� { ��oY�� { ��2oZ�� {!��r{�poW�� {!��r��poX�� {!��oY�� {!�� ���oZ�� "���@"��PAs:�� (;�� (<��  R�� F��s=�� (>�� ([�� {��o\�� r��p(?�� (]�� r��po@�� ���s8�� (A�� {��o^�� (B�� *6(0�� (&��*0���������(_�� (`�� (a�� (M��{(��}o1�� {(��o2�� {'��r�po@�� {)��~��o@�� {)��ob�� {*��oc�� {*��(��o@�� {*��ob�� {+��ob�� {,��ob�� {.��ob�� {-��o2�� {/��ob�� (��, ���(��*��0�'�����~��r��p(,�� (F�� ,*r��p(d�� *�0�P����� (=��oC�� +"(D�� 3�2r��p(E�� (e�� X (I�� -��� ��o�� ��&��*��� �/<���������LL�#��0�������~��r��p(,�� (F�� ,(f�� *sg�� (3���I��%(*�� �oh�� (��+oj�� +(k�� ol�� om�� &(n�� -��� ��o�� �~L��%-&~K���Q��so�� %�L��(��+(��+ (d�� *����I�$m�����f(r�� %%os�� ���`ot�� *Rou�� r�p(v�� &*�0�������~�� {'��~%��ow�� r��p(E�� o@�� ~%��X�%��~%��ox�� X.*{(��o2�� {)��ob�� {*��ob�� {+��ob�� {,��ob�� {.��ob�� {-��o2�� {/��ob�� ���"��*��0������� -3~M��%-&~K���R��sy�� %�M��sz�� ({�� ���(��{4��o|�� r��p(}�� ,r��pY% �P��(~�� (�� &+W{-��o��� {+��o��� {+��(��� o��� {+��r��po@�� rD�pr)�p(��� &r��p(B��(:���#&{+��r=�po@�� {+��(��� o��� ��*��������#��2s��o3�� *���0����� ��~"��1B~"��Y�"��~"��<[ ~"��<] {.���(/�� ro�p(/�� (+�� o@�� * ���"��#�������?~#��l(��� i {/��(/�� rs�p(E�� o@�� ~#��X�#��(��*2r��p(��� &*z,{&��, {&��o�� (4�� *���0� �� ��s5�� }&�����(��� s��� s��� }'��{&��s6�� }(��s��� })��s��� }*��s��� }+��s��� },��{&��s6�� }-��s��� }.��s��� }/��s��� }0��s��� }1��s��� }2��s��� }3��s��� }4��s��� }5��s��� }6��s��� }7��s��� }8��s��� }9��s��� }:��{1��oL�� {9��oL�� (7�� {'��o��� {'��(��� o��� {'��r��p"��pAs��� o��� {'��(��� o��� {'�� k�� sQ�� oR�� {'��s��� o��� {'��r �po?�� {'��s=�� oS�� {'��oT�� {(��� ��s8�� o9�� {)��o��� {)��(��� o��� {)��r��p"��@As��� o��� {)��(��� o��� {)�� l�� ���sQ�� oR�� {)��s��� o��� {)��r%�po?�� {)�� ���s=�� oS�� {)��oT�� {)��r9�po@�� {*��o��� �I��%ry�p�o��� {*�� p�� *��sQ�� oR�� {*��s��� o��� {*��r��po?�� {*�� #��s=�� oS�� {*��oT�� {*��ry�po@�� {+��(��� o��� {+��(��� o��� {+��` ���sQ�� oR�� {+��s��� o��� {+��r��po?�� {+�� ����"s=�� oS�� {+��oT�� {+��r�po@�� {+��o��� {+���!��s8�� o��� {,��(��� o��� {,��(��� o��� {,��5 i��sQ�� oR�� {,��s��� o��� {,��r/�po?�� {,�� ��s=�� oS�� {,��oT�� {,��ra�po@�� {,��o��� {,���"��s8�� o��� {-�� ���o1�� {-���#��s8�� o9�� {.��o��� {.��(��� o��� {.��o��� {.��r��p"��$Bs��� o��� {.��(��� o��� {.��5 ���sQ�� oR�� {.��s��� o��� {.��r��po?�� {.�� ����Vs=�� oS�� {.��oT�� {.��r��po@�� {/��o��� {/��(��� o��� {/��r��p"��@As��� o��� {/��(��� o��� {/��A L��sQ�� oR�� {/��s��� o��� {/��r�po?�� {/�� ����s=�� oS�� {/��oT�� {/��r-�po@�� {0��o��� �I��%r]�p�%r��p�o��� {0��(��� o��� {0�� p��4sQ�� oR�� {0��s��� o��� {0��o��� {0��r4 �po?�� {0��oc�� {0�� ��� _��s=�� oS�� {0��oT�� {0��rF �po��� o@�� {1��(��� o��� {1��(-��o��� {1��(4sQ�� oR�� {1��s��� o��� {1��rb �po?�� {1�� -�� ��s=�� oS�� {1��o��� {1�� o��� {1��o��� {2��o��� {2��(��� o��� {2��r��p"��pAs��� o��� {2��(��� o��� {2�� u��AsQ�� oR�� {2��s��� o��� {2��rz �po?�� {2�� ���s=�� oS�� {2�� oT�� {2��r� �po@�� {3��o��� {3��(��� o��� {3��r��p"��pAs��� o��� {3��(��� o��� {3�� u�� ����sQ�� oR�� {3��s��� o��� {3��r� �po?�� {3�� (��s=�� oS�� {3�� oT�� {3��r� �po@�� {4��( ���sQ�� oR�� {4��s��� o��� {4��r �po?�� {4�� ,��s=�� oS�� {4�� oT�� {5��o��� {5��(��� o��� {5��$ y��sQ�� oR�� {5��s��� o��� {5��r �po?�� {5��Ss=�� oS�� {5�� oT�� {5��r$ �po@�� {6��o��� {6��(��� o��� {6��r��p"��@As��� o��� {6��(��� o��� {6��[ %��sQ�� oR�� {6��s��� o��� {6��r< �po?�� {6�� ����s=�� oS�� {6��oT�� {6��o��� {6��rR �po@�� {6���$��s��� o��� {7��o��� {7��2 O��sQ�� oR�� {7��s��� o��� {7��rv �po?�� {7�� ����s=�� oS�� {7��oT�� {7��r� �po@�� {8��o��� {8��(��� o��� {8��r��p"��pAs��� o��� {8��(��� o��� {8�� u�� i��sQ�� oR�� {8��s��� o��� {8��r� �po?�� {8�� ����s=�� oS�� {8��oT�� {8��r� �po@�� {9��(��� o��� {9��(.��o��� {9�� ��� ���sQ�� oR�� {9��s��� o��� {9��r� �po?�� {9�� ����7s=�� oS�� {9��o��� {9��o��� {9��o��� {:�� p�� ���sQ�� oR�� {:��s��� o��� {:��r �po?�� {:��oc�� {:�� #��s=�� oS�� {:��oT�� {:��r �po@�� "���A"���As:�� (;�� (<�� (��� o���  `�� ���s=�� (>�� ([�� {:��o\�� ([�� {*��o\�� ([�� {9��o\�� ([�� {8��o\�� ([�� {7��o\�� ([�� {6��o\�� ([�� {5��o\�� ([�� {4��o\�� ([�� {3��o\�� ([�� {2��o\�� ([�� {1��o\�� ([�� {0��o\�� ([�� {/��o\�� ([�� {.��o\�� ([�� {,��o\�� ([�� {+��o\�� ([�� {)��o\�� ([�� {'��o\�� (��� o��� (��� rt �po��� t��(��� s��� (��� r� �p(?�� (]�� r� �po@�� ���s��� (��� ���s8�� (A�� {1��o^�� {9��o^�� (B�� (��� *0�'�������~ ���i.+�(7��s��&(��� �&��*�������##���(�� *�~;��-r� �p� ��(��� o��� s��� �;��~;��*~<��*�<��*j()��r� �p~<��o��� t2��*j()��r �p~<��o��� t2��*j()��r> �p~<��o��� t2��*j()��rP �p~<��o��� t2��*V()��r` �p~<��o��� *j()��r� �p~<��o��� t2��*V()��r� �p~<��o��� *V()��r� �p~<��o��� *~=��*(��� *Vs5��(��� t ���=��*���0�M�� ��- (2��(�� &*9����@����r� �pr� �po��� (��� ,j(F�� ,b sS��(��� (��� o$�� }N��(��� �T��s��� (��+� d(��� X ,d2� ,��(��� -(e�� 3~ ��~ ��(��� &~��,(��� *~�� ~��,B((�� ~��(��� (,�� ~��(H��(��� ~��(��� ,*(��� (��� ,*~��(8��,(8��&(��� r� �pr� �po��� (��� &(��� *�(��� (��� ,*(��� o$�� (.�� &(��� (��� *B(��� ~��(��� *���0����� ��~ ��-(��� �~��(K��sg�� %~��(��� om�� &%~��(��� om�� &%~��om�� &oC�� +(D�� (-�� ,(��� �&��(I�� -��� ��o�� �(��� (��� r� �p(E�� (��� s��� r� �p(��� o��� � , o�� �(;��&�(��� �*4����[�l�#���Q�)z���������� �������������0����� ��(?��s��� (��� ~P��%-&~O���W��s��� %�P��(��+o�� +o�� r��p(A��o�� -�� ,o�� �~>��(F�� -~?��(��+ ~>��(��� *���:�W� ����0�9�����sg�� ~>��(F�� ,%~>��(���  +�  om�� &X �i2�*���0�s�����~��rh �p(,�� (-�� -(.�� &r� �p(,�� s��� r� �po��� � ,o�� �r� �p(,�� s��� r� �po��� � ,o�� �*����1� >� �����Z� g� ����0�p�����sg�� (0���I��%(*�� �%r� �p�oh�� (��+oj�� +(k�� ol�� om�� &(n�� -��� ��o�� �r��po��� &*���2�"T�����>�s^��%}[��*0�M����sf�� }_��(@��{`��%-&�g��s��� % }`��~Q��%-&~O���X��s��� %�Q��(��+~R��%-&~O���Y��s��� %�R��(��+~S��%-&~O���Z��s��� %�S��( ��+~T��%-&~O���[��s��� %�T��( ��+~U��%-&~O���\��s��� %�U��( ��+~V��%-&~O���]��s��� %�V��( ��+o�� +!o�� (C��, ~?�� om�� &�&��o�� -�� ,o�� ��&��*���AL�����������0������������-���=�� ����������� ���<��I�������0�Q�����(=��oC�� + �(D�� (E�� %(D��(e�� �&���(I�� -���� ��o�� �~>��(e�� *��������*���� �-8�����0�������~ ��, ~��o��� -r�po��� , �_s��� r��p(��� o��� ����%�E��(��� o��� (E�� (E��� ,o�� ��& ��(e�� �& �**(���-�8e� ��������qq�����w��#��0�n�����o��� -�box�� Yo��� s��� r��p(��� o��� ����%�E��(��� o��� (F��� ,o�� ��&� �(e�� �&��*��(��� �2R� ��������^^�����b�j�#��0�i����� ������� s��� s��� o��� s��� �io��� , o��� -�� , o�� �,o�� �,o�� �*���(���)�!J� ������9T� ������K^� ����0�i����� ������� s��� s��� o��� s��� �io��� , o��� -�� , o�� �,o�� �,o�� �*���(���)�!J� ������9T� ������K^� ����~~��r0�p(,�� �>��sg�� �?��*0�"�������,3�~��(J��� &(I���(I��*������� ����~��-*((�� ~��(��� (,�� ���*0�#�����~��� r\�po��� -*(��� o��� *�0�#�����~��� r\�po��� -*(��� o��� *^o��� ~B��(L��&*2s��� �B��*.sP���K��*(��� *2r��p(�� &*^o��� o��� {N��o��� *.sV���O��*2o��� o�� *"s� *Jo� o� o��� *o� *6s� s� *Ro� o� ����j�*o� *z(�� }W��( � o � }Y��*�0�����{W�� , ;����*}W��s � }\��{\��{Z��o � 8����{\��o � }Z��{Z��(�  + �{\��o � X �i2��(� o� �� {Z��(� �(� o� ��,\}]��}^��+5{]��{^���}X��}W��*}W��{^��X}^��{^��{]���i2�}]��{\��o� =!���*����L�.z�#��������#��{X��*s� z�0�<�����{W���3{Y��( � o � 3 }W�� +s^�� {[��}Z��*(d��*{_��*BSJB������ ���v2.0.50727�����l������#~��<�����#Strings����8�����#US��F�����#GUID����F��$ ��#Blob���������W��? ����3�������������c���g���N�����������/������������������������������������������������ �����@ ������x ��� ��y ^�=���� z�[ z�< z�� z�� z�� z�� z�� q� z�* ����� ^�� ^� ^����6� ���� � ���� �:� ����O�o��� ��� �|� ��� �=� ��� �x��"��Y����� ��� �v� �X��j����� ��[� � ��E ��\ ^�s��re��/ �� ��� ��e P�:���^�A��G���� �� ����� �~��?��i������2��2�&���� ��.��� �� ����/0���+��{������� �S��� ��������/ ��� ���k / ��� ����p � �Y� ��� �r� �����/ ��� �]�O��� �� �} ��X��������� ��� ����I� ��/ �U �� ��6�� / �#/ ��/ �� � �����/ �Z � �����/ ��� ��� ��� ��� �����/ ��� ���.z�p P �k� ����� ��,��~�� ��������#��#�� ����� ����W���^�����������������������=��������=������� V=�� ���wVU�����kVU�����-VU�"�����V=�;�'�����[=�;�(���O[��=�4���� �=�>�7�����=�>�<�����=�B�H���� ��=�E�O������Q�F�O�!����=�K�O�����=�N�S�!����=�O�U����=�W�^������=�_�f������Q�a�h������d�h�!�%a�!�Ae�!�%a�!�4e�S���S�e�S� �S���S�"�S����������������� ��� ��m ��� ��� ��� ��g��������[��������������������������� �������Q�� ��,����������D�����������Z��K��� ��~��r�����k����F��`�������� ��X��;��J ����1��1���Q���Q���1���Q���Q���3?���V�O �V���V���V�� �6���e������ �6� �B������)�!7�aE��U��e�� �����$��5��0���u�}�M��G�������V�A�V���P ������8��X �����'3�` �����*+�x ���������� ������E�� ������� ���b!������8��j!�����c3�r!�����*+��!����������!������E�"������� ���t"�����08�y#�����*���#����������#������E8 ��#������Y� ��#������� � ��#�������� ��$�����*� ��$������{� ��#��������\%������� ��|%���������R'�����*��`'������m��D(������D��x(����������(�����������)������?��)������ ���)����������*����������+����������+������s��a,���������n,������� � ��,��������!��;������V�!��;�����*�"��;�����V�"� <�����2 �"�'<�����> �"�/<������#�J<�������#�e<�������#��<�����f�#��<�������#��<�����/�#��<�����B ��#��<�������#��<����

Targets

    • Target

      14ee5fe40e76955ea27cc715dd5849f10ce7dc992c234db67467bbb1757aa8f9

    • Size

      136KB

    • MD5

      17f29268c9f1c5d5bca8b2b66cd1044c

    • SHA1

      16273c67d772dccd1bc9d375b1c9ffa25e83129c

    • SHA256

      14ee5fe40e76955ea27cc715dd5849f10ce7dc992c234db67467bbb1757aa8f9

    • SHA512

      bd4d3f760de8225626f748f0168188d40c283b1a5525234cb8ff63621ff5f5952c6d6bf6de464485784641ff7aa08d89979ad000d26feb34f44fc231287ab1db

    • SSDEEP

      3072:zPpF+jHgCl1YERTwBl2kZUYxYID6KN4WWEES:zRPK1YERTeIkZVxYgT

    • Jigsaw Ransomware

      Ransomware family first created in 2016. Named based on wallpaper set after infection in the early versions.

    • Checks computer location settings

      Looks up country code configured in the registry, likely geofence.

    • Executes dropped EXE

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Adds Run key to start application

MITRE ATT&CK Matrix ATT&CK v13

Persistence

Boot or Logon Autostart Execution

1
T1547

Registry Run Keys / Startup Folder

1
T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

1
T1547

Registry Run Keys / Startup Folder

1
T1547.001

Defense Evasion

Modify Registry

1
T1112

Credential Access

Unsecured Credentials

1
T1552

Credentials In Files

1
T1552.001

Discovery

Query Registry

1
T1012

System Information Discovery

2
T1082

Collection

Data from Local System

1
T1005

Tasks