General

  • Target

    W-DAX-main.zip

  • Size

    216KB

  • Sample

    231202-v3bc9sec95

  • MD5

    e17f29f9e56e20dc9e1625c05af06243

  • SHA1

    6806c698ff570c047cd0e63e557059241418517f

  • SHA256

    2d9034df0858e28066c60bfb1b6602745c58342589a33e021df9a2647db63c89

  • SHA512

    cfc1196b0bc92d2010116a0a02bfcc3a33ff19f3efc8b49c2d28213a4dd2a5b088ac1d2ada22486fc6072f7d34e37fe052c4f0cf85d2a70116e322405f4327e2

  • SSDEEP

    6144:UcjOjRYBAs8WNBwwfVZpttMKrBnM/Rte63AXb:UcgRA8WNxTptt6RtpMb

Malware Config

Extracted

Family

xworm

Version

3.0

C2

16.ip.gl.ply.gg:59539

Attributes
  • Install_directory

    %AppData%

  • install_file

    USB.exe

Extracted

Path

C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L�\�������������"� P�����������־�� �������@�� ������������������������������`�������������������������������O���������������������������� ���H�8�������������������������������������������� ������������� ��H�����������.text���ܞ�� �������������������� ��`.rsrc���������������������������@��@.reloc�� ������������������������@��B�����������������������H������L��PL����0��ؘ���$�����������������������������������������(�� *&�(�� �*�s�� ���s �� ���s!�� ���s"�� ���*0�������~��o#�� +�*0�������~��o$�� +�*0�������~��o%�� +�*0�������~��o&�� +�*0�<������~��('�� ,!r��p���((�� o)�� s*�� �����~�� +�*0� ������~�� +�*"����*0�&������(��r��p~��o+�� (,�� t"�� +�*����r��ps%�����r'��p� ��~1��� ��s-�� � ��*(.�� *0���������(/��  +K� ~ ��o0�� � ,/~��rA��p(1�� o'���~ ��o2�� �~ ��(������� �i�-�(3�� +�(������i�-��"%(4��  �~�� o5�� o*���(6�� ���*���������"$��0���������(/��  +O� (�� ,;~��r[��p(1�� o'���o7�� ~ ��o7�� �o8�� ~ ��(������� �i�-�(3�� +�(������i�-��"%(4��  �~�� o5�� o*���(6�� ���*���������"$��0�P��� ���~ ��o0�� ,9o7�� ~ ��o7�� �~ ��o7�� o8�� ~ ��(9�� � , +��� +�*0���� ��� �W�� s:��  o;�� � �   1�o<�� �~ ��(1�� s=�� (>�� o?�� s@��  ���oA�� � ����oB�� �oC�� �  P���sD�� oE�� [oF�� oG�� �oH�� [oF�� oI�� �oJ�� ��ioK�� �oL�� sM�� s=��  ����W����ioN��  + oO�� ��ioN��  � �  -�oP�� ��"%(4��  �~�� o5�� o*���(6�� ���:�~��ru��p(1�� o(���~��ր��oP�� �oP�� �(Q�� ���*�������F3"$�����jW:����0���� ���(>�� o?��  �W�� s=�� �ioN�� &s@�� ���oA�� � ����oB�� � P���sD��   oE�� [oF�� oG�� �  oH�� [oF�� oI�� � oC�� � oJ�� � oR�� sM�� s=��  ����W����ioS�� +oK�� ��ioS�� ��  -��N%(4��  �~��r���p o5�� (1�� o*���(6�� �"%(4��  �~�� o5�� o*���(6�� ����oP�� �~��r���p(1�� o(����,%(4��  �~��r���p o5�� (1�� o*���(6�� ����oP�� �oP�� ���*4������>��,*������>"$����B!c,$���BO�����0�O��������(T�� ����sU�� (V�� �}��}��}��~0��sB��}��}��(���*�0����� ���sW�� } ��{ ��#�����@�@oX�� �{ �����sY�� oZ�� �{ ��o[�� �{$��r�po\�� �~ ��o]�� +-�(^�� {$��% o_�� r!�pr9�p(`�� o\�� ���(a�� -������o�� ��*������V�G������J�ob�� �oc�� �*�0����� ���(�� 9����{��~ ��o\�� �{"��r?�pod�� �{"��(e�� of�� �{!��r�po\�� �{��r�pod�� �{%��#'*(g�� oh�� �{��ri�po\�� �{ ��oi�� ���*��0��������{!��o_�� ~ ��(9�� � ,q{��r�poC���r��pr��p@(j�� &~ ��� ��{$��r �po\�� �(k�� (l�� �(3���(m�� (l�� �ru�pr��p@(j�� &�+�rX�pr��p(j�� &�*�0������~0��sB�� { ��o_�� ~n�� (o�� �rp�po0�� 9����r��po0�� ,#r��pop�� �oq�� (o�� ��+-�r��pop�� �oq�� r��pr��p@(j�� &� (-��,+r��poC���oC���r�pr��p@(j�� & +I�r�poC���rY�pr��p(j�� &��+!�r�poC���ru�pr��p(j�� &� +�*V�� ��sr�� (s�� &*��0�+��� ���, {���+ , {��o�� ���(t�� �*�0����������((�� su�� sv�� }��sw�� }��sx�� }��sw�� }��sw�� }��sy�� }��sy�� }��sw�� }��sz�� o���sw�� }��sx�� }��sw�� }��sz�� o���sx�� } ��sx�� }!��sw�� }"��sw�� }#��sx�� }$��sy�� }%��sw�� }&��{��o{�� �{%��o{�� �({�� �{��o|�� �{��r �p"���As}�� o~�� �{��(�� of�� �{�� ���� s��� o��� �{��r0 �po��� �{�� ����%s��� o��� �{��o��� �{��r> �pod�� �{��#'*(g�� o��� �{��o��� �{��rV �p"��As}�� o~�� �{��(��� o��� �{�� ��� ����s��� o��� �{��o��� �{��rh �po��� �{��o��� �{��o��� �{�� r�� !��s��� o��� �{��o��� �{��o��� �{��rz �po��� o\�� �{��o|�� �{��rV �p"��dAs}�� o~�� �{��(��� of�� �{�� )��`s��� o��� �{��r� �po��� �{��+s��� o��� �{��o��� �{��r� �pod�� �{��o|�� �{��rV �p"��dAs}�� o~�� �{��(��� of�� �{��`s��� o��� �{��r� �po��� �{�� ����s��� o��� �{��o��� �{��r� �pod�� �{��#'*(g�� oh�� �{��(��� of�� �{���s��� o��� �{��r� �po��� �{�� '�� s��� o��� �{��o��� �{��#'*(g�� oh�� �{��o��� {��o��� �{��(��� of�� �{��Ws��� o��� �{��r� �po��� �{�� e��Cs��� o��� �{��o��� �{��o|�� �{��rV �p"���As}�� o~�� �{��(��� of�� �{��T ���s��� o��� �{��r� �po��� �{��|s��� o��� �{�� o��� �{��r �pod�� �o��(��� o��� �o��o��� �o�� �� ��s��� o��� �o��r2 �po��� �o��Ks��� o��� �o�� o��� �o��rB �po��� �o��o��� �{��o|�� �{��rV �p"���As}�� o~�� �{��(��� of�� �{�� ���� A��s��� o��� �{��rR �po��� �{��-s��� o��� �{�� o��� �{��r` �pod�� �{��#'*(g�� o��� �{��o��� �{��(��� o��� �{�� �� ?��s��� o��� �{��rp �po��� �{��o��� �{�� ����s��� o��� �{�� o��� �{��o��� �{��o|�� �{��rV �p"�� As}�� o~�� �{��(��� of�� �{�� *�� ���s��� o��� �{��r� �po��� �{��ns��� o��� �{�� o��� �{��r� �pod�� �o��(��� o��� �o��o��� �o�� ��� ��s��� o��� �o��r� �po��� �o��Ks��� o��� �o��o��� �o��r� �po��� �o��o��� �{ ��#'*(g�� o��� �{ ��o��� �{ ��(��� o��� �{ ��1 ��s��� o��� �{ ��r� �po��� �{ �� ����s��� o��� �{ ��o��� �{ ��o��� �{ ��r� �po\�� �{!��#'*(g�� o��� �{!��o��� �{!��(��� o��� �{!�� ��� ��s��� o��� �{!��r� �po��� �{!�� ����s��� o��� �{!��o��� �{!��o��� �{!��r �po\�� �{"��o|�� �{"��rV �p"���As}�� o~�� �{"��(��� of�� �{"�� 7�� A��s��� o��� �{"��r2 �po��� �{"�� ����s��� o��� �{"��o��� �{"��r@ �pod�� �{#��o|�� �{#��rV �p"�� As}�� o~�� �{#��(��� of�� �{#�� ���� I��s��� o��� �{#��r� �po��� �{#��s��� o��� �{#��o��� �{#��r� �pod�� �{$��#'*(g�� o��� �{$��o��� �{$��rV �p"ff�@s}�� o~�� �{$��(��� o��� �{$��# l��s��� o��� �{$��o��� �{$��r� �po��� �{$��o��� �{$��o��� �{$�� [��;s��� o��� �{$��o��� �{$��o��� �{%��(��� oh�� �{%��o��� {&��o��� �{%��# ����s��� o��� �{%��r� �po��� �{%�� [�� ����s��� o��� �{%��o��� �{&��o|�� �{&��r �p"��HBs}�� o~�� �{&��(��� of�� �{&��/s��� o��� �{&��r� �po��� �{&�� $��Ls��� o��� �{&��o��� �{&��r� �pod�� �"���@"��PAs��� (��� �(��� �,/3(g�� o��� � �� X��s��� (��� �(��� �(��� {%��o��� �(��� {$��o��� �(��� {#��o��� �(��� {!��o��� �(��� {"��o��� �(��� o��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� o��o��� �(��� {��o��� �(��� { ��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� of�� �(��� �r� �p(��� �(��� �r� �po��� �{��o��� �{��o��� �{%��o��� �{%��o��� �(��� �(��� �*&{��+�*0�7��������sU�� {�� ,o��� }��{�� ,o��� *&{��+�*���0�7��������sU�� {�� ,o��� }��{�� ,o��� *�0��������{��� ,N;}��{��� ,';}��{��� ,|��% J�T���+�|��% J�T��+�|��% J�T�{��-{��- {���+,��{&��r� �p|��(��� 0o��� |��(��� 0o��� |��(��� 0o��� (��� od�� �*.s-�� �'��*(.�� *�0��������(��� (��� ~'��r �p(1�� o2�� �~'��r$ �p(1�� o2�� �~'��rB �p(1�� o2�� �~'��rZ �p(1�� o2�� �~'��r� �p(1�� o2�� �~'��r� �p(1�� o2�� �~'��r6 �p(1�� o2�� �*0�h�����(#���s-�� ~'��o]�� 8$��(^�� (��� 9 �� r� �p(1�� s��� r� �po��� 8�����  o��� o���   r� �p(��� o���  + o��� t?��  o��� o2�� �� o���   -�� uI��,  uI��o�� ��� r� �p(��� o��� +o��� t?��o��� o2�� ��o��� -��uI��, uI��o�� �����i�:"������(a�� :��������o�� �� +�*AL�����u���A���������������������A��������������� ���F��S�����������(.�� �(��� }(��r�p})��}*��}+��*0�S�����{+��� ,a�{(��{)��(1�� (��� r0�p(��� rF�p(��� (��� (1�� o��� � o��� �� �,o�� ���8����{+���,;r0�p(��� rF�p(��� (��� (1�� (��� � (��� ��8������{(��{)��(1�� (��� r0�p(��� rF�p(��� (��� (1�� o��� � o��� ���,o�� ��r0�p(��� rF�p(��� (��� (1�� (��� � (��� ��*����&�7]� �������;����0�)��� ���{*��r��p(9�� � ,r��p(&�����*���0�P������{*��r��p(9�� � ,r\�p(&����+&{*��r\�p(9�� � ,r\�p(&����*0�)��� ���{*��rf�p(9�� � ,rr�p(&�����*>�rf�p(&���*Fr��ps%���,��*(.�� *�0�Z�������s��� r��p(��� ~,��o'���o��� o��� o��� �����, �� � �,o�� ��*������DL� ����0�W�������(��� �-��(��� �.��'(��� �/��rU�p�0��rJ�p�1��r��ps%���2��~0��sB���3��*(.�� *�0�O��� ���(7�� ,s��(��� ��+6�(6���(4���(1���(2���(8��� p��(��� �s��(��� ��*�0��������~2��rR�po'���($�� r�p o]�� +(^�� rj�p(��� �(a�� -�����o�� ��(o�� �(<�� (;�� (=��~0��sB��rn�poC���rY�p~1��(��� oC���r��poC���*�������1N�����0��������~3��r��poC���~<��,~<��+~;���O��s��� %�<��s��� ~=��,~=��+~;���P��s��� %�=��s��� ~>��,~>��+~;���Q��s��� %�>��s��� o��� �o��� �o��� �o��� �o��� �o��� �~3��r�p~ ��o��� ����(��� oC���(A���*0��������~?��,~?��+~;���R��s��� %�?��s��� ~@��,~@��+~;���S��s��� %�@��s��� ~A��,~A��+~;���T��s��� %�A��s��� o��� �o��� �o��� �o��� �o��� �o��� �*��0���������(��� o��� r��p(1�� (��� (1�� (o�� ��~��� r��po��� r �pr�pr�p(��� o��� �� �,o�� ��� %(4�� �~2�� o5�� o*���(6�� ���*�����<�Z� �������gh� $��0�M������r�pr �p����(��� � ,.�~��� r��po��� r �po��� �� �,o�� ����*������/�>� ����0�d�������(��� o��� r��p(1�� (��� (��� (��� (1�� (��� �(��� (o�� �� %(4�� �~2��o5�� o'���(6�� ���*�����AB� $��0�#������r�pr �p(��� � , +� +�*�0�;������(��� r��p(1�� (o�� ��s��� ~1��o��� �� �,o�� ��*���� �.� ����Fr��ps%���4��*(.�� *��0�m������~n�� ��r��psU�� r��poW�� ����% �o��� � � �,o�� ���"%(4�� �~4��o5�� o*���(6�� ��� +�*�������"6� �������=D�"$��0�3������s-�� r��p(��� r�p(��� o2�� � o2�� � +�*�0�n��� ���~n�� ��s��� r!�po��� o��� o��� o��� o��� � �,o�� ���"%(4�� �~4��o5�� o*���(6�� ��� +�*������(7� �������>E�"$��R�5���6���7��*(.�� *���0�F���!���(��� rM�p(1�� �8��( ��~8��o��� �~5��~8��~6��~7��`(@��&*B�(.�� �}9��*�0�}���"���s��� %rk�po��� �%r{�pr��po��� �%r��pr��po��� � ��s��� {9��s��� o��� o��� (��� &� �,o�� ��� (4�� �(6�� ���*������>�"`� ������6�8n� $��0���� ���(,�� (��� +�*��0� ���#���(��� +�*0����$������((�� +�*0� ���!���(��� +�*0����%���� ��� ,(��+ +� +�*&�� ��*&�(.�� �*���0�&���&���~��� � ��� , (��+���� ~��� +�*&�(.�� �*(.�� *.sM���;��*6�~.��(���*6�~/��(���*6�~-��(���*6�~.��(���*6�~/��(���*6�~-��(���*0�����'���(.�� �s��� }B��s��� }D��~n�� }E��s��� o��� �o��� �o��� �o��� �o��� �{B���X��s��� o��� �{B��o��� �{B��o��� &{B��o��� }C��{B��o��� �*��{B��o��� �{B��o��� �{C��o��� �{C��o��� �*��0�A���!���~n�� }E��{C��o��� �{C��r�po��� �{D��o��� &{E�� +�*���0�Q���(���o��� ,o��� r�p(9�� �+ ,{D��o��� &�+�|E��% Po��� (��� (��� Q�*���BSJB������ ���v4.0.30319�����l��� ��#~��������#Strings����T.�� ��#US�tC�����#GUID����C�����#Blob���������W� ����3�������������E���X���-����������H���(������ ��� ��������� ��������������������������3 ������ �v ��O������ ��� ��� �] � �) � �B � �I� ����O���� �d� �r� �� �� ����vb�}O���1��x� �?�����@� �4� � �] ��O��.�*n ��F ������ � ��g�z �g��g�� g�� g�� i �� � �� � i�=i�/ i��O��O�� �i�� �������i ��� �� ��� �j �! ��� �l ��O ��� ���o�*����!� ��� �[��� ��� �CO��� �YO ��O�>������� ��� ���� � � �u��$��� � �g�X �� ��� g�ag�~g�� g�� �mg�S  ����� i � ��F �k i�#i��i��i�) i�i��i�]� �� � ��� ��F ��F ��F ��F �� F ��i�}i�F ��i�� ����i��i��F �b i�Ji�yi�� i�)� �� h����  �� �� � ��� �.��U i�� ���� � �\ ��� �w���F �a��a���/��� ��O �3 � � � � ���������������S EM�������tEQ�����Ea������B?a������~Ja�� ������J�� ������Ja�'�!������Ja�(�%����xJa�,�+����� Ja�-�.����?Ja�4�9����%Ja�5�>������ Ja�9�B������a�:�D���v���a�:�K�!��9��a�;�M�������a�B�U�1�1b1�j1�r1�Jz�� ��r������ ��8 3��3��3�U ������ ��� ��e�� ��U��������������K��z������R������������������h��q�����������������-������. 3��3�� 3�E��� ���3�K3��3� 3��3�� �� ��� �����������3�43�� $6�������5����������K�����.�� ����Y3P ����"��X ����"��b ����(���� ����g��� ����C ��� ����/��� �������� ����}��D!����Z��[!����f��d!����s ��!����(����!����"���!������z��"������z��#�����P$��#�����76��%�����+ ��'����"� ��'������ ��(�����*  ��(������ �h)������ �*��������D+������!�\+���������+�����)��N:����A ��)�X:�� �A ��/��:����A Y)��:�� �A e/��:��������;����(����;����"���;������ ����<������6�d>����"?��>�������@�����f ��H@�����s���@������ ���@������

Targets

    • Target

      W-DAX-main/D WAX.exe

    • Size

      220KB

    • MD5

      72b51e28589fbeac9400380dddedb79a

    • SHA1

      4d14ab35e4425a8b1b1b655c2178b0ea2522e7f0

    • SHA256

      6ca01f81cc92345981212659aa05d5595a45e96a1f4a6f8678d21f1d24c96aa0

    • SHA512

      31cdc53b75d92b258ff5c160224e6212228d5ab42d5ed6b7e976439c0bd97cf444687079b95810e88c3ef36aa9670e4089578cf102baa37cc2f91d1dbe658cca

    • SSDEEP

      6144:w9/COjX6BAs8WN7wwZV/pt2qFnM/pte63AX:wVvXK8WNzfptHEptpM

    • Detect Xworm Payload

    • Nitro

      A ransomware that demands Discord nitro gift codes to decrypt files.

    • XenArmor Suite

      XenArmor is as suite of password recovery tools for various application.

    • Xworm

      Xworm is a remote access trojan written in C#.

    • Renames multiple (106) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • Renames multiple (81) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • Renames multiple (90) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • Renames multiple (95) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • ACProtect 1.3x - 1.4x DLL software

      Detects file using ACProtect software.

    • Checks computer location settings

      Looks up country code configured in the registry, likely geofence.

    • Drops startup file

    • Executes dropped EXE

    • Loads dropped DLL

    • Reads data files stored by FTP clients

      Tries to access configuration files associated with programs like FileZilla.

    • Reads local data of messenger clients

      Infostealers often target stored data of messaging applications, which can include saved credentials and account information.

    • Reads user/profile data of local email clients

      Email clients store some user data on disk where infostealers will often target it.

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • UPX packed file

      Detects executables packed with UPX/modified UPX open source packer.

    • Accesses Microsoft Outlook accounts

    • Adds Run key to start application

    • Drops desktop.ini file(s)

    • Legitimate hosting services abused for malware hosting/C2

    • Looks up external IP address via web service

      Uses a legitimate IP lookup service to find the infected system's external IP.

    • Sets desktop wallpaper using registry

MITRE ATT&CK Matrix ATT&CK v13

Persistence

Boot or Logon Autostart Execution

1
T1547

Registry Run Keys / Startup Folder

1
T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

1
T1547

Registry Run Keys / Startup Folder

1
T1547.001

Defense Evasion

Modify Registry

2
T1112

Credential Access

Unsecured Credentials

4
T1552

Credentials In Files

4
T1552.001

Discovery

Query Registry

1
T1012

System Information Discovery

2
T1082

Collection

Data from Local System

4
T1005

Email Collection

1
T1114

Command and Control

Web Service

1
T1102

Impact

Defacement

1
T1491

Tasks