Windows 7 deprecation

Windows 7 will be removed from tria.ge on 2025-03-31

Analysis

  • max time kernel
    185s
  • max time network
    197s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20231215-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20231215-enlocale:en-usos:windows10-2004-x64system
  • submitted
    25/12/2023, 20:02

General

  • Target

    39f65eb60578fafd0df50305fd87a1a5.exe

  • Size

    286KB

  • MD5

    39f65eb60578fafd0df50305fd87a1a5

  • SHA1

    c4be9cb53658e3d9592288e31b32733e4b1e80cc

  • SHA256

    503489f6a200d5bad10841f8740c481b96ff17a08b8edc476b7722853bba23ed

  • SHA512

    e82d9cf2ee64cc21bfba41733ee41538af4daf611dd87c9adbfd51c76f5f7df22fa75de68ce0bce1a7f6d48320a5269e9052309ed88156d9a7a26d47fdc57241

  • SSDEEP

    6144:eKK9AIV8+3vko4UWDxjyaz6BNG+D+Pbhjesi1cT:mGIV8OlgVxuNoPtmW

Score
7/10

Malware Config

Signatures

  • Deletes itself 1 IoCs
  • Executes dropped EXE 1 IoCs
  • Adds Run key to start application 2 TTPs 1 IoCs
  • Enumerates connected drives 3 TTPs 21 IoCs

    Attempts to read the root path of hard drives other than the default C: drive.

  • Program crash 35 IoCs
  • Suspicious behavior: EnumeratesProcesses 64 IoCs
  • Suspicious use of AdjustPrivilegeToken 2 IoCs
  • Suspicious use of FindShellTrayWindow 2 IoCs
  • Suspicious use of SendNotifyMessage 2 IoCs
  • Suspicious use of SetWindowsHookEx 2 IoCs
  • Suspicious use of WriteProcessMemory 3 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\39f65eb60578fafd0df50305fd87a1a5.exe
    "C:\Users\Admin\AppData\Local\Temp\39f65eb60578fafd0df50305fd87a1a5.exe"
    1⤵
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:1088
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 568
      2⤵
      • Program crash
      PID:4004
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 616
      2⤵
      • Program crash
      PID:5100
    • C:\ProgramData\nOiIfEpEfJj28601\nOiIfEpEfJj28601.exe
      "C:\ProgramData\nOiIfEpEfJj28601\nOiIfEpEfJj28601.exe" "C:\Users\Admin\AppData\Local\Temp\39f65eb60578fafd0df50305fd87a1a5.exe"
      2⤵
      • Deletes itself
      • Executes dropped EXE
      • Adds Run key to start application
      • Enumerates connected drives
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of FindShellTrayWindow
      • Suspicious use of SendNotifyMessage
      • Suspicious use of SetWindowsHookEx
      PID:4532
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 632
        3⤵
        • Program crash
        PID:2772
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 640
        3⤵
        • Program crash
        PID:4392
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 648
        3⤵
        • Program crash
        PID:2408
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 792
        3⤵
        • Program crash
        PID:4160
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 800
        3⤵
        • Program crash
        PID:3760
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 844
        3⤵
        • Program crash
        PID:2152
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 852
        3⤵
        • Program crash
        PID:3056
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1028
        3⤵
        • Program crash
        PID:2932
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1052
        3⤵
        • Program crash
        PID:3892
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1132
        3⤵
        • Program crash
        PID:2732
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 652
        3⤵
        • Program crash
        PID:1092
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1404
        3⤵
        • Program crash
        PID:1744
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1624
        3⤵
        • Program crash
        PID:3680
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 668
        3⤵
        • Program crash
        PID:1864
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1612
        3⤵
        • Program crash
        PID:4056
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1700
        3⤵
        • Program crash
        PID:1848
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1812
        3⤵
        • Program crash
        PID:4980
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1828
        3⤵
        • Program crash
        PID:4092
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1088
        3⤵
        • Program crash
        PID:1352
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 816
        3⤵
        • Program crash
        PID:3748
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 1084
        3⤵
        • Program crash
        PID:2124
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4532 -s 808
        3⤵
        • Program crash
        PID:1104
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 632
      2⤵
      • Program crash
      PID:1012
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 616
      2⤵
      • Program crash
      PID:5000
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 796
      2⤵
      • Program crash
      PID:1356
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 804
      2⤵
      • Program crash
      PID:2444
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 828
      2⤵
      • Program crash
      PID:3460
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 836
      2⤵
      • Program crash
      PID:4164
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 960
      2⤵
      • Program crash
      PID:3532
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 964
      2⤵
      • Program crash
      PID:1016
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 1172
      2⤵
      • Program crash
      PID:2016
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 628
      2⤵
      • Program crash
      PID:2252
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 1088 -s 148
      2⤵
      • Program crash
      PID:3932
  • C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -pss -s 436 -p 1088 -ip 1088
    1⤵
      PID:1704
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 444 -p 1088 -ip 1088
      1⤵
        PID:3384
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 1088 -ip 1088
        1⤵
          PID:2436
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 4532 -ip 4532
          1⤵
            PID:4808
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 4532 -ip 4532
            1⤵
              PID:5080
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 516 -p 4532 -ip 4532
              1⤵
                PID:1812
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 1088 -ip 1088
                1⤵
                  PID:512
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 1088 -ip 1088
                  1⤵
                    PID:3856
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4532 -ip 4532
                    1⤵
                      PID:3876
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4532 -ip 4532
                      1⤵
                        PID:444
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 1088 -ip 1088
                        1⤵
                          PID:1864
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4532 -ip 4532
                          1⤵
                            PID:4748
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 1088 -ip 1088
                            1⤵
                              PID:4908
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 1088 -ip 1088
                              1⤵
                                PID:316
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 1088 -ip 1088
                                1⤵
                                  PID:1532
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 588 -p 4532 -ip 4532
                                  1⤵
                                    PID:3152
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 1088 -ip 1088
                                    1⤵
                                      PID:4024
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 564 -p 4532 -ip 4532
                                      1⤵
                                        PID:4980
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 4532 -ip 4532
                                        1⤵
                                          PID:3024
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4532 -ip 4532
                                          1⤵
                                            PID:956
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 516 -p 1088 -ip 1088
                                            1⤵
                                              PID:5068
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 480 -p 4532 -ip 4532
                                              1⤵
                                                PID:2600
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 396 -p 4532 -ip 4532
                                                1⤵
                                                  PID:1412
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 4532 -ip 4532
                                                  1⤵
                                                    PID:2576
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 516 -p 4532 -ip 4532
                                                    1⤵
                                                      PID:3168
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4532 -ip 4532
                                                      1⤵
                                                        PID:4552
                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 4532 -ip 4532
                                                        1⤵
                                                          PID:4108
                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 396 -p 4532 -ip 4532
                                                          1⤵
                                                            PID:4164
                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 4532 -ip 4532
                                                            1⤵
                                                              PID:4676
                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 1088 -ip 1088
                                                              1⤵
                                                                PID:4184
                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 588 -p 1088 -ip 1088
                                                                1⤵
                                                                  PID:1548
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 580 -p 4532 -ip 4532
                                                                  1⤵
                                                                    PID:3928
                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 592 -p 4532 -ip 4532
                                                                    1⤵
                                                                      PID:404
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4532 -ip 4532
                                                                      1⤵
                                                                        PID:3904
                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 492 -p 4532 -ip 4532
                                                                        1⤵
                                                                          PID:4680

                                                                        Network

                                                                        MITRE ATT&CK Enterprise v15

                                                                        Replay Monitor

                                                                        Loading Replay Monitor...

                                                                        Downloads

                                                                        • C:\ProgramData\nOiIfEpEfJj28601\nOiIfEpEfJj28601.exe

                                                                          Filesize

                                                                          32KB

                                                                          MD5

                                                                          a5a6d1597ebf9775b52b6f4b2afb5dab

                                                                          SHA1

                                                                          72da337696673664559f3137e19fd7d5ebb037be

                                                                          SHA256

                                                                          a7073b7cc004bf54a49249157d5096227c5d2cb06a9030af6887eacb0c3a55f9

                                                                          SHA512

                                                                          1ca01dabc7e4028b8836a7babf897e8a721fd0cef43fa169fa57c1ff605c0ced775ac09b9502efa33a25b2f8e3659201bd61aa3f2b265bc4d5ae689984302e36

                                                                        • C:\ProgramData\nOiIfEpEfJj28601\nOiIfEpEfJj28601.exe

                                                                          Filesize

                                                                          6KB

                                                                          MD5

                                                                          cc69528880a8ee4726f5c9fbb1e0b4cb

                                                                          SHA1

                                                                          c9b6418b7d5f1bb980b1598a484f9a56ad2a08d4

                                                                          SHA256

                                                                          197d82db49e660c3b1e5ee0af725db2fa5cac38fb0288e7fe8201357a8ca1d90

                                                                          SHA512

                                                                          b551c89fea21429a1838e2114c287f6f980997e1e81b4532f09957aca92807412a94f76749ce74eec3e48a6980cf09d5d22ab3492be31a334a5b81bb8670f881

                                                                        • memory/1088-28-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-3-0x0000000002100000-0x0000000002101000-memory.dmp

                                                                          Filesize

                                                                          4KB

                                                                        • memory/1088-4-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-1-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-7-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-6-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-5-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-49-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-0-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/1088-30-0x00000000022B0000-0x00000000022B1000-memory.dmp

                                                                          Filesize

                                                                          4KB

                                                                        • memory/4532-21-0x0000000002160000-0x0000000002161000-memory.dmp

                                                                          Filesize

                                                                          4KB

                                                                        • memory/4532-20-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/4532-22-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/4532-29-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/4532-23-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/4532-33-0x0000000002160000-0x0000000002161000-memory.dmp

                                                                          Filesize

                                                                          4KB

                                                                        • memory/4532-42-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB

                                                                        • memory/4532-16-0x0000000000400000-0x00000000004F9000-memory.dmp

                                                                          Filesize

                                                                          996KB