Windows 7 deprecation

Windows 7 will be removed from tria.ge on 2025-03-31

Analysis

  • max time kernel
    120s
  • max time network
    149s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20231222-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20231222-enlocale:en-usos:windows10-2004-x64system
  • submitted
    26/12/2023, 03:51

General

  • Target

    AutoSettings/Enable_Biometrics.bat

  • Size

    4KB

  • MD5

    926b8c39eec5f0cc73f31b3c18619b71

  • SHA1

    de8380ca4fd7b3e5dfc3f6bdfab93f69d12964bd

  • SHA256

    95cbc250371fd9689c08fa08c2ce9ba17c2798adb22778a8caaf4f716d10a785

  • SHA512

    a6983d57287e9a33b0919b98718565640aaa061903dd9fbaa71a55a228832d891a34ad2328855d081805df867e9a6b49ff7e1bc2111fc3b8c040a1b292f3ba1b

  • SSDEEP

    96:fgexK+/VNhXhHsG2Wk0kdKarsUBiTkit5JHiR6PbebTV:IkVNfXhHsG2Wk0mKarsUApJCRUwV

Score
7/10
upx

Malware Config

Signatures

  • UPX packed file 11 IoCs

    Detects executables packed with UPX/modified UPX open source packer.

  • Drops file in System32 directory 5 IoCs
  • Launches sc.exe 1 IoCs

    Sc.exe is a Windows utlilty to control services on the system.

  • Suspicious use of WriteProcessMemory 39 IoCs

Processes

  • C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c "C:\Users\Admin\AppData\Local\Temp\AutoSettings\Enable_Biometrics.bat"
    1⤵
    • Suspicious use of WriteProcessMemory
    PID:3984
    • C:\Windows\system32\chcp.com
      chcp 65001
      2⤵
        PID:3968
      • C:\Windows\system32\reg.exe
        reg query "HKU\S-1-5-19\Environment"
        2⤵
          PID:3524
        • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
          "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0b}Добавление настройки Групповой Политики в файл LGPO:{\n #}
          2⤵
            PID:2708
          • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
            "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0f}"Разрешить использование биометрии" {0b}Настроить ГП!{\n #}
            2⤵
              PID:2352
            • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\LGPO.exe
              "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\LGPO.exe" /t "C:\Users\Admin\AppData\Local\Temp\LGPO-file.txt" /q
              2⤵
              • Drops file in System32 directory
              PID:464
            • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
              "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0b}Применение параметров из LGPO файла {08}(настройка ГП) {\n #}
              2⤵
                PID:1284
              • C:\Windows\system32\sc.exe
                sc config WbioSrvc start= auto
                2⤵
                • Launches sc.exe
                PID:3700
              • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0a}Перезагрузите компьютер!!! {\n #}
                2⤵
                  PID:3044
                • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                  "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0a}Исправление выполнено {\n #}
                  2⤵
                    PID:4892
                  • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                    "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0f}Биометрическая служба Windows "WbioSrvc"{\n #}
                    2⤵
                      PID:3664
                    • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                      "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0a}Добавлен параметр в LGPO файл {08}(для настройки ГП){#}:{\n #}
                      2⤵
                        PID:4280
                      • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                        "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0f}"Включить Windows Hellow для бизнеса" {0b}Настроить ГП!{\n #}
                        2⤵
                          PID:4908
                        • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                          "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0b}Добавление настройки Групповой Политики в файл LGPO:{\n #}
                          2⤵
                            PID:1296
                          • C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe
                            "C:\Users\Admin\AppData\Local\Temp\AUTOSE~1\Files\Tools\cecho.exe" {0a}Добавлен параметр в LGPO файл {08}(для настройки ГП){#}:{\n #}
                            2⤵
                              PID:1196
                          • C:\Windows\system32\svchost.exe
                            C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted -s WPDBusEnum
                            1⤵
                              PID:4332
                            • C:\Windows\system32\svchost.exe
                              C:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted -p -s fhsvc
                              1⤵
                                PID:2232

                              Network

                              MITRE ATT&CK Matrix

                              Replay Monitor

                              Loading Replay Monitor...

                              Downloads

                              • C:\Users\Admin\AppData\Local\Temp\LGPO-file.txt

                                Filesize

                                143B

                                MD5

                                c7baae5131c75b53c18e82978ba2aa03

                                SHA1

                                31a97fd7321d6c016fd45320c2b91d6fcf929e0c

                                SHA256

                                d6391e4cec7f6be75b897a115a529c3dc4a0991fea2bf38ac44723d9261a9946

                                SHA512

                                0e44d745889411348e1353915e6bf9ae9be088537f1493f7713f17c94bacf4e15094c6855692ec13a37f04096a28b2830a6dcaa25b5ac6ff289641046bc0b507

                              • memory/1196-4-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/1284-10-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/1296-5-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/2352-2-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/2708-1-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/2708-0-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/3044-23-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/3664-9-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/4280-8-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/4892-22-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB

                              • memory/4908-6-0x0000000000400000-0x0000000000416000-memory.dmp

                                Filesize

                                88KB