Analysis
-
max time kernel
9s -
max time network
119s -
platform
windows7_x64 -
resource
win7-20231215-en -
resource tags
arch:x64arch:x86image:win7-20231215-enlocale:en-usos:windows7-x64system -
submitted
30/12/2023, 06:49
Static task
static1
Behavioral task
behavioral1
Sample
11720d8fce40b7fdd68adbd307fbaa99.exe
Resource
win7-20231215-en
Behavioral task
behavioral2
Sample
11720d8fce40b7fdd68adbd307fbaa99.exe
Resource
win10v2004-20231215-en
General
-
Target
11720d8fce40b7fdd68adbd307fbaa99.exe
-
Size
264KB
-
MD5
11720d8fce40b7fdd68adbd307fbaa99
-
SHA1
2df4acf6a19734a1cdfc78d65f2f22305d45c83e
-
SHA256
44a127ca39b9d0c4fa44434007423e1ca86c9c35c81cbc98773046538dd04944
-
SHA512
fdd3bf1c1cad36b385ba610a1d7ee844ed3369042d6b3502ada9861629f46d73fa9a798a401fb909ab2a36e2b16b010866e6fb50d3fc5a6e86b3ea6500643aef
-
SSDEEP
1536:2df1zwQVgNSMuVe6lhEMGIeqkSg+khEUpJYf1zwQVgvN76x+:2t1zwLNSMuVeHMGMkSgSUpJY1zwLvN
Malware Config
Signatures
-
Modifies WinLogon for persistence 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit = "C:\\Windows\\userinit.exe" userinit.exe -
Executes dropped EXE 10 IoCs
pid Process 2232 userinit.exe 2324 system.exe 3000 system.exe 2680 system.exe 2948 system.exe 2544 system.exe 2808 system.exe 2944 system.exe 2108 system.exe 2120 system.exe -
Loads dropped DLL 18 IoCs
pid Process 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe 2232 userinit.exe -
Drops file in System32 directory 2 IoCs
description ioc Process File created C:\Windows\SysWOW64\system.exe userinit.exe File opened for modification C:\Windows\SysWOW64\system.exe userinit.exe -
Drops file in Windows directory 3 IoCs
description ioc Process File opened for modification C:\Windows\userinit.exe 11720d8fce40b7fdd68adbd307fbaa99.exe File created C:\Windows\kdcoms.dll userinit.exe File created C:\Windows\userinit.exe 11720d8fce40b7fdd68adbd307fbaa99.exe -
Suspicious behavior: EnumeratesProcesses 19 IoCs
pid Process 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 2232 userinit.exe 2232 userinit.exe 2324 system.exe 2232 userinit.exe 3000 system.exe 2232 userinit.exe 2680 system.exe 2232 userinit.exe 2948 system.exe 2232 userinit.exe 2544 system.exe 2232 userinit.exe 2808 system.exe 2232 userinit.exe 2944 system.exe 2232 userinit.exe 2108 system.exe 2232 userinit.exe -
Suspicious use of SetWindowsHookEx 20 IoCs
pid Process 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 2232 userinit.exe 2232 userinit.exe 2324 system.exe 2324 system.exe 3000 system.exe 3000 system.exe 2680 system.exe 2680 system.exe 2948 system.exe 2948 system.exe 2544 system.exe 2544 system.exe 2808 system.exe 2808 system.exe 2944 system.exe 2944 system.exe 2108 system.exe 2108 system.exe -
Suspicious use of WriteProcessMemory 40 IoCs
description pid Process procid_target PID 2512 wrote to memory of 2232 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 16 PID 2512 wrote to memory of 2232 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 16 PID 2512 wrote to memory of 2232 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 16 PID 2512 wrote to memory of 2232 2512 11720d8fce40b7fdd68adbd307fbaa99.exe 16 PID 2232 wrote to memory of 2324 2232 userinit.exe 29 PID 2232 wrote to memory of 2324 2232 userinit.exe 29 PID 2232 wrote to memory of 2324 2232 userinit.exe 29 PID 2232 wrote to memory of 2324 2232 userinit.exe 29 PID 2232 wrote to memory of 3000 2232 userinit.exe 30 PID 2232 wrote to memory of 3000 2232 userinit.exe 30 PID 2232 wrote to memory of 3000 2232 userinit.exe 30 PID 2232 wrote to memory of 3000 2232 userinit.exe 30 PID 2232 wrote to memory of 2680 2232 userinit.exe 31 PID 2232 wrote to memory of 2680 2232 userinit.exe 31 PID 2232 wrote to memory of 2680 2232 userinit.exe 31 PID 2232 wrote to memory of 2680 2232 userinit.exe 31 PID 2232 wrote to memory of 2948 2232 userinit.exe 32 PID 2232 wrote to memory of 2948 2232 userinit.exe 32 PID 2232 wrote to memory of 2948 2232 userinit.exe 32 PID 2232 wrote to memory of 2948 2232 userinit.exe 32 PID 2232 wrote to memory of 2544 2232 userinit.exe 33 PID 2232 wrote to memory of 2544 2232 userinit.exe 33 PID 2232 wrote to memory of 2544 2232 userinit.exe 33 PID 2232 wrote to memory of 2544 2232 userinit.exe 33 PID 2232 wrote to memory of 2808 2232 userinit.exe 34 PID 2232 wrote to memory of 2808 2232 userinit.exe 34 PID 2232 wrote to memory of 2808 2232 userinit.exe 34 PID 2232 wrote to memory of 2808 2232 userinit.exe 34 PID 2232 wrote to memory of 2944 2232 userinit.exe 35 PID 2232 wrote to memory of 2944 2232 userinit.exe 35 PID 2232 wrote to memory of 2944 2232 userinit.exe 35 PID 2232 wrote to memory of 2944 2232 userinit.exe 35 PID 2232 wrote to memory of 2108 2232 userinit.exe 36 PID 2232 wrote to memory of 2108 2232 userinit.exe 36 PID 2232 wrote to memory of 2108 2232 userinit.exe 36 PID 2232 wrote to memory of 2108 2232 userinit.exe 36 PID 2232 wrote to memory of 2120 2232 userinit.exe 156 PID 2232 wrote to memory of 2120 2232 userinit.exe 156 PID 2232 wrote to memory of 2120 2232 userinit.exe 156 PID 2232 wrote to memory of 2120 2232 userinit.exe 156
Processes
-
C:\Users\Admin\AppData\Local\Temp\11720d8fce40b7fdd68adbd307fbaa99.exe"C:\Users\Admin\AppData\Local\Temp\11720d8fce40b7fdd68adbd307fbaa99.exe"1⤵
- Drops file in Windows directory
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2512 -
C:\Windows\userinit.exeC:\Windows\userinit.exe2⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Drops file in System32 directory
- Drops file in Windows directory
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2232 -
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2324
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:3000
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2680
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2948
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
PID:2544
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2808
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2944
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2108
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2120
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2616
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:868
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2844
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1436
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2516
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1904
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2072
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1484
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2332
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2500
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1672
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:988
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:344
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1228
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1636
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:840
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2124
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:796
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2256
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2692
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2804
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:756
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2660
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2600
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1744
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2292
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:3064
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2104
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2120
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2832
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2268
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2204
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2836
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2044
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:480
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:588
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1768
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2508
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:836
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1540
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2628
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:240
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1304
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:404
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1940
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1716
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1004
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2784
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2708
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2712
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1240
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2660
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:320
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2936
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2296
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2864
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2872
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2732
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1784
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2896
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2728
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:540
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2084
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:636
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:692
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1152
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2224
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2116
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1388
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1820
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:3036
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2368
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2196
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:840
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1940
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2416
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2336
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2652
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2820
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2572
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2220
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2544
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2608
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2468
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:3044
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1504
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1544
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2848
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2892
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:868
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2956
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2204
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2532
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1756
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1472
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:652
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2496
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2380
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1968
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1812
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:344
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2632
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2772
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2464
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1520
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1940
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1004
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2788
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2708
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2472
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2668
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2248
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:320
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2180
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2312
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2868
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵
- Executes dropped EXE
PID:2120
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2616
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2268
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2640
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2200
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2676
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:2072
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:1688
-
-
C:\Windows\SysWOW64\system.exeC:\Windows\system32\system.exe3⤵PID:452
-
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
264KB
MD511720d8fce40b7fdd68adbd307fbaa99
SHA12df4acf6a19734a1cdfc78d65f2f22305d45c83e
SHA25644a127ca39b9d0c4fa44434007423e1ca86c9c35c81cbc98773046538dd04944
SHA512fdd3bf1c1cad36b385ba610a1d7ee844ed3369042d6b3502ada9861629f46d73fa9a798a401fb909ab2a36e2b16b010866e6fb50d3fc5a6e86b3ea6500643aef