Analysis

  • max time kernel
    146s
  • max time network
    154s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20231215-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20231215-enlocale:en-usos:windows10-2004-x64system
  • submitted
    12-01-2024 15:28

General

  • Target

    56d38ab845746b9706c51859e9591765.exe

  • Size

    35KB

  • MD5

    56d38ab845746b9706c51859e9591765

  • SHA1

    758031a2724e854364887e88dcfccb0fd3645ccd

  • SHA256

    1ce72c1b0c2abec8e895a1d97778e12642700a78999f63b02dcd5a6bf5721a9c

  • SHA512

    75127a4d5d6ac211c9944fd6fc6910b5123667569e720964645167d478ac5d3b29306996a9f9127753607b02f9e0470714a4a0d3502b6693538f346f9dd3ff1d

  • SSDEEP

    768:SqUg8PaEPPHHzYIwiADy557s3zHSYDkb+YEE89fA:SqQPPnzYjiADy55Q+YDkbqE89I

Malware Config

Extracted

Path

C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L��������������"� 0������������� �� ��� ���@�� ��������������������`���������`����������������������������w �O���� ���������������������@� ���� �8�������������������������������������������� ������������� ��H�����������.text�������� ��������������������� ��`.rsrc������� ��������������������@��@.reloc�� ����@��������������������@��B����������������� �����H�����J���B������،���}������������������������������������������0����������(��  +L� �~��o�� � ,0�~��r��p(�� o���~��o�� �~��(�����X �i2��(�� +��(����X�i2����~��o�� o������*�������������0����������(��  +P� �(�� ,<�~��r��p(�� o���o�� ~��o�� Yo�� ~��(�����X �i2��(�� +��(����X�i2����~��o�� o������*�������������0�K������~��o�� ,5�o�� ~��o�� Y~��o�� o�� ~��(�� , +� +�*�0������� �C�� s��  +�o�� �� X   �  -�o�� �~��(�� s�� ( �� o!�� s"��  ���o#�� � ����o$�� �o%�� �  P���s&�� o'�� [o(�� o)�� �o*�� [o(�� o+�� �o,�� ��io-�� �o.�� s/�� s��  ����C���+� o-�� ���io0�� % �  -�o1�� ��� �~�� o�� o�������;�~��r5��p(�� o���~��X���o1�� �o1�� �(2�� ���*������7.�����QH;����0�x�����( �� o!��  �C�� s�� �io0�� &s"�� ���o#�� � ����o$�� � P���s&��   o'�� [o(�� o)�� �  o*�� [o(�� o+�� � o%�� � o,�� � o3�� s/�� s��  ����C���+�o-�� ���io0�� %�  -���: �~��rI��p o�� (�� o����� �~�� o�� o��������o1�� �~��r���p(�� o�����" �~��r���p o�� (�� o��������o1�� �o1�� ���*4������/��"������/����"A"���Fe����"(4�� �*����r���ps�����r���p���~+�����s5�� ���*�}��} ��} ��~*��s3��} ��} ��(6�� ��(���*0��������s7�� }��{��#�����@�@o8�� �{�����s9�� o:�� �{��o;�� �{��r�po<�� ��~��o=�� +,�(>�� �{��%o?�� r�pr�p(@�� o<�� ���(A�� -������oB�� ��*����b�9������J�oC�� �oD�� �*�0��������( �� 9�����{��~��o<�� �{��r%�po<�� �{��(E�� oF�� �{��r�po<�� �{��r�po<�� �{��#'*(G�� oH�� �{��rO�po<�� �{��oI�� ��*��0��������{��o?�� ~��(�� ,r�{ ��r��po4���r��pr��p@(J�� &~�����{��r��po<�� �(K�� (L�� �("���(M�� (L�� �r[�pr��p@(J�� &�+�r>�pr��p(J�� &�*0� �����~*��s3�� {��o?�� ~N�� (O�� �rV�po�� 9�����rr�po�� ,$�r��poP�� XoQ�� (O�� ��+-�r��poP�� XoQ�� r��pr��p@(J�� &�(��,-�r��po4���o4���r�pr��p@(J�� &+J�r��po4���r?�pr��p(J�� &��+!�r��po4���r[�pr��p(J�� &�+�*V����sR�� (S�� &*��0�+������, { ���+ ,�{ ��oB�� ��(T�� �*�0���� ������(U�� sV�� sW�� } ��sX�� }��sY�� }��sX�� }��sX�� }��sZ�� }��sZ�� }��sX�� }��s[�� }��sX�� }��sY�� }��sX�� }��s[�� }��sY�� }��sY�� }��sX�� }��sX�� }��sY�� }��sZ�� }��sX�� } ��{��o\�� �{��o\�� �(\�� �{��o]�� �{��r��p"���As^�� o_�� �{��(`�� oF�� �{��sa�� ob�� �{��r �poc�� �{�� C��%sd�� oe�� �{��of�� �{��r$ �po<�� �{��#'*(G�� oH�� �{��og�� �{��rt �p"��As^�� o_�� �{��(h�� oF�� �{�� ��� ����sa�� ob�� �{��oi�� �{��r� �poc�� �{��oj�� �{��ok�� �{�� r�� !��sd�� oe�� �{��of�� �{��ol�� �{��r� �pom�� o<�� �{��o]�� �{��rt �p"��dAs^�� o_�� �{��(n�� oF�� �{�� )��`sa�� ob�� �{��r� �poc�� �{��-sd�� oe�� �{��of�� �{��r� �po<�� �{��o]�� �{��rt �p"��dAs^�� o_�� �{��(n�� oF�� �{��`sa�� ob�� �{��r� �poc�� �{�� ����sd�� oe�� �{��of�� �{��r� �po<�� �{��#'*(G�� oH�� �{��(o�� oF�� �{���sa�� ob�� �{��r� �poc�� �{�� '�� sd�� oe�� �{��of�� �{��#'*(G�� oH�� �{��op�� {��oq�� �{��(o�� oF�� �{��Wsa�� ob�� �{��r �poc�� �{�� e��Csd�� oe�� �{��of�� �{��o]�� �{��rt �p"���As^�� o_�� �{��(n�� oF�� �{��T ���sa�� ob�� �{��r �poc�� �{�� ���� sd�� oe�� �{�� of�� �{��r" �po<�� �{��(r�� oH�� �{��os�� �{�� �� ���sa�� ob�� �{��r\ �poc�� �{��Ksd�� oe�� �{�� of�� �{��rl �po<�� �{��ot�� �{��� ��su�� ov�� �{��o]�� �{��rt �p"���As^�� o_�� �{��(n�� oF�� �{��T ��sa�� ob�� �{��r| �poc�� �{��z sd�� oe�� �{�� of�� �{��r� �po<�� �{��#'*(G�� oH�� �{��og�� �{��(w�� oF�� �{��G !��sa�� ob�� �{��r� �poc�� �{��oj�� �{�� ����sd�� oe�� �{�� of�� �{��ol�� �{��o]�� �{��rt �p"�� As^�� o_�� �{��(n�� oF�� �{�� &�� ���sa�� ob�� �{��r� �poc�� �{��Tsd�� oe�� �{�� of�� �{��r� �po<�� �{��(r�� oH�� �{��os�� �{�� ��� ��sa�� ob�� �{��r� �poc�� �{��Ksd�� oe�� �{��of�� �{��r� �po<�� �{��ot�� �{��� ��su�� ov�� �{��#'*(G�� oH�� �{��og�� �{��(w�� oF�� �{��1 ���sa�� ob�� �{��r �poc�� �{�� ����sd�� oe�� �{��of�� �{��ol�� �{��r �po<�� �{��#'*(G�� oH�� �{��og�� �{��(w�� oF�� �{�� ��� ��sa�� ob�� �{��rB �poc�� �{�� ����sd�� oe�� �{��of�� �{��ol�� �{��rT �po<�� �{��o]�� �{��rt �p"���As^�� o_�� �{��(n�� oF�� �{�� ��� ���sa�� ob�� �{��r� �poc�� �{�� ���� sd�� oe�� �{��of�� �{��r� �po<�� �{��o]�� �{��rt �p"�� As^�� o_�� �{��(n�� oF�� �{�� ���� I��sa�� ob�� �{��r� �poc�� �{�� sd�� oe�� �{��of�� �{��r �po<�� �{��#'*(G�� oH�� �{��og�� �{��rt �p"ff�@s^�� o_�� �{��(h�� oF�� �{��# l��sa�� ob�� �{��oi�� �{��r �poc�� �{��oj�� �{��ok�� �{�� [��;sd�� oe�� �{��of�� �{��ol�� �{��(x�� oH�� �{��op�� { ��oq�� �{��# ����sa�� ob�� �{��r �poc�� �{�� [�� ����sd�� oe�� �{��of�� �{ ��o]�� �{ ��r��p"��HBs^�� o_�� �{ ��(y�� oF�� �{ ��/sa�� ob�� �{ ��r* �poc�� �{ �� %��Lsd�� oe�� �{ ��of�� �{ ��r: �po<�� �"���@"��PAsz�� ({�� �(|�� �,/3(G�� oH�� � �� X��sd�� (}�� �(~�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(�� oF�� �(��� �rL �p(c�� �(��� �rL �po<�� �� ��su�� (��� �{��o��� �{��o��� �{��o��� �{��o��� �(��� �(��� �*���0����� ���{ ��� ,R�;} ��{ ��� ,)�;} ��{��� ,�{��Y}����+�{ ��Y} ����+{ ��Y} ��{ ��-{ ��- {���+ ,��{ ��rX �p|��(��� 0o��� | ��(��� 0o��� | ��(��� 0o��� (��� o<�� �*0����� ���(��� (��� ~!��rp �p(�� o�� �~!��r� �p(�� o�� �~!��r� �p(�� o�� �~!��r� �p(�� o�� �~!��r� �p(�� o�� �~!��r6 �p(�� o�� �~!��r� �p(�� o�� �*0�W�� ���(���s5�� �~!��o=�� 8��(>�� �(��� 9�����r� �p(�� s��� �r�po��� 8������o��� o���  � r�p(��� o���  + o��� t*��  o��� o�� � o��� -�� u+��  , oB�� ��� r\�p(��� o���  + o��� t*��o��� o�� � o��� -�� u+��  , oB�� ���X�i?2�����(A�� :��������oB�� ��+�*�AL���������)���������������������)������������������'��@���������"(4�� �*.s5�� �!��*�(4�� ��(��� }"��rz�p}#��}$��}%��*���0�a�� ���{%��� ,e�{"��{#��(�� (��� �r��p(��� r��p(��� (��� (�� o��� �r��po��� ��� ,oB�� ���8����{%���,?�r��p(��� r��p(��� (��� (�� (��� �r��p(��� ��8�����{"��{#��(�� (��� �r��p(��� r��p(��� (��� (�� o��� �r��po��� ��� ,oB�� ��r��p(��� r��p(��� (��� (�� (��� �r��p(��� ��*������&�<b� �������@ ����0�%������{$��r���p(�� ,�r���p(����*���0�J������{$��r���p(�� ,�r��p(����+#{$��r��p(�� ,�r��p(����*��0�%������{$��r��p(��� ,�r��p(����*>�r��p(���*���0�`������s��� �r��prL�p(��� ~&��o���o��� o��� o��� ����� ,���� ,oB�� ��*����KR� ����"(4�� �*Fr���ps���&��*�0�P������(&�� ,�s��(��� ��+6�(%���(#���( ���(!���('��� p��(��� �s��(��� ��*0������~,��r��po���(�� r�p �o=�� +(>�� �r��p(��� �(A�� -�����oB�� ��(O�� �(+�� (*�� (,��~*��s3�� �B��%r��p�%o��� �%r.�p�%o��� �%r<�p�% �%rL�p�%�%rh�p�(��� o4���rp�p~+��rh�p(��� o4���r��prh�p(��� o4���*����&�&L�����0��������~-��r��po4���~7��%-&~6���<��s��� %�7��s��� ~8��%-&~6���=��s��� %�8��s��� ~9��%-&~6���>��s��� %�9��s��� o��� �o��� �o��� �o��� �o��� �o��� �~-��r��p~��o��� �q��(��� o4���(0���*���0��������~:��%-&~6���?��s��� %�:��s��� ~;��%-&~6���@��s��� %�;��s��� ~<��%-&~6���A��s��� %�<��s��� o��� �o��� �o��� �o��� �o��� �o��� �*�0���������(��� o��� r��p(�� (��� (�� (O�� �~��� r��po��� �r��pr��pr��p(��� o��� ��� ,oB�� ���� �~,�� o�� o������*���;� [� �������hi���0�M������r�pr��p�~��(��� � ,/�~��� r��po��� �r��po��� ��� ,oB�� ���*������/�@� ����0�Z�������(��� o��� r��p(�� (��� (��� (��� (�� (��� �(��� (O�� ��� �~,��o�� o������*�������BC���0�#������r�pr��p(��� � ,� + +�*�0�;������(��� r��p(�� (O�� �s��� �~+��o��� ��� ,oB�� ��*�����/� ����"(4�� �*���0�W�������(��� �'��(��� �(��'(��� �)��r��p�*��r��p�+��r���ps���,��~*��s3���-��*�0�c������~N�� �r��psB�� �r��poD�� ���% �o��� � �� ,oB�� ���� �~.�� o�� o������+�*�����$7� �������>E���0�3������s5�� r��p(��� r�p(��� o�� �o�� � +� *�0�d������~N�� �s��� �r+�po��� o��� o��� o��� o��� �� ,oB�� �����~.��o�� o������+�*����(6� �������=D���"(4�� �*Fr���ps���.��*�0�F������(��� rW�p(�� �2��(9��~2��o��� �~/��~2��~0��~1��`(/��&*"(4�� �*R�/���0���1��*B(4�� ��}3��*���0�u������s��� %ru�po��� �%r��pr��po��� �%r��pr��po��� � �s��� �{3��s��� o��� o��� (��� &�� ,oB�� ����&����*������=�$a� ������6�9o���&(4�� ��*��0�9������~4��� ,"�r �p� ��(U�� o��� s��� �4���~4�� +�*���0� ������~5�� +�*"��5��*0�!������(6��rW�p~5��o��� t>�� +�*.s;���6��*"(4�� �*2~(��(���*2~)��(���*2~'��(���*2~(��(���*2~)��(���*2~'��(���*0�������(4�� ��s��� }=��s��� }?��~N�� }@��s��� o��� �o��� �o��� �o��� �o��� �{=���E��s��� o��� �{=��o��� �{=��o��� &{=��o��� }>��{=��o��� �*��{=��o��� �{=��o��� �{>��o��� �{>��o��� �*��0�A������~N�� }@��{>��o��� �{>��r]�po��� �{?��o��� &{@�� +�*���0�K������o��� ,o��� ro�p(�� + ,{?��o��� &+{@��o��� (��� (��� }@��*�BSJB������ ���v4.0.30319�����l���\��#~��������#Strings�����&��x��#US�<�����#GUID���<�����#Blob���������W� ����3���������� ���@���E���(������������������������������������������������h������������������� �o� �P� ��� ��� ��� ��� ����e��3� � �l� ���`� � � N�� %��N��N�� N�� N � v�� ��� \ �� \ �K v �'v �r v �3 v�8� G���� �v����Y \ �J�� %�> %�s��� ��H� �%�G� ��� ���G�� ����B������7�����v ����R`����s� ����b "�G � �� m �(\ ��\ ��%�@ � �+� ��N��%� q�� N��N��N��N�� %� N��N��%�� � �� v � v�2\ �Xm � v ��v ��v �X v �v �lv��� �� � �� ��� �T� ��m �m ��m ��m ��m ��v ��v� m ��vC� �� ��v ��v�� � ��m �� v ��v ��v �� v�� �� �0 ���� %� %���� �����%��s �r v�� %�����7 � �� � �a� ��m �K� ���`�C`�o� �� ��\ ����x���������������� �A��������e������� �A�!�������A�"������ �A�&������ �A�'������ �A�.�*����� �A�/�/����. �A�3�3����)�A�4�5�!�\��A�6�:���>��A�=�B����� ��g ��o��y��� ������ ��$ ��Y�����I��������������_��~������f������������������m��u�����������������������c��>�������� ��� ��?���������� ����� ���������%��6 ��& ����6����<���v���'�� ���X��� ��"��������C�P ������|���!������m����!���������<"����������#����������%������� ��%������� ��%������� �&������� ��&������Q  ��&������  ��'������ �P(������3;�|)���������)������ ���)���������8������'����9������2 ��h:������E�<��������!<��������-<������!�`<������D���=������� �� >������� ��x>������, ���>������^���>������� ��8?��������A?��������T?������N '��?������� ���@������� ���A������x ��hB������� ��C���������|C���������C�������-�$D������� ��|D���������D���������D������r \�xE������^��E������/\�DF��������MF��������������� S 1�`F������� �"��F�������"��F�������"��F�������"��F������c�#��G�������$��G�����E 9$��G������?$��G������E$��G������ L%�%H�������%�1H�������%�:H������E��%�GH��������%�TH������0�%�aH��������%�nH������b��%�{H�������%��H�������%�;I����� �&�pI������L�&��I������R'����� ���� �������� �������������������> �������> �������> �������> �������> �������c �����������h���"���"���"���"���"�������B���� ���� ���� ���� ���* �������X���� ���[���> ���� ��� �������� �)���1���9���A���I���Q���Y���a���i���q���y���1��������� � �5��;�[@� ��L� �5���R�� V�G Z��f�����!���! ������1���1�������9��9��9��������9�V�I���

Signatures

  • Nitro

    A ransomware that demands Discord nitro gift codes to decrypt files.

  • Renames multiple (78) files with added filename extension

    This suggests ransomware activity of encrypting all the files on the system.

  • Checks computer location settings 2 TTPs 1 IoCs

    Looks up country code configured in the registry, likely geofence.

  • Executes dropped EXE 1 IoCs
  • Reads user/profile data of web browsers 2 TTPs

    Infostealers often target stored browser data, which can include saved credentials etc.

  • Adds Run key to start application 2 TTPs 1 IoCs
  • Drops desktop.ini file(s) 5 IoCs
  • Legitimate hosting services abused for malware hosting/C2 1 TTPs
  • Looks up external IP address via web service 2 IoCs

    Uses a legitimate IP lookup service to find the infected system's external IP.

  • Sets desktop wallpaper using registry 2 TTPs 1 IoCs
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Program crash 2 IoCs
  • Runs ping.exe 1 TTPs 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 43 IoCs
  • Suspicious use of WriteProcessMemory 15 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\56d38ab845746b9706c51859e9591765.exe
    "C:\Users\Admin\AppData\Local\Temp\56d38ab845746b9706c51859e9591765.exe"
    1⤵
    • Checks computer location settings
    • Suspicious use of WriteProcessMemory
    PID:2884
    • C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe
      "C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe"
      2⤵
      • Executes dropped EXE
      • Adds Run key to start application
      • Drops desktop.ini file(s)
      • Sets desktop wallpaper using registry
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of WriteProcessMemory
      PID:5088
      • C:\Windows\SysWOW64\cmd.exe
        "cmd.exe"
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:1016
        • C:\Windows\SysWOW64\Wbem\WMIC.exe
          wmic csproduct get uuid
          4⤵
          • Suspicious use of AdjustPrivilegeToken
          PID:4148
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 5088 -s 2212
        3⤵
        • Program crash
        PID:4712
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 5088 -s 2212
        3⤵
        • Program crash
        PID:4788
    • C:\Windows\System32\cmd.exe
      "C:\Windows\System32\cmd.exe" /C ping 1.1.1.1 -n 1 -w 100 > Nul & Del "C:\Users\Admin\AppData\Local\Temp\56d38ab845746b9706c51859e9591765.exe"& ping 1.1.1.1 -n 1 -w 900 > Nul & Del "C:\Users\Admin\AppData\Local\Temp\56d38ab845746b9706c51859e9591765.exe"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:5004
      • C:\Windows\system32\PING.EXE
        ping 1.1.1.1 -n 1 -w 100
        3⤵
        • Runs ping.exe
        PID:4060
      • C:\Windows\system32\PING.EXE
        ping 1.1.1.1 -n 1 -w 900
        3⤵
        • Runs ping.exe
        PID:4144
  • C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -pss -s 420 -p 5088 -ip 5088
    1⤵
      PID:1708
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 536 -p 5088 -ip 5088
      1⤵
        PID:3228

      Network

      MITRE ATT&CK Enterprise v15

      Replay Monitor

      Loading Replay Monitor...

      Downloads

      • C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

        Filesize

        61KB

        MD5

        1484a0ecf720d351f8897c2f9b3f5046

        SHA1

        8770a72054cc21f07051df2b4c0f7775cc4fa731

        SHA256

        a00d950fbee25d407f79f5d7211cbd1f15d27f89bf5714e44f222c9013f6c131

        SHA512

        136ef22f74ed55859bb143a26b2dbf1f4bb84c267d461e60d44934eb879a9efc4902e05dd386bb4926ea2cc469f8f7efe24ae6d6a4bb45511b4939558b379d97

      • memory/2884-0-0x0000000000AC0000-0x0000000000AD0000-memory.dmp

        Filesize

        64KB

      • memory/2884-3-0x00007FFCE6630000-0x00007FFCE70F1000-memory.dmp

        Filesize

        10.8MB

      • memory/2884-4-0x000000001B670000-0x000000001B680000-memory.dmp

        Filesize

        64KB

      • memory/2884-16-0x00007FFCE6630000-0x00007FFCE70F1000-memory.dmp

        Filesize

        10.8MB

      • memory/5088-18-0x0000000000AC0000-0x0000000000AD6000-memory.dmp

        Filesize

        88KB

      • memory/5088-17-0x0000000074E80000-0x0000000075630000-memory.dmp

        Filesize

        7.7MB

      • memory/5088-19-0x0000000005970000-0x0000000005F14000-memory.dmp

        Filesize

        5.6MB

      • memory/5088-20-0x00000000054C0000-0x0000000005552000-memory.dmp

        Filesize

        584KB

      • memory/5088-21-0x0000000005710000-0x0000000005720000-memory.dmp

        Filesize

        64KB

      • memory/5088-53-0x0000000074E80000-0x0000000075630000-memory.dmp

        Filesize

        7.7MB

      • memory/5088-60-0x0000000005710000-0x0000000005720000-memory.dmp

        Filesize

        64KB

      • memory/5088-104-0x0000000007020000-0x000000000702A000-memory.dmp

        Filesize

        40KB

      • memory/5088-105-0x0000000074E80000-0x0000000075630000-memory.dmp

        Filesize

        7.7MB