Analysis

  • max time kernel
    1s
  • max time network
    146s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20231222-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20231222-enlocale:en-usos:windows10-2004-x64system
  • submitted
    21/01/2024, 17:38

General

  • Target

    6da0370835d68a8974fcb588fecb3fbf.exe

  • Size

    4.4MB

  • MD5

    6da0370835d68a8974fcb588fecb3fbf

  • SHA1

    6c791854b7146f5ef9f34b7c33e78242ca575e8c

  • SHA256

    fcbfc875faa86d1db822019f11632e5609462177b12a4f0083f3f0f88093e2f7

  • SHA512

    9212208b0c5deeb3484f702182a2a3baf8c788380c6314af97db1e60455fd8c2e53a94f7fad849791c2d50b1db167e61a1c548893c459172f6b6f58c4954b5ed

  • SSDEEP

    98304:pP68pQVjSwUHjLEvtVWkxOONscVqC/lgDtSN8xjwDpBITS:p68+VGhc1dxOOzwtS+jiTITS

Malware Config

Extracted

Family

metasploit

Version

windows/single_exec

Signatures

  • Glupteba

    Glupteba is a modular loader written in Golang with various components.

  • Glupteba payload 18 IoCs
  • MetaSploit

    Detected malicious payload which is part of the Metasploit Framework, likely generated with msfvenom or similar.

  • Modifies Windows Firewall 1 TTPs 1 IoCs
  • Program crash 64 IoCs
  • Creates scheduled task(s) 1 TTPs 1 IoCs

    Schtasks is often used by malware for persistence or to perform post-infection execution.

  • GoLang User-Agent 4 IoCs

    Uses default user-agent string defined by GoLang HTTP packages.

Processes

  • C:\Users\Admin\AppData\Local\Temp\6da0370835d68a8974fcb588fecb3fbf.exe
    "C:\Users\Admin\AppData\Local\Temp\6da0370835d68a8974fcb588fecb3fbf.exe"
    1⤵
      PID:4592
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 344
        2⤵
        • Program crash
        PID:3332
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 348
        2⤵
        • Program crash
        PID:5240
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 348
        2⤵
        • Program crash
        PID:5352
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 616
        2⤵
        • Program crash
        PID:4076
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 688
        2⤵
        • Program crash
        PID:5376
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 688
        2⤵
        • Program crash
        PID:5392
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 728
        2⤵
        • Program crash
        PID:4768
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 736
        2⤵
        • Program crash
        PID:952
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 708
        2⤵
        • Program crash
        PID:4832
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 756
        2⤵
        • Program crash
        PID:2640
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 792
        2⤵
        • Program crash
        PID:3812
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 744
        2⤵
        • Program crash
        PID:1824
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 840
        2⤵
        • Program crash
        PID:6040
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 812
        2⤵
        • Program crash
        PID:6132
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 720
        2⤵
        • Program crash
        PID:3312
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 772
        2⤵
        • Program crash
        PID:5364
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 616
        2⤵
        • Program crash
        PID:5112
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 792
        2⤵
        • Program crash
        PID:1628
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 852
        2⤵
        • Program crash
        PID:4704
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 632
        2⤵
        • Program crash
        PID:440
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 876
        2⤵
        • Program crash
        PID:4872
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4592 -s 836
        2⤵
        • Program crash
        PID:5704
      • C:\Users\Admin\AppData\Local\Temp\6da0370835d68a8974fcb588fecb3fbf.exe
        "C:\Users\Admin\AppData\Local\Temp\6da0370835d68a8974fcb588fecb3fbf.exe"
        2⤵
          PID:4568
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 296
            3⤵
            • Program crash
            PID:2444
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 300
            3⤵
            • Program crash
            PID:5052
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 300
            3⤵
            • Program crash
            PID:5956
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 632
            3⤵
            • Program crash
            PID:836
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 632
            3⤵
            • Program crash
            PID:6096
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 688
            3⤵
            • Program crash
            PID:5312
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 708
            3⤵
            • Program crash
            PID:1176
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 688
            3⤵
            • Program crash
            PID:3980
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 724
            3⤵
            • Program crash
            PID:1604
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 724
            3⤵
            • Program crash
            PID:4596
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 748
            3⤵
            • Program crash
            PID:5776
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 852
            3⤵
            • Program crash
            PID:2416
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 780
            3⤵
            • Program crash
            PID:1748
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 872
            3⤵
            • Program crash
            PID:1788
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 856
            3⤵
            • Program crash
            PID:2272
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1400
            3⤵
            • Program crash
            PID:1680
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1644
            3⤵
            • Program crash
            PID:2612
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1656
            3⤵
            • Program crash
            PID:1640
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1420
            3⤵
            • Program crash
            PID:1168
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1632
            3⤵
            • Program crash
            PID:3392
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1656
            3⤵
            • Program crash
            PID:2504
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1652
            3⤵
            • Program crash
            PID:1520
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 932
            3⤵
            • Program crash
            PID:2492
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1688
            3⤵
            • Program crash
            PID:4448
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1688
            3⤵
            • Program crash
            PID:5816
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1704
            3⤵
            • Program crash
            PID:5128
          • C:\Windows\system32\cmd.exe
            C:\Windows\Sysnative\cmd.exe /C "netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="C:\Windows\rss\csrss.exe" enable=yes"
            3⤵
              PID:4712
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -u -p 4568 -s 1456
              3⤵
              • Program crash
              PID:1440
            • C:\Windows\rss\csrss.exe
              C:\Windows\rss\csrss.exe /197-197
              3⤵
                PID:5352
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 340
                  4⤵
                  • Program crash
                  PID:4768
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 340
                  4⤵
                  • Program crash
                  PID:952
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 676
                  4⤵
                  • Program crash
                  PID:448
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 728
                  4⤵
                  • Program crash
                  PID:4748
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 728
                  4⤵
                  • Program crash
                  PID:4100
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 752
                  4⤵
                  • Program crash
                  PID:4024
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 776
                  4⤵
                  • Program crash
                  PID:456
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 748
                  4⤵
                  • Program crash
                  PID:2904
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 740
                  4⤵
                  • Program crash
                  PID:6036
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 676
                  4⤵
                  • Program crash
                  PID:3800
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 336
                  4⤵
                  • Program crash
                  PID:5392
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 876
                  4⤵
                  • Program crash
                  PID:4576
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 900
                  4⤵
                  • Program crash
                  PID:964
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 932
                  4⤵
                  • Program crash
                  PID:5764
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 956
                  4⤵
                  • Program crash
                  PID:3204
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 968
                  4⤵
                    PID:3232
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 852
                    4⤵
                      PID:1124
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 616
                      4⤵
                        PID:3884
                      • C:\Windows\SYSTEM32\schtasks.exe
                        schtasks /CREATE /SC ONLOGON /RL HIGHEST /TR "C:\Windows\rss\csrss.exe" /TN csrss /F
                        4⤵
                        • Creates scheduled task(s)
                        PID:5704
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1492
                        4⤵
                          PID:3732
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1484
                          4⤵
                            PID:6068
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1400
                            4⤵
                              PID:2280
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1552
                              4⤵
                                PID:5636
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1468
                                4⤵
                                  PID:1180
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1564
                                  4⤵
                                    PID:5684
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1504
                                    4⤵
                                      PID:2896
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1484
                                      4⤵
                                        PID:4708
                                      • C:\Users\Admin\AppData\Local\Temp\csrss\injector\injector.exe
                                        C:\Users\Admin\AppData\Local\Temp\csrss\injector\injector.exe taskmgr.exe C:\Users\Admin\AppData\Local\Temp\csrss\injector\NtQuerySystemInformationHook.dll
                                        4⤵
                                          PID:2672
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 460
                                          4⤵
                                            PID:6140
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -u -p 5352 -s 1628
                                            4⤵
                                              PID:2040
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 4592 -ip 4592
                                        1⤵
                                          PID:5664
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4592 -ip 4592
                                          1⤵
                                            PID:2988
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 472 -p 4592 -ip 4592
                                            1⤵
                                              PID:5244
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 452 -p 4592 -ip 4592
                                              1⤵
                                                PID:5828
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 4592 -ip 4592
                                                1⤵
                                                  PID:2036
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4592 -ip 4592
                                                  1⤵
                                                    PID:4796
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4592 -ip 4592
                                                    1⤵
                                                      PID:4328
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 4592 -ip 4592
                                                      1⤵
                                                        PID:828
                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4592 -ip 4592
                                                        1⤵
                                                          PID:1908
                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 448 -p 4592 -ip 4592
                                                          1⤵
                                                            PID:856
                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 452 -p 4592 -ip 4592
                                                            1⤵
                                                              PID:5208
                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 560 -p 4592 -ip 4592
                                                              1⤵
                                                                PID:668
                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4592 -ip 4592
                                                                1⤵
                                                                  PID:3608
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4592 -ip 4592
                                                                  1⤵
                                                                    PID:4188
                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 544 -p 4592 -ip 4592
                                                                    1⤵
                                                                      PID:3844
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4592 -ip 4592
                                                                      1⤵
                                                                        PID:3888
                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4592 -ip 4592
                                                                        1⤵
                                                                          PID:724
                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 452 -p 4592 -ip 4592
                                                                          1⤵
                                                                            PID:4732
                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4592 -ip 4592
                                                                            1⤵
                                                                              PID:2932
                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4592 -ip 4592
                                                                              1⤵
                                                                                PID:1620
                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4592 -ip 4592
                                                                                1⤵
                                                                                  PID:3644
                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4592 -ip 4592
                                                                                  1⤵
                                                                                    PID:2744
                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 596 -p 4568 -ip 4568
                                                                                    1⤵
                                                                                      PID:2928
                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4568 -ip 4568
                                                                                      1⤵
                                                                                        PID:4744
                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 448 -p 4568 -ip 4568
                                                                                        1⤵
                                                                                          PID:5584
                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 612 -p 4568 -ip 4568
                                                                                          1⤵
                                                                                            PID:3928
                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4568 -ip 4568
                                                                                            1⤵
                                                                                              PID:1120
                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 592 -p 4568 -ip 4568
                                                                                              1⤵
                                                                                                PID:3976
                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 4568 -ip 4568
                                                                                                1⤵
                                                                                                  PID:1428
                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 440 -p 4568 -ip 4568
                                                                                                  1⤵
                                                                                                    PID:756
                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 4568 -ip 4568
                                                                                                    1⤵
                                                                                                      PID:5764
                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4568 -ip 4568
                                                                                                      1⤵
                                                                                                        PID:5836
                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 4568 -ip 4568
                                                                                                        1⤵
                                                                                                          PID:744
                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4568 -ip 4568
                                                                                                          1⤵
                                                                                                            PID:5976
                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 600 -p 4568 -ip 4568
                                                                                                            1⤵
                                                                                                              PID:5472
                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 4568 -ip 4568
                                                                                                              1⤵
                                                                                                                PID:1716
                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 484 -p 4568 -ip 4568
                                                                                                                1⤵
                                                                                                                  PID:4708
                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4568 -ip 4568
                                                                                                                  1⤵
                                                                                                                    PID:6080
                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 4568 -ip 4568
                                                                                                                    1⤵
                                                                                                                      PID:5596
                                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4568 -ip 4568
                                                                                                                      1⤵
                                                                                                                        PID:3128
                                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 4568 -ip 4568
                                                                                                                        1⤵
                                                                                                                          PID:4660
                                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 592 -p 4568 -ip 4568
                                                                                                                          1⤵
                                                                                                                            PID:5332
                                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 472 -p 4568 -ip 4568
                                                                                                                            1⤵
                                                                                                                              PID:5804
                                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 4568 -ip 4568
                                                                                                                              1⤵
                                                                                                                                PID:1328
                                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 576 -p 4568 -ip 4568
                                                                                                                                1⤵
                                                                                                                                  PID:748
                                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 440 -p 4568 -ip 4568
                                                                                                                                  1⤵
                                                                                                                                    PID:2380
                                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 580 -p 4568 -ip 4568
                                                                                                                                    1⤵
                                                                                                                                      PID:3272
                                                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4568 -ip 4568
                                                                                                                                      1⤵
                                                                                                                                        PID:4480
                                                                                                                                      • C:\Windows\system32\netsh.exe
                                                                                                                                        netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="C:\Windows\rss\csrss.exe" enable=yes
                                                                                                                                        1⤵
                                                                                                                                        • Modifies Windows Firewall
                                                                                                                                        PID:5260
                                                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 440 -p 4568 -ip 4568
                                                                                                                                        1⤵
                                                                                                                                          PID:1616
                                                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 5352 -ip 5352
                                                                                                                                          1⤵
                                                                                                                                            PID:828
                                                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 5352 -ip 5352
                                                                                                                                            1⤵
                                                                                                                                              PID:2968
                                                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 5352 -ip 5352
                                                                                                                                              1⤵
                                                                                                                                                PID:1908
                                                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 5352 -ip 5352
                                                                                                                                                1⤵
                                                                                                                                                  PID:4124
                                                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 604 -p 5352 -ip 5352
                                                                                                                                                  1⤵
                                                                                                                                                    PID:2520
                                                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 624 -p 5352 -ip 5352
                                                                                                                                                    1⤵
                                                                                                                                                      PID:4208
                                                                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 616 -p 5352 -ip 5352
                                                                                                                                                      1⤵
                                                                                                                                                        PID:1940
                                                                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 656 -p 5352 -ip 5352
                                                                                                                                                        1⤵
                                                                                                                                                          PID:5172
                                                                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 648 -p 5352 -ip 5352
                                                                                                                                                          1⤵
                                                                                                                                                            PID:732
                                                                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 5352 -ip 5352
                                                                                                                                                            1⤵
                                                                                                                                                              PID:4752
                                                                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 472 -p 5352 -ip 5352
                                                                                                                                                              1⤵
                                                                                                                                                                PID:4672
                                                                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 628 -p 5352 -ip 5352
                                                                                                                                                                1⤵
                                                                                                                                                                  PID:3764
                                                                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 672 -p 5352 -ip 5352
                                                                                                                                                                  1⤵
                                                                                                                                                                    PID:1996
                                                                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 652 -p 5352 -ip 5352
                                                                                                                                                                    1⤵
                                                                                                                                                                      PID:5580
                                                                                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 5352 -ip 5352
                                                                                                                                                                      1⤵
                                                                                                                                                                        PID:2108
                                                                                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 660 -p 5352 -ip 5352
                                                                                                                                                                        1⤵
                                                                                                                                                                          PID:2976
                                                                                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 656 -p 5352 -ip 5352
                                                                                                                                                                          1⤵
                                                                                                                                                                            PID:4608
                                                                                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 652 -p 5352 -ip 5352
                                                                                                                                                                            1⤵
                                                                                                                                                                              PID:4532
                                                                                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 632 -p 5352 -ip 5352
                                                                                                                                                                              1⤵
                                                                                                                                                                                PID:1176
                                                                                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 596 -p 5352 -ip 5352
                                                                                                                                                                                1⤵
                                                                                                                                                                                  PID:5048
                                                                                                                                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 5352 -ip 5352
                                                                                                                                                                                  1⤵
                                                                                                                                                                                    PID:5432
                                                                                                                                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 652 -p 5352 -ip 5352
                                                                                                                                                                                    1⤵
                                                                                                                                                                                      PID:5776
                                                                                                                                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 5352 -ip 5352
                                                                                                                                                                                      1⤵
                                                                                                                                                                                        PID:916
                                                                                                                                                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 568 -p 5352 -ip 5352
                                                                                                                                                                                        1⤵
                                                                                                                                                                                          PID:2208
                                                                                                                                                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 636 -p 5352 -ip 5352
                                                                                                                                                                                          1⤵
                                                                                                                                                                                            PID:1788
                                                                                                                                                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 596 -p 5352 -ip 5352
                                                                                                                                                                                            1⤵
                                                                                                                                                                                              PID:4344
                                                                                                                                                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 548 -p 5352 -ip 5352
                                                                                                                                                                                              1⤵
                                                                                                                                                                                                PID:1028
                                                                                                                                                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                                                                                                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 676 -p 5352 -ip 5352
                                                                                                                                                                                                1⤵
                                                                                                                                                                                                  PID:4116

                                                                                                                                                                                                Network

                                                                                                                                                                                                      MITRE ATT&CK Enterprise v15

                                                                                                                                                                                                      Replay Monitor

                                                                                                                                                                                                      Loading Replay Monitor...

                                                                                                                                                                                                      Downloads

                                                                                                                                                                                                      • C:\Users\Admin\AppData\Local\Temp\csrss\injector\injector.exe

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        57KB

                                                                                                                                                                                                        MD5

                                                                                                                                                                                                        1868d1207d734ac95ef900476b1d1fc2

                                                                                                                                                                                                        SHA1

                                                                                                                                                                                                        58dc6fd96a51edd9894302048989a40f239159c2

                                                                                                                                                                                                        SHA256

                                                                                                                                                                                                        7d75b5eb33370ba631f86ab8d9582866df942897066b2a12f10ae8b0202f48af

                                                                                                                                                                                                        SHA512

                                                                                                                                                                                                        ce2a0b5d43539278aebde9e7389db357e4bcaf864227f46abc8565361c17ccfbac0a9c0ef058b71f35cb0331b910a70f40de9c9f05232fd8f7d5044ffefc470c

                                                                                                                                                                                                      • C:\Users\Admin\AppData\Local\Temp\csrss\injector\injector.exe

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        194KB

                                                                                                                                                                                                        MD5

                                                                                                                                                                                                        5972f8a92166f37c67a3d70921794c96

                                                                                                                                                                                                        SHA1

                                                                                                                                                                                                        0974e74b29054f7edc6f2275804a44623a575bda

                                                                                                                                                                                                        SHA256

                                                                                                                                                                                                        e315541f6881f5032fefe499e1d82d7d36a6f51be91ee0f2422894aaa3644aaa

                                                                                                                                                                                                        SHA512

                                                                                                                                                                                                        f76cf38b5f6911d6da78d8fbd5b8c7cd53f6292c4f2e9094e6c5c0950a2cc755fb24e5c7d82b01b47c4ed7039832dfab23b2b89d6fc67e8babee4f197cc01498

                                                                                                                                                                                                      • C:\Windows\rss\csrss.exe

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        280KB

                                                                                                                                                                                                        MD5

                                                                                                                                                                                                        a1fcc944237ba57f897d2c95bee0e044

                                                                                                                                                                                                        SHA1

                                                                                                                                                                                                        0bb5a4ef2ccc2bb9d41cbf7082e3cbc49b7f5e27

                                                                                                                                                                                                        SHA256

                                                                                                                                                                                                        3402853ea7ad2c249deac219cd7f3e535c36d5158adbfc3e4dfe1e610a36b63e

                                                                                                                                                                                                        SHA512

                                                                                                                                                                                                        1ea0b4a0b7a0c7153bdf4725c911f7af7f20475864f3e0095bb971ca009d9e4b2de1b1c51a04a0dd482acc337907b437073e33c12792ce2b72a65e62f78087fa

                                                                                                                                                                                                      • C:\Windows\rss\csrss.exe

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        293KB

                                                                                                                                                                                                        MD5

                                                                                                                                                                                                        09af2a562bf25f83f51bf3699b16d5b6

                                                                                                                                                                                                        SHA1

                                                                                                                                                                                                        c187ffcf40d7998b46a3a9f14e1f638f8d49c5e4

                                                                                                                                                                                                        SHA256

                                                                                                                                                                                                        e4f27364add69769e2c783282969cb5a402357685ff2f0c935e15482b93def1b

                                                                                                                                                                                                        SHA512

                                                                                                                                                                                                        9e960c1c8c68cb9a36e7d544676b973c359d6373496af89d7d46a875ae0f9205de83cc8d82fd62af444f96696338ff13a36549a3cc70167dea3cb7fd7fc1e235

                                                                                                                                                                                                      • memory/4568-9-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/4568-8-0x0000000002D10000-0x0000000003637000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        9.2MB

                                                                                                                                                                                                      • memory/4568-17-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/4568-7-0x00000000028D0000-0x0000000002D0E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        4.2MB

                                                                                                                                                                                                      • memory/4592-3-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/4592-1-0x0000000002B50000-0x0000000002F8E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        4.2MB

                                                                                                                                                                                                      • memory/4592-6-0x0000000002F90000-0x00000000038B7000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        9.2MB

                                                                                                                                                                                                      • memory/4592-5-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/4592-2-0x0000000002F90000-0x00000000038B7000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        9.2MB

                                                                                                                                                                                                      • memory/5352-28-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-34-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-20-0x0000000002E00000-0x0000000003300000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        5.0MB

                                                                                                                                                                                                      • memory/5352-29-0x0000000002E00000-0x0000000003300000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        5.0MB

                                                                                                                                                                                                      • memory/5352-21-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-30-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-31-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-32-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-33-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-22-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-35-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-36-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-37-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-38-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-39-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-40-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB

                                                                                                                                                                                                      • memory/5352-41-0x0000000000400000-0x000000000258E000-memory.dmp

                                                                                                                                                                                                        Filesize

                                                                                                                                                                                                        33.6MB