Analysis
-
max time kernel
150s -
max time network
149s -
platform
windows7_x64 -
resource
win7-20231129-en -
resource tags
arch:x64arch:x86image:win7-20231129-enlocale:en-usos:windows7-x64system -
submitted
25-01-2024 17:21
Behavioral task
behavioral1
Sample
ae2f12850ad6d196ddd1c81d5efaaf37.exe
Resource
win7-20231129-en
windows7-x64
6 signatures
150 seconds
General
-
Target
ae2f12850ad6d196ddd1c81d5efaaf37.exe
-
Size
37KB
-
MD5
ae2f12850ad6d196ddd1c81d5efaaf37
-
SHA1
11b2182a8c346b613438705a91fb25abfbccb7a9
-
SHA256
1c728f5cd957271a82b3c2d60b26b04be8ba1dbae86bcb07a2c9be0bfbe85d35
-
SHA512
54a039cce23af76a89c9d4a936da4b1cc0c0fdc2a0aaa24e5d63acbddc942eb5a30dab36a1ac69b1d68b9456b1cdf66f90631d3bb260ec64b5ba47dab9c7cffc
-
SSDEEP
384:sUSvEiTbTvpWNcZ0y8fvCv3v3cLkacparAF+rMRTyN/0L+EcoinblneHQM3epzX3:TS7TZ38fvCv3E1cQrM+rMRa8NuECt
Score
8/10
Malware Config
Signatures
-
Modifies Windows Firewall 2 TTPs 1 IoCs
pid Process 2888 netsh.exe -
Legitimate hosting services abused for malware hosting/C2 1 TTPs 3 IoCs
flow ioc 2 0.tcp.eu.ngrok.io 31 0.tcp.eu.ngrok.io 55 0.tcp.eu.ngrok.io -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious use of AdjustPrivilegeToken 37 IoCs
description pid Process Token: SeDebugPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious use of WriteProcessMemory 4 IoCs
description pid Process procid_target PID 2724 wrote to memory of 2888 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 28 PID 2724 wrote to memory of 2888 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 28 PID 2724 wrote to memory of 2888 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 28 PID 2724 wrote to memory of 2888 2724 ae2f12850ad6d196ddd1c81d5efaaf37.exe 28
Processes
-
C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2724 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe" "ae2f12850ad6d196ddd1c81d5efaaf37.exe" ENABLE2⤵
- Modifies Windows Firewall
PID:2888
-