Analysis
-
max time kernel
150s -
max time network
148s -
platform
windows10-2004_x64 -
resource
win10v2004-20231222-en -
resource tags
arch:x64arch:x86image:win10v2004-20231222-enlocale:en-usos:windows10-2004-x64system -
submitted
25-01-2024 17:21
Behavioral task
behavioral1
Sample
ae2f12850ad6d196ddd1c81d5efaaf37.exe
Resource
win7-20231129-en
windows7-x64
6 signatures
150 seconds
General
-
Target
ae2f12850ad6d196ddd1c81d5efaaf37.exe
-
Size
37KB
-
MD5
ae2f12850ad6d196ddd1c81d5efaaf37
-
SHA1
11b2182a8c346b613438705a91fb25abfbccb7a9
-
SHA256
1c728f5cd957271a82b3c2d60b26b04be8ba1dbae86bcb07a2c9be0bfbe85d35
-
SHA512
54a039cce23af76a89c9d4a936da4b1cc0c0fdc2a0aaa24e5d63acbddc942eb5a30dab36a1ac69b1d68b9456b1cdf66f90631d3bb260ec64b5ba47dab9c7cffc
-
SSDEEP
384:sUSvEiTbTvpWNcZ0y8fvCv3v3cLkacparAF+rMRTyN/0L+EcoinblneHQM3epzX3:TS7TZ38fvCv3E1cQrM+rMRa8NuECt
Malware Config
Signatures
-
Modifies Windows Firewall 2 TTPs 1 IoCs
Processes:
netsh.exepid process 4152 netsh.exe -
Legitimate hosting services abused for malware hosting/C2 1 TTPs 4 IoCs
Processes:
flow ioc 14 0.tcp.eu.ngrok.io 53 0.tcp.eu.ngrok.io 72 0.tcp.eu.ngrok.io 109 0.tcp.eu.ngrok.io -
Suspicious behavior: EnumeratesProcesses 64 IoCs
Processes:
ae2f12850ad6d196ddd1c81d5efaaf37.exepid process 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
Processes:
ae2f12850ad6d196ddd1c81d5efaaf37.exepid process 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious use of AdjustPrivilegeToken 37 IoCs
Processes:
ae2f12850ad6d196ddd1c81d5efaaf37.exedescription pid process Token: SeDebugPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious use of WriteProcessMemory 3 IoCs
Processes:
ae2f12850ad6d196ddd1c81d5efaaf37.exedescription pid process target process PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe netsh.exe PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe netsh.exe PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe netsh.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1324 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe" "ae2f12850ad6d196ddd1c81d5efaaf37.exe" ENABLE2⤵
- Modifies Windows Firewall
PID:4152
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
memory/1324-0-0x00000000750E0000-0x0000000075691000-memory.dmpFilesize
5.7MB
-
memory/1324-1-0x0000000001340000-0x0000000001350000-memory.dmpFilesize
64KB
-
memory/1324-2-0x00000000750E0000-0x0000000075691000-memory.dmpFilesize
5.7MB
-
memory/1324-3-0x00000000750E0000-0x0000000075691000-memory.dmpFilesize
5.7MB
-
memory/1324-4-0x0000000001340000-0x0000000001350000-memory.dmpFilesize
64KB
-
memory/1324-5-0x00000000750E0000-0x0000000075691000-memory.dmpFilesize
5.7MB