Analysis
- max time kernel
150s - max time network
148s - platform
windows10-2004_x64 - resource
win10v2004-20231222-en - resource tags
arch:x64arch:x86image:win10v2004-20231222-enlocale:en-usos:windows10-2004-x64system - submitted
25/01/2024, 17:21
Behavioral task
behavioral1
Sample
ae2f12850ad6d196ddd1c81d5efaaf37.exe
Resource
win7-20231129-en
windows7-x64
6 signatures
150 seconds
General
- Target ae2f12850ad6d196ddd1c81d5efaaf37.exe
- Size 37KB
- Sample240125-vxb3lsbed4
- SHA256 1c728f5cd957271a82b3c2d60b26b04be8ba1dbae86bcb07a2c9be0bfbe85d35
- MD5 ae2f12850ad6d196ddd1c81d5efaaf37
- SHA1 11b2182a8c346b613438705a91fb25abfbccb7a9
- SHA512 54a039cce23af76a89c9d4a936da4b1cc0c0fdc2a0aaa24e5d63acbddc942eb5a30dab36a1ac69b1d68b9456b1cdf66f90631d3bb260ec64b5ba47dab9c7cffc
- SSDEEP 384:sUSvEiTbTvpWNcZ0y8fvCv3v3cLkacparAF+rMRTyN/0L+EcoinblneHQM3epzX3:TS7TZ38fvCv3E1cQrM+rMRa8NuECt
- MD5 SHA1 SHA512 SSDEEP
Malware Config
Signatures
- Modifies Windows Firewall 2 TTPs 1 IoCs
pid Process 4152 netsh.exe - Legitimate hosting services abused for malware hosting/C2 1 TTPs 4 IoCs
flow ioc 14 0.tcp.eu.ngrok.io 53 0.tcp.eu.ngrok.io 72 0.tcp.eu.ngrok.io 109 0.tcp.eu.ngrok.io - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe - Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe - Suspicious use of AdjustPrivilegeToken 37 IoCs
description pid Process Token: SeDebugPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe - Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 94 PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 94 PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 94
Processes
-
C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1324 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe" "ae2f12850ad6d196ddd1c81d5efaaf37.exe" ENABLE2⤵
- Modifies Windows Firewall
PID:4152
-