Analysis
-
max time kernel
150s -
max time network
148s -
platform
windows10-2004_x64 -
resource
win10v2004-20231222-en -
resource tags
arch:x64arch:x86image:win10v2004-20231222-enlocale:en-usos:windows10-2004-x64system -
submitted
25-01-2024 17:21
Behavioral task
behavioral1
Sample
ae2f12850ad6d196ddd1c81d5efaaf37.exe
Resource
win7-20231129-en
windows7-x64
6 signatures
150 seconds
General
-
Target
ae2f12850ad6d196ddd1c81d5efaaf37.exe
-
Size
37KB
-
MD5
ae2f12850ad6d196ddd1c81d5efaaf37
-
SHA1
11b2182a8c346b613438705a91fb25abfbccb7a9
-
SHA256
1c728f5cd957271a82b3c2d60b26b04be8ba1dbae86bcb07a2c9be0bfbe85d35
-
SHA512
54a039cce23af76a89c9d4a936da4b1cc0c0fdc2a0aaa24e5d63acbddc942eb5a30dab36a1ac69b1d68b9456b1cdf66f90631d3bb260ec64b5ba47dab9c7cffc
-
SSDEEP
384:sUSvEiTbTvpWNcZ0y8fvCv3v3cLkacparAF+rMRTyN/0L+EcoinblneHQM3epzX3:TS7TZ38fvCv3E1cQrM+rMRa8NuECt
Malware Config
Signatures
-
Modifies Windows Firewall 2 TTPs 1 IoCs
pid Process 4152 netsh.exe -
Legitimate hosting services abused for malware hosting/C2 1 TTPs 4 IoCs
flow ioc 14 0.tcp.eu.ngrok.io 53 0.tcp.eu.ngrok.io 72 0.tcp.eu.ngrok.io 109 0.tcp.eu.ngrok.io -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious use of AdjustPrivilegeToken 37 IoCs
description pid Process Token: SeDebugPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: 33 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe Token: SeIncBasePriorityPrivilege 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe -
Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 94 PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 94 PID 1324 wrote to memory of 4152 1324 ae2f12850ad6d196ddd1c81d5efaaf37.exe 94
Processes
-
C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe"1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1324 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\ae2f12850ad6d196ddd1c81d5efaaf37.exe" "ae2f12850ad6d196ddd1c81d5efaaf37.exe" ENABLE2⤵
- Modifies Windows Firewall
PID:4152
-