Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
76s -
max time network
18s -
platform
windows7_x64 -
resource
win7-20231215-en -
resource tags
arch:x64arch:x86image:win7-20231215-enlocale:en-usos:windows7-x64system -
submitted
01/02/2024, 02:11
Behavioral task
behavioral1
Sample
radmin.exe
Resource
win7-20231215-en
windows7-x64
8 signatures
150 seconds
General
-
Target
radmin.exe
-
Size
232KB
-
MD5
6b23b65c77bba099dde4dc05b1c13edf
-
SHA1
a741b264e94873f3ce18cec6aefc3250aa87b7ac
-
SHA256
a6c26b7a10e97636547172d24d97605eb3115d7df32fcc824501d3b483bd03f5
-
SHA512
179debf3b2e43cbc059d597ea3db8583d21f2fd44920329e04b452071bac6fcb513fe77bb2c1554e7f6508dcb3c4e1e0773f2e756d824cd1fbead5ac90b9759d
-
SSDEEP
6144:aloZMmrIkd8g+EtXHkv/iD4saBTbhS6FuAxDeebdTb8e1mJi:koZ1L+EP8saBTbhS6FuAxDeebtT
Malware Config
Signatures
-
Detect Umbral payload 1 IoCs
resource yara_rule behavioral1/memory/616-0-0x0000000000810000-0x0000000000850000-memory.dmp family_umbral -
Suspicious behavior: EnumeratesProcesses 56 IoCs
pid Process 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 2808 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 42 IoCs
description pid Process Token: SeDebugPrivilege 616 radmin.exe Token: SeIncreaseQuotaPrivilege 2320 wmic.exe Token: SeSecurityPrivilege 2320 wmic.exe Token: SeTakeOwnershipPrivilege 2320 wmic.exe Token: SeLoadDriverPrivilege 2320 wmic.exe Token: SeSystemProfilePrivilege 2320 wmic.exe Token: SeSystemtimePrivilege 2320 wmic.exe Token: SeProfSingleProcessPrivilege 2320 wmic.exe Token: SeIncBasePriorityPrivilege 2320 wmic.exe Token: SeCreatePagefilePrivilege 2320 wmic.exe Token: SeBackupPrivilege 2320 wmic.exe Token: SeRestorePrivilege 2320 wmic.exe Token: SeShutdownPrivilege 2320 wmic.exe Token: SeDebugPrivilege 2320 wmic.exe Token: SeSystemEnvironmentPrivilege 2320 wmic.exe Token: SeRemoteShutdownPrivilege 2320 wmic.exe Token: SeUndockPrivilege 2320 wmic.exe Token: SeManageVolumePrivilege 2320 wmic.exe Token: 33 2320 wmic.exe Token: 34 2320 wmic.exe Token: 35 2320 wmic.exe Token: SeIncreaseQuotaPrivilege 2320 wmic.exe Token: SeSecurityPrivilege 2320 wmic.exe Token: SeTakeOwnershipPrivilege 2320 wmic.exe Token: SeLoadDriverPrivilege 2320 wmic.exe Token: SeSystemProfilePrivilege 2320 wmic.exe Token: SeSystemtimePrivilege 2320 wmic.exe Token: SeProfSingleProcessPrivilege 2320 wmic.exe Token: SeIncBasePriorityPrivilege 2320 wmic.exe Token: SeCreatePagefilePrivilege 2320 wmic.exe Token: SeBackupPrivilege 2320 wmic.exe Token: SeRestorePrivilege 2320 wmic.exe Token: SeShutdownPrivilege 2320 wmic.exe Token: SeDebugPrivilege 2320 wmic.exe Token: SeSystemEnvironmentPrivilege 2320 wmic.exe Token: SeRemoteShutdownPrivilege 2320 wmic.exe Token: SeUndockPrivilege 2320 wmic.exe Token: SeManageVolumePrivilege 2320 wmic.exe Token: 33 2320 wmic.exe Token: 34 2320 wmic.exe Token: 35 2320 wmic.exe Token: SeDebugPrivilege 2808 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe 2808 taskmgr.exe -
Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 616 wrote to memory of 2320 616 radmin.exe 28 PID 616 wrote to memory of 2320 616 radmin.exe 28 PID 616 wrote to memory of 2320 616 radmin.exe 28
Processes
-
C:\Users\Admin\AppData\Local\Temp\radmin.exe"C:\Users\Admin\AppData\Local\Temp\radmin.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:616 -
C:\Windows\System32\Wbem\wmic.exe"wmic.exe" csproduct get uuid2⤵
- Suspicious use of AdjustPrivilegeToken
PID:2320
-
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:2808