General

  • Target

    https://github.com/Zummyy/discord-token-grabber

  • Sample

    240210-xp378shd73

Malware Config

Extracted

Path

C:\Users\Admin\Downloads\Unconfirmed 253589.crdownload

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L�v�%�����������"� 0������������� �� ��� ���@�� ��������������������`���������`����������������������������q �O���� ���������������������@� ���� �8�������������������������������������������� ������������� ��H�����������.text�������� ��������������������� ��`.rsrc������� ��������������������@��@.reloc�� ����@��������������������@��B����������������� �����H�����J���B������G���}������������������������������������������0����������(��  +L� �~��o�� � ,0�~��r��p(�� o���~��o�� �~��(�����X �i2��(�� +��(����X�i2����~��o�� o������*�������������0����������(��  +P� �(�� ,<�~��r��p(�� o���o�� ~��o�� Yo�� ~��(�����X �i2��(�� +��(����X�i2����~��o�� o������*�������������0�K������~��o�� ,5�o�� ~��o�� Y~��o�� o�� ~��(�� , +� +�*�0������� �C�� s��  +�o�� �� X   �  -�o�� �~��(�� s�� ( �� o!�� s"��  ���o#�� � ����o$�� �o%�� �  P���s&�� o'�� [o(�� o)�� �o*�� [o(�� o+�� �o,�� ��io-�� �o.�� s/�� s��  ����C���+� o-�� ���io0�� % �  -�o1�� ��� �~�� o�� o�������;�~��r5��p(�� o���~��X���o1�� �o1�� �(2�� ���*������7.�����QH;����0�x�����( �� o!��  �C�� s�� �io0�� &s"�� ���o#�� � ����o$�� � P���s&��   o'�� [o(�� o)�� �  o*�� [o(�� o+�� � o%�� � o,�� � o3�� s/�� s��  ����C���+�o-�� ���io0�� %�  -���: �~��rI��p o�� (�� o����� �~�� o�� o��������o1�� �~��r���p(�� o�����" �~��r���p o�� (�� o��������o1�� �o1�� ���*4������/��"������/����"A"���Fe����"(4�� �*����r���ps�����r���p���~+�����s5�� ���*�}��} ��} ��~*��s3��} ��} ��(6�� ��(���*0��������s7�� }��{��#�����@�@o8�� �{�����s9�� o:�� �{��o;�� �{��r�po<�� ��~��o=�� +,�(>�� �{��%o?�� r�pr�p(@�� o<�� ���(A�� -������oB�� ��*����b�9������J�oC�� �oD�� �*�0��������( �� 9�����{��~��o<�� �{��r%�po<�� �{��(E�� oF�� �{��r�po<�� �{��r�po<�� �{��#'*(G�� oH�� �{��rO�po<�� �{��oI�� ��*��0��������{��o?�� ~��(�� ,r�{ ��r��po4���r��pr��p@(J�� &~�����{��r��po<�� �(K�� (L�� �("���(M�� (L�� �r[�pr��p@(J�� &�+�r>�pr��p(J�� &�*0� �����~*��s3�� {��o?�� ~N�� (O�� �rV�po�� 9�����rr�po�� ,$�r��poP�� XoQ�� (O�� ��+-�r��poP�� XoQ�� r��pr��p@(J�� &�(��,-�r��po4���o4���r�pr��p@(J�� &+J�r��po4���r?�pr��p(J�� &��+!�r��po4���r[�pr��p(J�� &�+�*V����sR�� (S�� &*��0�+������, { ���+ ,�{ ��oB�� ��(T�� �*�0���� ������(U�� sV�� sW�� } ��sX�� }��sY�� }��sX�� }��sX�� }��sZ�� }��sZ�� }��sX�� }��s[�� }��sX�� }��sY�� }��sX�� }��s[�� }��sY�� }��sY�� }��sX�� }��sX�� }��sY�� }��sZ�� }��sX�� } ��{��o\�� �{��o\�� �(\�� �{��o]�� �{��r��p"���As^�� o_�� �{��(`�� oF�� �{��sa�� ob�� �{��r �poc�� �{�� C��%sd�� oe�� �{��of�� �{��r$ �po<�� �{��#'*(G�� oH�� �{��og�� �{��rt �p"��As^�� o_�� �{��(h�� oF�� �{�� ��� ����sa�� ob�� �{��oi�� �{��r� �poc�� �{��oj�� �{��ok�� �{�� r�� !��sd�� oe�� �{��of�� �{��ol�� �{��r� �pom�� o<�� �{��o]�� �{��rt �p"��dAs^�� o_�� �{��(n�� oF�� �{�� )��`sa�� ob�� �{��r� �poc�� �{��-sd�� oe�� �{��of�� �{��r� �po<�� �{��o]�� �{��rt �p"��dAs^�� o_�� �{��(n�� oF�� �{��`sa�� ob�� �{��r� �poc�� �{�� ����sd�� oe�� �{��of�� �{��r� �po<�� �{��#'*(G�� oH�� �{��(o�� oF�� �{���sa�� ob�� �{��r� �poc�� �{�� '�� sd�� oe�� �{��of�� �{��#'*(G�� oH�� �{��op�� {��oq�� �{��(o�� oF�� �{��Wsa�� ob�� �{��r �poc�� �{�� e��Csd�� oe�� �{��of�� �{��o]�� �{��rt �p"���As^�� o_�� �{��(n�� oF�� �{��T ���sa�� ob�� �{��r �poc�� �{�� ���� sd�� oe�� �{�� of�� �{��r" �po<�� �{��(r�� oH�� �{��os�� �{�� �� ���sa�� ob�� �{��r\ �poc�� �{��Ksd�� oe�� �{�� of�� �{��rl �po<�� �{��ot�� �{��� ��su�� ov�� �{��o]�� �{��rt �p"���As^�� o_�� �{��(n�� oF�� �{��T ��sa�� ob�� �{��r| �poc�� �{��z sd�� oe�� �{�� of�� �{��r� �po<�� �{��#'*(G�� oH�� �{��og�� �{��(w�� oF�� �{��G !��sa�� ob�� �{��r� �poc�� �{��oj�� �{�� ����sd�� oe�� �{�� of�� �{��ol�� �{��o]�� �{��rt �p"�� As^�� o_�� �{��(n�� oF�� �{�� &�� ���sa�� ob�� �{��r� �poc�� �{��Tsd�� oe�� �{�� of�� �{��r� �po<�� �{��(r�� oH�� �{��os�� �{�� ��� ��sa�� ob�� �{��r� �poc�� �{��Ksd�� oe�� �{��of�� �{��r� �po<�� �{��ot�� �{��� ��su�� ov�� �{��#'*(G�� oH�� �{��og�� �{��(w�� oF�� �{��1 ���sa�� ob�� �{��r �poc�� �{�� ����sd�� oe�� �{��of�� �{��ol�� �{��r �po<�� �{��#'*(G�� oH�� �{��og�� �{��(w�� oF�� �{�� ��� ��sa�� ob�� �{��rB �poc�� �{�� ����sd�� oe�� �{��of�� �{��ol�� �{��rT �po<�� �{��o]�� �{��rt �p"���As^�� o_�� �{��(n�� oF�� �{�� ��� ���sa�� ob�� �{��r� �poc�� �{�� ���� sd�� oe�� �{��of�� �{��r� �po<�� �{��o]�� �{��rt �p"�� As^�� o_�� �{��(n�� oF�� �{�� ���� I��sa�� ob�� �{��r� �poc�� �{�� sd�� oe�� �{��of�� �{��r �po<�� �{��#'*(G�� oH�� �{��og�� �{��rt �p"ff�@s^�� o_�� �{��(h�� oF�� �{��# l��sa�� ob�� �{��oi�� �{��r �poc�� �{��oj�� �{��ok�� �{�� [��;sd�� oe�� �{��of�� �{��ol�� �{��(x�� oH�� �{��op�� { ��oq�� �{��# ����sa�� ob�� �{��r �poc�� �{�� [�� ����sd�� oe�� �{��of�� �{ ��o]�� �{ ��r��p"��HBs^�� o_�� �{ ��(y�� oF�� �{ ��/sa�� ob�� �{ ��r* �poc�� �{ �� %��Lsd�� oe�� �{ ��of�� �{ ��r: �po<�� �"���@"��PAsz�� ({�� �(|�� �,/3(G�� oH�� � �� X��sd�� (}�� �(~�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(p�� {��oq�� �(�� oF�� �(��� �rL �p(c�� �(��� �rL �po<�� �� ��su�� (��� �{��o��� �{��o��� �{��o��� �{��o��� �(��� �(��� �*���0����� ���{ ��� ,R�;} ��{ ��� ,)�;} ��{��� ,�{��Y}����+�{ ��Y} ����+{ ��Y} ��{ ��-{ ��- {���+ ,��{ ��rX �p|��(��� 0o��� | ��(��� 0o��� | ��(��� 0o��� (��� o<�� �*0����� ���(��� (��� ~!��rp �p(�� o�� �~!��r� �p(�� o�� �~!��r� �p(�� o�� �~!��r� �p(�� o�� �~!��r� �p(�� o�� �~!��r6 �p(�� o�� �~!��r� �p(�� o�� �*0�W�� ���(���s5�� �~!��o=�� 8��(>�� �(��� 9�����r� �p(�� s��� �r�po��� 8������o��� o���  � r�p(��� o���  + o��� t*��  o��� o�� � o��� -�� u+��  , oB�� ��� r\�p(��� o���  + o��� t*��o��� o�� � o��� -�� u+��  , oB�� ���X�i?2�����(A�� :��������oB�� ��+�*�AL���������)���������������������)������������������'��@���������"(4�� �*.s5�� �!��*�(4�� ��(��� }"��rz�p}#��}$��}%��*���0�a�� ���{%��� ,e�{"��{#��(�� (��� �r��p(��� r��p(��� (��� (�� o��� �r��po��� ��� ,oB�� ���8����{%���,?�r��p(��� r��p(��� (��� (�� (��� �r��p(��� ��8�����{"��{#��(�� (��� �r��p(��� r��p(��� (��� (�� o��� �r��po��� ��� ,oB�� ��r��p(��� r��p(��� (��� (�� (��� �r��p(��� ��*������&�<b� �������@ ����0�%������{$��r���p(�� ,�r���p(����*���0�J������{$��r���p(�� ,�r��p(����+#{$��r��p(�� ,�r��p(����*��0�%������{$��r��p(��� ,�r��p(����*>�r��p(���*���0�`������s��� �r��prL�p(��� ~&��o���o��� o��� o��� ����� ,���� ,oB�� ��*����KR� ����"(4�� �*Fr���ps���&��*�0�P������(&�� ,�s��(��� ��+6�(%���(#���( ���(!���('��� p��(��� �s��(��� ��*0������~,��r��po���(�� r�p �o=�� +(>�� �r��p(��� �(A�� -�����oB�� ��(O�� �(+�� (*�� (,��~*��s3�� �B��%r��p�%o��� �%r.�p�%o��� �%r<�p�% �%rL�p�%�%rh�p�(��� o4���rp�p~+��rh�p(��� o4���r��prh�p(��� o4���*����&�&L�����0��������~-��r��po4���~7��%-&~6���<��s��� %�7��s��� ~8��%-&~6���=��s��� %�8��s��� ~9��%-&~6���>��s��� %�9��s��� o��� �o��� �o��� �o��� �o��� �o��� �~-��r��p~��o��� �q��(��� o4���(0���*���0��������~:��%-&~6���?��s��� %�:��s��� ~;��%-&~6���@��s��� %�;��s��� ~<��%-&~6���A��s��� %�<��s��� o��� �o��� �o��� �o��� �o��� �o��� �*�0���������(��� o��� r��p(�� (��� (�� (O�� �~��� r��po��� �r��pr��pr��p(��� o��� ��� ,oB�� ���� �~,�� o�� o������*���;� [� �������hi���0�M������r�pr��p�~��(��� � ,/�~��� r��po��� �r��po��� ��� ,oB�� ���*������/�@� ����0�Z�������(��� o��� r��p(�� (��� (��� (��� (�� (��� �(��� (O�� ��� �~,��o�� o������*�������BC���0�#������r�pr��p(��� � ,� + +�*�0�;������(��� r��p(�� (O�� �s��� �~+��o��� ��� ,oB�� ��*�����/� ����"(4�� �*���0�W�������(��� �'��(��� �(��'(��� �)��r��p�*��r��p�+��r���ps���,��~*��s3���-��*�0�c������~N�� �r��psB�� �r��poD�� ���% �o��� � �� ,oB�� ���� �~.�� o�� o������+�*�����$7� �������>E���0�3������s5�� r��p(��� r�p(��� o�� �o�� � +� *�0�d������~N�� �s��� �r%�po��� o��� o��� o��� o��� �� ,oB�� �����~.��o�� o������+�*����(6� �������=D���"(4�� �*Fr���ps���.��*�0�F������(��� rQ�p(�� �2��(9��~2��o��� �~/��~2��~0��~1��`(/��&*"(4�� �*R�/���0���1��*B(4�� ��}3��*���0�u������s��� %ro�po��� �%r�pr��po��� �%r��pr��po��� � �s��� �{3��s��� o��� o��� (��� &�� ,oB�� ����&����*������=�$a� ������6�9o���&(4�� ��*��0�9������~4��� ,"�r�p� ��(U�� o��� s��� �4���~4�� +�*���0� ������~5�� +�*"��5��*0�!������(6��rQ�p~5��o��� t>�� +�*.s;���6��*"(4�� �*2~(��(���*2~)��(���*2~'��(���*2~(��(���*2~)��(���*2~'��(���*0�������(4�� ��s��� }=��s��� }?��~N�� }@��s��� o��� �o��� �o��� �o��� �o��� �{=���E��s��� o��� �{=��o��� �{=��o��� &{=��o��� }>��{=��o��� �*��{=��o��� �{=��o��� �{>��o��� �{>��o��� �*��0�A������~N�� }@��{>��o��� �{>��rW�po��� �{?��o��� &{@�� +�*���0�K������o��� ,o��� ri�p(�� + ,{?��o��� &+{@��o��� (��� (��� }@��*�BSJB������ ���v4.0.30319�����l���\��#~��������#Strings�����&��t��#US�<�����#GUID���<�����#Blob���������W� ����3���������� ���@���E���(������������������������������������������������h������������������� �o� �P� ��� ��� ��� ��� ����e��3� � �l� ���`� � � N�� %��N��N�� N�� N � v�� ��� \ �� \ �K v �'v �r v �3 v�8� G���� �v����Y \ �J�� %�> %�s��� ��H� �%�G� ��� ���G�� ����B������7�����v ����R`����s� ����b "�G � �� m �(\ ��\ ��%�@ � �+� ��N��%� q�� N��N��N��N�� %� N��N��%�� � �� v � v�2\ �Xm � v ��v ��v �X v �v �lv��� �� � �� ��� �T� ��m �m ��m ��m ��m ��v ��v� m ��vC� �� ��v ��v�� � ��m �� v ��v ��v �� v�� �� �0 ���� %� %���� �����%��s �r v�� %�����7 � �� � �a� ��m �K� ���`�C`�o� �� ��\ ����x���������������� �A��������e������� �A�!�������A�"������ �A�&������ �A�'������ �A�.�*����� �A�/�/����. �A�3�3����)�A�4�5�!�\��A�6�:���>��A�=�B����� ��g ��o��y��� ������ ��$ ��Y�����I��������������_��~������f������������������m��u�����������������������c��>�������� ��� ��?���������� ����� ���������%��6 ��& ����6����<���v���'�� ���X��� ��"��������C�P ������|���!������m����!���������<"����������#����������%������� ��%������� ��%������� �&������� ��&������Q  ��&������  ��'������ �P(������3;�|)���������)������ ���)���������8������'����9������2 ��h:������E�<��������!<��������-<������!�`<������D���=������� �� >������� ��x>������, ���>������^���>������� ��8?��������A?��������T?������N '��?������� ���@������� ���A������x ��hB������� ��C���������|C���������C�������-�$D������� ��|D���������D���������D������r \�xE������^��E������/\�DF��������MF��������������� S 1�`F������� �"��F�������"��F�������"��F�������"��F������c�#��G�������$��G�����E 9$��G������?$��G������E$��G������ L%�%H�������%�1H�������%�:H������E��%�GH��������%�TH������0�%�aH��������%�nH������b��%�{H�������%��H�������%�;I����� �&�pI������L�&��I������R'����� ���� �������� �������������������> �������> �������> �������> �������> �������c �����������h���"���"���"���"���"�������B���� ���� ���� ���� ���* �������X���� ���[���> ���� ��� �������� �)���1���9���A���I���Q���Y���a���i���q���y���1��������� � �5��;�[@� ��L� �5���R�� V�G Z��f�����!���! ������1���1�������9��9��9��������9�V�I���9/

Targets

    • Target

      https://github.com/Zummyy/discord-token-grabber

    • Nitro

      A ransomware that demands Discord nitro gift codes to decrypt files.

    • Renames multiple (62) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • Downloads MZ/PE file

    • Executes dropped EXE

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Adds Run key to start application

    • Drops desktop.ini file(s)

    • Legitimate hosting services abused for malware hosting/C2

    • Looks up external IP address via web service

      Uses a legitimate IP lookup service to find the infected system's external IP.

    • Sets desktop wallpaper using registry

MITRE ATT&CK Enterprise v15

Tasks