Analysis
-
max time kernel
155s -
max time network
128s -
platform
windows7_x64 -
resource
win7-20240221-en -
resource tags
arch:x64arch:x86image:win7-20240221-enlocale:en-usos:windows7-x64system -
submitted
05-03-2024 03:18
Static task
static1
2 signatures
Behavioral task
behavioral1
Sample
b3a3b32a8e0e7c29b6d577709175edc9.exe
Resource
win7-20240221-en
windows7-x64
16 signatures
150 seconds
Behavioral task
behavioral2
Sample
b3a3b32a8e0e7c29b6d577709175edc9.exe
Resource
win10v2004-20240226-en
windows10-2004-x64
16 signatures
150 seconds
General
-
Target
b3a3b32a8e0e7c29b6d577709175edc9.exe
-
Size
2.1MB
-
MD5
b3a3b32a8e0e7c29b6d577709175edc9
-
SHA1
b2d75c6193ff3812bf59219d955221fbf56b99c9
-
SHA256
3f309b7c83f77f2833c5d362398b9b61bd0160d2263b6d09e5e39f5e130175e2
-
SHA512
1c9629ffbe02bd2198eb2390c49df1b1372404cde6c1143757352cd80d2f76296b77b85a54bbf9d1a0eca6a721ce1ce2dce23292697515e7910701b3dbaa91d7
-
SSDEEP
49152:Bh+ZkldoPKi2aneOQ5ZY3F89SKsFzVHMG:i2cPKiuOKZ9d8q
Malware Config
Extracted
Family
hawkeye_reborn
Version
10.1.2.2
Credentials
Protocol: smtp- Host:
premium97.web-hosting.com - Port:
26 - Username:
[email protected] - Password:
chucks6000
Mutex
26c65a28-cfcb-4550-a9b1-5f3e2a204d29
Attributes
-
fields
map[_AntiDebugger:false _AntiVirusKiller:false _BotKiller:false _ClipboardLogger:true _Delivery:0 _DisableCommandPrompt:false _DisableRegEdit:false _DisableTaskManager:false _Disablers:false _EmailPassword:chucks6000 _EmailPort:26 _EmailSSL:true _EmailServer:premium97.web-hosting.com _EmailUsername:[email protected] _ExecutionDelay:10 _FTPPort:0 _FTPSFTP:false _FakeMessageIcon:0 _FakeMessageShow:false _FileBinder:false _HideFile:false _HistoryCleaner:false _Install:false _InstallLocation:0 _InstallStartup:false _InstallStartupPersistance:false _KeyStrokeLogger:true _LogInterval:45 _MeltFile:false _Mutex:26c65a28-cfcb-4550-a9b1-5f3e2a204d29 _PasswordStealer:true _ProcessElevation:false _ProcessProtection:false _ScreenshotLogger:false _SystemInfo:false _Version:10.1.2.2 _WebCamLogger:false _WebsiteBlocker:false _WebsiteVisitor:false _WebsiteVisitorVisible:false _ZoneID:false]
-
name
HawkEye Keylogger - RebornX, Version=10.1.2.2, Culture=neutral, PublicKeyToken=null
Signatures
-
HawkEye Reborn
HawkEye Reborn is an enhanced version of the HawkEye malware kit.
-
M00nd3v_Logger
M00nd3v Logger is a .NET stealer/logger targeting passwords from browsers and email clients.
-
resource yara_rule behavioral1/memory/628-2-0x0000000000400000-0x0000000000490000-memory.dmp m00nd3v_logger behavioral1/memory/628-4-0x0000000000400000-0x0000000000490000-memory.dmp m00nd3v_logger behavioral1/memory/628-6-0x0000000000400000-0x0000000000490000-memory.dmp m00nd3v_logger -
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
-
Accesses Microsoft Outlook profiles 1 TTPs 3 IoCs
description ioc Process Key opened \REGISTRY\USER\S-1-5-21-2461186416-2307104501-1787948496-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-2461186416-2307104501-1787948496-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-2461186416-2307104501-1787948496-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe -
Looks up external IP address via web service 1 IoCs
Uses a legitimate IP lookup service to find the infected system's external IP.
flow ioc 2 bot.whatismyipaddress.com -
Suspicious use of SetThreadContext 1 IoCs
description pid Process procid_target PID 1440 set thread context of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 -
Suspicious behavior: EnumeratesProcesses 2 IoCs
pid Process 628 RegAsm.exe 628 RegAsm.exe -
Suspicious behavior: MapViewOfSection 1 IoCs
pid Process 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe -
Suspicious use of AdjustPrivilegeToken 1 IoCs
description pid Process Token: SeDebugPrivilege 628 RegAsm.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
pid Process 628 RegAsm.exe -
Suspicious use of WriteProcessMemory 8 IoCs
description pid Process procid_target PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 PID 1440 wrote to memory of 628 1440 b3a3b32a8e0e7c29b6d577709175edc9.exe 28 -
outlook_office_path 1 IoCs
description ioc Process Key opened \REGISTRY\USER\S-1-5-21-2461186416-2307104501-1787948496-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe -
outlook_win_path 1 IoCs
description ioc Process Key opened \REGISTRY\USER\S-1-5-21-2461186416-2307104501-1787948496-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\b3a3b32a8e0e7c29b6d577709175edc9.exe"C:\Users\Admin\AppData\Local\Temp\b3a3b32a8e0e7c29b6d577709175edc9.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
- Suspicious use of WriteProcessMemory
PID:1440 -
C:\Windows\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe"C:\\\\Windows\\\\Microsoft.NET\\\\Framework\\\\v2.0.50727\\\\RegAsm.exe"2⤵
- Accesses Microsoft Outlook profiles
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
- outlook_office_path
- outlook_win_path
PID:628
-