Analysis
-
max time kernel
3s -
max time network
16s -
platform
windows10-2004_x64 -
resource
win10v2004-20240412-en -
resource tags
arch:x64arch:x86image:win10v2004-20240412-enlocale:en-usos:windows10-2004-x64system -
submitted
18-04-2024 00:00
Static task
static1
Behavioral task
behavioral1
Sample
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe
Resource
win7-20240221-en
Errors
General
-
Target
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe
-
Size
337KB
-
MD5
e49a91aaf7fbef7201e2644c8c1a6d14
-
SHA1
cc4340d3d58de6e5c55c422e05054ccce05f9a7a
-
SHA256
5fb8ce6325e4a3e62f0b6f64bcd1d0f0e1aee7d077dedf6e8503ab386b69ede0
-
SHA512
39ab0627b45bca4683ec312ff909dd29f6e6e8dc182594ccdc6027466339553879416231a9cc3ca180cd1ba5e6b813e8332375255845f96ae82c5b6d6680c6f8
-
SSDEEP
6144:FgJIzrY/jfA1xp40ImUSTMZM8TYZm+TulGI5nIg10jG:FEsr2oXyj0YYZ/Tu8IN1QG
Malware Config
Extracted
cybergate
v1.02.0
remote
adri14gay.no-ip.biz:81
adri14gay.no-ip.biz:82
5O334LO225PP80
-
enable_keylogger
true
-
enable_message_box
true
-
ftp_directory
./logs/
-
ftp_interval
30
-
injected_process
explorer.exe
-
install_dir
win
-
install_file
winr.exe
-
install_flag
true
-
keylogger_enable_ftp
false
-
message_box_caption
ES UNA BROMITA AINS XDDD DESDE LUEGO.... XD
-
message_box_title
ES BROMITA
-
password
pinomontano60000
-
regkey_hkcu
HKCU
-
regkey_hklm
HKLM
Signatures
-
Adds policy Run key to start application 2 TTPs 4 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exedescription ioc process Key created \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Policies = "c:\\window\\wine\\win\\winr.exe" DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Key created \REGISTRY\USER\S-1-5-21-4084619521-2220719027-1909462854-1000\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Set value (str) \REGISTRY\USER\S-1-5-21-4084619521-2220719027-1909462854-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\Policies = "c:\\window\\wine\\win\\winr.exe" DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Modifies Installed Components in the registry 2 TTPs 2 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exedescription ioc process Set value (str) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Active Setup\Installed Components\{45E3OB5R-SS42-4PU2-LI64-36O3O0KE1125}\StubPath = "c:\\window\\wine\\win\\winr.exe Restart" DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Key created \REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Active Setup\Installed Components\{45E3OB5R-SS42-4PU2-LI64-36O3O0KE1125} DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Processes:
resource yara_rule behavioral2/memory/4920-9-0x0000000024010000-0x000000002406F000-memory.dmp upx behavioral2/memory/4920-69-0x0000000024070000-0x00000000240CF000-memory.dmp upx behavioral2/memory/2304-74-0x0000000024070000-0x00000000240CF000-memory.dmp upx -
Adds Run key to start application 2 TTPs 2 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-4084619521-2220719027-1909462854-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU = "c:\\window\\wine\\win\\winr.exe" DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\HKLM = "c:\\window\\wine\\win\\winr.exe" DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exedescription pid process target process PID 3736 set thread context of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Suspicious behavior: EnumeratesProcesses 2 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exepid process 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Suspicious use of FindShellTrayWindow 1 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exepid process 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Suspicious use of SetWindowsHookEx 1 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exepid process 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe -
Suspicious use of WriteProcessMemory 64 IoCs
Processes:
DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exeDICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exedescription pid process target process PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 3736 wrote to memory of 4920 3736 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE PID 4920 wrote to memory of 3504 4920 DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe Explorer.EXE
Processes
-
C:\Windows\Explorer.EXEC:\Windows\Explorer.EXE1⤵
-
C:\Users\Admin\AppData\Local\Temp\DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe"C:\Users\Admin\AppData\Local\Temp\DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe"2⤵
- Suspicious use of SetThreadContext
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Temp\DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe"C:\Users\Admin\AppData\Local\Temp\DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe"3⤵
- Adds policy Run key to start application
- Modifies Installed Components in the registry
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of FindShellTrayWindow
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\explorer.exeexplorer.exe4⤵
-
C:\Program Files\Internet Explorer\iexplore.exe"C:\Program Files\Internet Explorer\iexplore.exe"4⤵
-
C:\Users\Admin\AppData\Local\Temp\DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe"C:\Users\Admin\AppData\Local\Temp\DICIENDOTE TODO LO QUE NO SOY CAPAZ DE DECIRTE EN PERSONA.exe"4⤵
Network
MITRE ATT&CK Matrix ATT&CK v13
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\XX--XX--XX.txtFilesize
219KB
MD5cb6ae644ce5b1eff417bca563dacbe36
SHA151c1abd2ce23c549d3aa97421196056c523cfdde
SHA256032118a310d32f1d1e463b671bdda203845f34536e1a3a8a334bf485fc79e83e
SHA512960f3543491c7de754506ba86dca3948128ea99ec117834606b5062ee93bb18510c0440870f871059861e988a888921a4045027e044864ee7534a5d5057e52e4
-
\??\c:\window\wine\win\winr.exeFilesize
337KB
MD5e49a91aaf7fbef7201e2644c8c1a6d14
SHA1cc4340d3d58de6e5c55c422e05054ccce05f9a7a
SHA2565fb8ce6325e4a3e62f0b6f64bcd1d0f0e1aee7d077dedf6e8503ab386b69ede0
SHA51239ab0627b45bca4683ec312ff909dd29f6e6e8dc182594ccdc6027466339553879416231a9cc3ca180cd1ba5e6b813e8332375255845f96ae82c5b6d6680c6f8
-
memory/2304-13-0x0000000001020000-0x0000000001021000-memory.dmpFilesize
4KB
-
memory/2304-14-0x00000000010E0000-0x00000000010E1000-memory.dmpFilesize
4KB
-
memory/2304-74-0x0000000024070000-0x00000000240CF000-memory.dmpFilesize
380KB
-
memory/4920-2-0x0000000000400000-0x000000000044B000-memory.dmpFilesize
300KB
-
memory/4920-3-0x0000000000400000-0x000000000044B000-memory.dmpFilesize
300KB
-
memory/4920-4-0x0000000000400000-0x000000000044B000-memory.dmpFilesize
300KB
-
memory/4920-5-0x0000000000400000-0x000000000044B000-memory.dmpFilesize
300KB
-
memory/4920-9-0x0000000024010000-0x000000002406F000-memory.dmpFilesize
380KB
-
memory/4920-69-0x0000000024070000-0x00000000240CF000-memory.dmpFilesize
380KB