General

  • Target

    6b2843a576c2cc99cdda72304b3b67c9_JaffaCakes118

  • Size

    137KB

  • Sample

    240523-q8jjlsdd2y

  • MD5

    6b2843a576c2cc99cdda72304b3b67c9

  • SHA1

    d1be9c2e7130ddc7649966a1fc691b9e4f90681b

  • SHA256

    4962712045bc6709a91f746b14ae6473ca1936b1caaa907f0391035f8c139f71

  • SHA512

    9cfd6248401ab04bc67c6695f9d60d9dc050ef93bb8fda321cc0ed808c86e69fca3a36bac69de4f8e3f185c31c9ba3c744c6a646105e8a8306725194934e0365

  • SSDEEP

    3072:gLSypkVCjHgCl1YERTwBl2kZUYxYID6KN4WWEEb:guCc1K1YERTeIkZVxYgT

Malware Config

Extracted

Path

C:\Users\Admin\AppData\Local\Drpbx\drpbx.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L���]����������"� 0���� ������v8�� ���@���@�� ������������������������������@����������������������������$8�O����@�$�������������������`� ����6��������������������������������������������� ������������� ��H�����������.text������ ������������������� ��`.rsrc���$���@������������������@��@.reloc�� ����`�����$�������������@��B����������������X8�����H�����K��tT�����*������h������������������������������������������{�� *{�� *V(�� }�� }�� *��0�;�����u�� ,/(�� {�� {�� o�� ,( �� {�� {�� o!�� **� ut� )UU�Z(�� {�� o"�� X )UU�Z( �� {�� o#�� X*0�X�����r��p���%{�� ����-&+ ���o$�� �%{�� ���-&+ ���o$�� �(%�� *{&�� *{'�� *V(�� }&�� }'�� *��0�;�����u�� ,/(�� {&�� {&�� o�� ,( �� {'�� {'�� o!�� **� i��u )UU�Z(�� {&�� o"�� X )UU�Z( �� {'�� o#�� X*0�X�����r9��p���%{&�� ����-&+ ���o$�� �%{'�� ���-&+ ���o$�� �(%�� *0���������� p�����((�� ((�� � �� ���s)�� ���ro��p(*�� r���p(+�� � ��r���p� �����r���p���r���p���%~��(,�� ���~��(,�� ���r �p���~��(,�� ���~��(-�� - ~��(.�� &���r%�p���d���ru�p��(/�� r��p(+�� ���*�(0�� (��{��~��o1�� {��o2�� *�~��,*(?��-*���(��s��(3�� *(B��**z,{��, {��o�� (4�� *�0���������s5�� }��{��s6�� }��(7�� {��o2�� {�����s8�� o9�� "���@"��PAs:�� (;�� (<��  �� ��s=�� (>�� r��p(?�� r��po@�� ���s8�� (A�� (B�� *6(0�� (��*0�������(C��oC�� +b�(D�� r��p(E�� (F�� ,%{��oG�� ���%r�p�%�oH�� &+#{��oG�� ���%r�p�%�oH�� &�(I�� -���� ��o�� �*������ �oz�����z,{��, {��o�� (4�� *�0��������sJ�� }��sK�� } ��sK�� }!��{��oL�� (7�� {��oM�� {��oN�� �_��%{ ���%{!���oO�� {��oP�� {��sQ�� oR�� {��r�po?�� {�� R�� F��s=�� oS�� {��oT�� {�����sU�� oV�� { ��rO�poW�� { ��r_�poX�� { ��oY�� { ��2oZ�� {!��r{�poW�� {!��r��poX�� {!��oY�� {!�� ���oZ�� "���@"��PAs:�� (;�� (<��  R�� F��s=�� (>�� ([�� {��o\�� r��p(?�� (]�� r��po@�� ���s8�� (A�� {��o^�� (B�� *6(0�� ()��*0���������(_�� (`�� (a�� (S��{(��}o1�� {(��o2�� {'��r�po@�� {)��~��o@�� {)��ob�� {*��oc�� {*��(��o@�� {*��ob�� {+��ob�� {,��ob�� {.��ob�� {-��o2�� {/��ob�� (��, ���(��*��0�'�����~��r��p(,�� (F�� ,*r��p(d�� *�0�P����� (C��oC�� +"(D�� 3�2r��p(E�� (e�� X (I�� -��� ��o�� ��&��*��� �/<���������LL�#��0�������~��r��p(,�� (F�� ,(f�� *sg�� (6���J��%(*�� �oh�� (��+oj�� +(k�� ol�� om�� &(n�� -��� ��o�� �~M��%-&~L���W��so�� %�M��(��+(��+ (d�� *����I�$m�����f(r�� %%os�� ���`ot�� *Rou�� r�p(v�� &*�0�������~�� {'��~%��ow�� r��p(E�� o@�� ~%��X�%��~%��ox�� X.*{(��o2�� {)��ob�� {*��ob�� {+��ob�� {,��ob�� {.��ob�� {-��o2�� {/��ob�� ���"��*��0����� ��(:�� (��(;��Zi ~��1Y{-��oy�� {+��oz�� {+��({�� o|�� {+��r��po@�� r��pr��p(}�� &r��p(H��(@��+F1"{+��(~�� o|�� {+��r��po@�� + {+��(~�� o|�� {+��r3�po@�� �#&{+��r{�po@�� {+��(~�� o|�� ��*������������#��2s��o3�� *���0����� ��~"��1B~"��Y�"��~"��<[ ~"��<] {.���(/�� r��p(/�� (+�� o@�� * ���"��#�������?~#��l(�� i {/��(/�� r��p(E�� o@�� ~#��X�#��(��*2r��p(��� &*z,{&��, {&��o�� (4�� *���0�F�� ��s5�� }&�����(��� s��� s��� }'��{&��s6�� }(��s��� })��s��� }*��s��� }+��s��� },��{&��s6�� }-��s��� }.��s��� }/��s��� }0��s��� }1��s��� }2��s��� }3��s��� }4��s��� }5��s��� }6��s��� }7��s��� }8��s��� }9��s��� }:��{1��oL�� {9��oL�� (7�� {'��o��� {'��(��� o|�� {'��r+�p"��pAs��� o��� {'��(��� o��� {'�� k�� sQ�� oR�� {'��s��� o��� {'��rI�po?�� {'��s=�� oS�� {'��oT�� {(��� ��s8�� o9�� {)��o��� {)��(��� o|�� {)��r+�p"��@As��� o��� {)��(��� o��� {)�� l�� ���sQ�� oR�� {)��s��� o��� {)��rc�po?�� {)�� ���s=�� oS�� {)��oT�� {)��rw�po@�� {*��o��� �J��%r��p�o��� {*�� p�� *��sQ�� oR�� {*��s��� o��� {*��r �po?�� {*�� #��s=�� oS�� {*��oT�� {*��r��po@�� {*���&��s8�� o��� {+��(��� o|�� {+��(��� o��� {+��` ���sQ�� oR�� {+��s��� o��� {+��r+�po?�� {+�� ����"s=�� oS�� {+��oT�� {+��rQ�po@�� {+��o��� {+���!��s8�� o��� {,��(��� o|�� {,��(��� o��� {,��5 i��sQ�� oR�� {,��s��� o��� {,��rm�po?�� {,�� ��s=�� oS�� {,��oT�� {,��r��po@�� {,��o��� {,���"��s8�� o��� {-�� ���o1�� {-���#��s8�� o9�� {.��o��� {.��(��� o|�� {.��o��� {.��r��p"��$Bs��� o��� {.��(��� o��� {.��5 ���sQ�� oR�� {.��s��� o��� {.��r��po?�� {.�� ����Vs=�� oS�� {.��oT�� {.��r�po@�� {.���$��s8�� o��� {/��o��� {/��(��� o|�� {/��r�p"��@As��� o��� {/��(��� o��� {/��A L��sQ�� oR�� {/��s��� o��� {/��rE�po?�� {/�� ����s=�� oS�� {/��oT�� {/��rk�po@�� {0��o��� �J��%r��p�%r��p�o��� {0��(��� o|�� {0�� p��4sQ�� oR�� {0��s��� o��� {0��o��� {0��rr �po?�� {0��oc�� {0�� ��� _��s=�� oS�� {0��oT�� {0��r� �po��� o@�� {0���'��s8�� o��� {1��(��� o|�� {1��(0��o��� {1��(4sQ�� oR�� {1��s��� o��� {1��r� �po?�� {1�� -�� ��s=�� oS�� {1��o��� {1�� o��� {1��o��� {2��o��� {2��(��� o|�� {2��r�p"��pAs��� o��� {2��(��� o��� {2�� |��CsQ�� oR�� {2��s��� o��� {2��r� �po?�� {2�� ���s=�� oS�� {2�� oT�� {2��r� �po@�� {3��o��� {3��(��� o|�� {3��r�p"��pAs��� o��� {3��(��� o��� {3�� u�� ����sQ�� oR�� {3��s��� o��� {3��r �po?�� {3�� (��s=�� oS�� {3�� oT�� {3��r �po@�� {4��( ���sQ�� oR�� {4��s��� o��� {4��rB �po?�� {4�� ,��s=�� oS�� {4�� oT�� {5��o��� {5��(��� o��� {5��$ y��sQ�� oR�� {5��s��� o��� {5��rT �po?�� {5��Ss=�� oS�� {5�� oT�� {5��rb �po@�� {6��o��� {6��(��� o��� {6��r�p"��@As��� o��� {6��(��� o��� {6��[ %��sQ�� oR�� {6��s��� o��� {6��rz �po?�� {6�� ����s=�� oS�� {6��oT�� {6��o��� {6��r� �po@�� {6���%��s��� o��� {7��o��� {7��! J��sQ�� oR�� {7��s��� o��� {7��r� �po?�� {7�� ��s=�� oS�� {7��oT�� {7��r� �po@�� {8��o��� {8��(��� o|�� {8��r�p"��pAs��� o��� {8��(��� o��� {8�� u�� i��sQ�� oR�� {8��s��� o��� {8��r �po?�� {8�� ]��s=�� oS�� {8��oT�� {8��r& �po@�� {9��(��� o|�� {9��(1��o��� {9�� ��� ���sQ�� oR�� {9��s��� o��� {9��r^ �po?�� {9�� ����7s=�� oS�� {9��o��� {9��o��� {9��o��� {:�� p�� ���sQ�� oR�� {:��s��� o��� {:��rv �po?�� {:��oc�� {:�� #��s=�� oS�� {:��oT�� {:��r��po@�� "���A"���As:�� (;�� (<�� (��� o|��  `�� ���s=�� (>�� ([�� {:��o\�� ([�� {*��o\�� ([�� {9��o\�� ([�� {8��o\�� ([�� {7��o\�� ([�� {6��o\�� ([�� {5��o\�� ([�� {4��o\�� ([�� {3��o\�� ([�� {2��o\�� ([�� {1��o\�� ([�� {0��o\�� ([�� {/��o\�� ([�� {.��o\�� ([�� {,��o\�� ([�� {+��o\�� ([�� {)��o\�� ([�� {'��o\�� (��� o��� (��� r� �po��� t��(��� s��� (��� r� �p(?�� (]�� ���s��� (��� ���s8�� (A�� {1��o^�� {9��o^�� (B�� (��� *��0�'�������~ ���i.+�(=��s��&(��� �&��*�������##���(�� *�~;��-r� �p� ��(��� o��� s��� �;��~;��*~<��*�<��*j(,��r� �p~<��o��� t1��*j(,��r �p~<��o��� t1��*j(,��r8 �p~<��o��� t1��*j(,��rJ �p~<��o��� t1��*V(,��rZ �p~<��o��� *j(,��r� �p~<��o��� t1��*V(,��r� �p~<��o��� *V(,��r� �p~<��o��� *~=��*(��� *Vs8��(��� t ���=��*���0�x��� ��~>��r� �p(E�� s��� o��� (��� r� �po��� ,o$�� r� �p(��� , o$�� s��� zr� �po��� r �po��� r �po��� r* �po��+*0�e��� ��~>��r6 �p(+�� s��� o��� (��� r� �po��� ,o$�� r� �p(��� , o$�� s��� zr� �po��� rX �po��+*.rh �p�>��*���0�M�� ��- (5��(��� &*9����@����r� �pr� �po��� (��� ,j(F�� ,b sX��(��� (��� o$�� }N��(��� �Y��s��� (��+� d(��� X ,d2� ,��(��� -(e�� 3~ ��~ ��(��� &~��,(��� *~�� ~��,B((�� ~��(��� (,�� ~��(N��(��� ~��(��� ,*(��� (��� ,*~��(>��,(>��&(��� r� �pr� �po��� (��� &(��� *�(��� (��� ,*(��� o$�� (.�� &(��� (��� *B(��� ~��(��� *���0�������~ ��-(��� �~��(Q��sg�� %~��(��� om�� &%~��(��� om�� &%~��om�� &oC�� +(D�� (-�� ,(��� �&��(I�� -��� ��o�� �(��� (��� r� �p(E�� (��� s��� r� �p(��� o��� � , o�� �(A��&�(��� �*4����[�l�#���Q�)z���������� �������������0�������(E��s��� (��� ~P��%-&~O���\��s��� %�P��(��+o�� +o�� r��p(G��o�� -�� ,o�� �~?��(F�� -~@��(��+ ~?��(��� *���:�W� ����0�9�����sg�� ~?��(F�� ,%~?��(���  +�  om�� &X �i2�*���0�s�����~��r6�p(,�� (-�� -(.�� &r`�p(,�� s��� rx�po��� � ,o�� �r��p(,�� s��� r��po��� � ,o�� �*����1� >� �����Z� g� ����0�p�����sg�� (3���J��%(*�� �%r� �p�oh�� (��+oj�� +(k�� ol�� om�� &(n�� -��� ��o�� �r��po��� &*���2�"T�����>�sc��%}[��*0�H����sk�� }_��(F��{`��%-&�l��s��� % }`��~Q��%-&~O���]��s��� %�Q��(��+~R��%-&~O���^��s��� %�R��( ��+~S��%-&~O���_��s��� %�S��( ��+~T��%-&~O���`��s��� %�T��( ��+~U��%-&~O���a��s��� %�U��( ��+~V��%-&~O���b��s��� %�V��( ��+o�� +!o�� (I��, ~@�� om�� &�&��o�� -�� ,o�� �*����0���-= ����0�Q�����(C��oC�� + �(D�� (E�� %(J��(e�� �&���(I�� -���� ��o�� �~?��(e�� *��������*���� �-8�����0�������~ ��, ~��o��� -r��po��� , �_s��� r��p(��� o��� ����%�F��(��� o��� (E�� (K��� ,o�� ��& ��(e�� �& �**(���-�8e� ��������qq�����w��#��0�n�����o��� -�box�� Yo��� s��� r��p(��� o��� ����%�F��(��� o��� (L��� ,o�� ��&� �(e�� �&��*��(��� �2R� ��������^^�����b�j�#��0�i����� ������� s��� s��� o��� s��� �io��� , o��� -�� , o�� �,o�� �,o�� �*���(���)�!J� ������9T� ������K^� ����0�i����� ������� s��� s��� o��� s��� �io��� , o��� -�� , o�� �,o�� �,o�� �*���(���)�!J� ������9T� ������K^� ����~~��r0�p(,�� �?��sg�� �@��*0�"�������,3�~��(P��� &(O���(O��*������� ����~��-*((�� ~��(��� (,�� ���*0�#�����~��� r\�po��� -*(��� o��� *�0�#�����~��� r\�po��� -*(��� o��� *^o��� ~C��(R��&*2s��� �C��*.sV���L��*(��� *^o��� o��� {N��o�� *.s[���O��*2o� o� *"s� *Jo� o� o��� *o� *6s� s� *Ro� o � ����j�*o � *z(�� }W��( � o � }Y��*��0�����{W�� , ;����*}W��s � }\��{\��{Z��o� 8����{\��o� }Z��{Z��(�  + �{\��o� X �i2��(� o� �� {Z��(� �(� o� ��,\}]��}^��+5{]��{^���}X��}W��*}W��{^��X}^��{^��{]���i2�}]��{\��o� =!���*����L�.z�#��������#��{X��*s� z�0�<�����{W���3{Y��( � o � 3 }W�� +sc�� {[��}Z��*(i��*{_��*BSJB������ ���v2.0.50727�����l������#~�����p��#Strings����\9�����#US�I�����#GUID���$I��P ��#Blob���������W��? ����3�������������c���l���U�����������/������������������������������������������������ �����q ������� !� !�� ������ ��� ��m ��� ��� ��� �� ��� �P ��[ !��U�� ��� ��8 ���U��U �t{��� ��{�<U ��{ ��{�#�o���� �,{ ��{ �o{ ��{ �D{ ��{��U�-������ �n{ �{ ��{�����U�BU�H U�v �� ���A����%o �� ��� ��� ���U��U��p�?�����p��������\��!p�,���p�U��p�+U�>���������[�4 U���/ U��U��U3����kp�0p� p�kU �{��� �{�rU�jo �{ �@{�� o ��p �={�� � ��{ � { ��{ �{��o �b{ �{S�� �i{ �� {��U� I���I�� �9{ �v{�#o �� U�9 U�aU��o �No �Io �� { ��{�*o �� { �${��o ��{ �7{ �7{ �){ � {�$o �J{ ��{����� �����+� ��{ �{�� ���U�<U�4 U�!��U�NU�Np�y��2p����Z[��U�����p��U�{U����������������=��������=������� �=�� �����U�������U�����X�U�"����9�=�;�*����H�=�;�+�������=�7����R=�>�:���� R=�?�=���"R=�?�B����R=�C�N�������=�F�U���& ��Q�G�U�!����=�L�U�����=�N�X�!����=�O�Z�����=�W�c��[���=�_�k��� ��Q�a�m������!d�m�!�Ga�!�ce�!�Ga�!�Ve�S���S��S�q�S�)�S��IS������� ��������� ��� ��� ��� ��� ��5��%���������I��������I�}�� ��}��!�������I��IQ�� ���I�}�����������f�����<�������� ��R��F�����?�������4��q��������,�����u � �X�1�Z�1�F Q�)�Q���1�zQ�_Q�T3�IV�� �V� �V���V�� �6���9�"�'�6��-��1���<�qK��Y�5g�xw���� I����I�u��p��������!I�  �p���IV���V�Z�P ������8��X ������T�` ������L�x ������K��� ������0E�� ������# ���X!������8��`!������T�h!������L��!������K���!������0E��!������# ���`"������"�e#���������#����������#�������" ��#������;� ��#������� � ��#�������� ��$������� ��$������]� ��#������d��H%������� ��h%���������>'��������L'������O��0(���������d(������U���(������G����)�����j?��)������P ���)����������*������6���+���������+����������#��������I,�������� ��#��������"��#��������$�V,������� �&�x,��������'��;��������'�<�������(�<�������(�D<�����] �(�K<�����i �(�S<�����S

Targets

    • Target

      6b2843a576c2cc99cdda72304b3b67c9_JaffaCakes118

    • Size

      137KB

    • MD5

      6b2843a576c2cc99cdda72304b3b67c9

    • SHA1

      d1be9c2e7130ddc7649966a1fc691b9e4f90681b

    • SHA256

      4962712045bc6709a91f746b14ae6473ca1936b1caaa907f0391035f8c139f71

    • SHA512

      9cfd6248401ab04bc67c6695f9d60d9dc050ef93bb8fda321cc0ed808c86e69fca3a36bac69de4f8e3f185c31c9ba3c744c6a646105e8a8306725194934e0365

    • SSDEEP

      3072:gLSypkVCjHgCl1YERTwBl2kZUYxYID6KN4WWEEb:guCc1K1YERTeIkZVxYgT

    • Jigsaw Ransomware

      Ransomware family first created in 2016. Named based on wallpaper set after infection in the early versions.

    • Renames multiple (2013) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • Checks computer location settings

      Looks up country code configured in the registry, likely geofence.

    • Executes dropped EXE

    • Reads user/profile data of web browsers

      Infostealers often target stored browser data, which can include saved credentials etc.

    • Adds Run key to start application

MITRE ATT&CK Enterprise v15

Tasks