Analysis
-
max time kernel
149s -
max time network
144s -
platform
windows7_x64 -
resource
win7-20240508-en -
resource tags
arch:x64arch:x86image:win7-20240508-enlocale:en-usos:windows7-x64system -
submitted
25/05/2024, 22:36
Static task
static1
Behavioral task
behavioral1
Sample
2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe
Resource
win7-20240508-en
Behavioral task
behavioral2
Sample
2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe
Resource
win10v2004-20240508-en
General
-
Target
2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe
-
Size
260KB
-
MD5
2c14a3a6536396c74da88adc5a0b5510
-
SHA1
3e1ed76d1c87e82be436bd0d7937f10f736f26f8
-
SHA256
209f663bf3a0860ca4bc2b5e6b565053f8e0235405cfa8f365aced9cdad656fa
-
SHA512
c1eb3b2d71bbdceaff2327a6aef50ecde07548cf1d5c8c334f268d9139c4023f86ef2cf086229f34117401315e263d1d83aa214fbf7be456d03d9fa5d0788086
-
SSDEEP
3072:ogfAlNg/vh25n/kZoSUjMqXnpWAkpAmTSrMaIOYt/jo7LAtPhjjtZnfHFEoWBfGs:odVgTSrMaIl/jcLijfHFEHWzXvjT85R
Malware Config
Signatures
-
Modifies visiblity of hidden/system files in Explorer 2 TTPs 1 IoCs
description ioc Process Set value (int) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0" voefool.exe -
Executes dropped EXE 1 IoCs
pid Process 1716 voefool.exe -
Loads dropped DLL 2 IoCs
pid Process 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe -
Adds Run key to start application 2 TTPs 51 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /z" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /M" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /J" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /i" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /x" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /K" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /B" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /Z" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /a" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /L" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /C" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /n" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /k" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /Y" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /r" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /U" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /F" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /m" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /l" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /t" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /G" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /w" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /H" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /j" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /u" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /b" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /Q" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /h" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /N" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /f" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /o" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /V" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /v" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /A" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /c" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /d" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /y" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /O" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /T" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /R" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /W" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /p" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /g" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /e" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /P" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /S" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /E" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /X" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /I" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /s" voefool.exe Set value (str) \REGISTRY\USER\S-1-5-21-3691908287-3775019229-3534252667-1000\Software\Microsoft\Windows\CurrentVersion\Run\voefool = "C:\\Users\\Admin\\voefool.exe /q" voefool.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe 1716 voefool.exe -
Suspicious use of SetWindowsHookEx 2 IoCs
pid Process 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe 1716 voefool.exe -
Suspicious use of WriteProcessMemory 4 IoCs
description pid Process procid_target PID 2248 wrote to memory of 1716 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe 28 PID 2248 wrote to memory of 1716 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe 28 PID 2248 wrote to memory of 1716 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe 28 PID 2248 wrote to memory of 1716 2248 2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe 28
Processes
-
C:\Users\Admin\AppData\Local\Temp\2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe"C:\Users\Admin\AppData\Local\Temp\2c14a3a6536396c74da88adc5a0b5510_NeikiAnalytics.exe"1⤵
- Loads dropped DLL
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2248 -
C:\Users\Admin\voefool.exe"C:\Users\Admin\voefool.exe"2⤵
- Modifies visiblity of hidden/system files in Explorer
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:1716
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
260KB
MD513cf3193440ffa48a54cb97fcf4fda22
SHA1fdc072aa2422c762e11c2f1a900d8950b0cd6713
SHA2562dc6c7ede1c605b6cd2ce485a8ca526058dd9f24f1c8099958862af67f7ce1c6
SHA512006d25569d623bc49084b5033d59c4f44e6e8f4ed60934c9d710e67f30690afe7edddcf1f8eb28e43c5123de096fe510f6c8ee2a39cc51733940e45fee5d313b