Analysis
- max time kernel
150s - max time network
149s - platform
windows10-2004_x64 - resource
win10v2004-20240508-en - resource tags
arch:x64arch:x86image:win10v2004-20240508-enlocale:en-usos:windows10-2004-x64system - submitted
03/06/2024, 11:02
Static task
static1
1 signatures
Behavioral task
behavioral1
Sample
винлок.exe
Resource
win7-20240508-en
windows7-x64
4 signatures
150 seconds
Behavioral task
behavioral2
Sample
винлок.exe
Resource
win10v2004-20240508-en
windows10-2004-x64
7 signatures
150 seconds
General
- Target винлок.exe
- Size 436KB
- Sample240603-m5mkbade68
- SHA256 d167d7de10c0a15976d2877b5ce0bae62f1c9825e07880c58a1a3e01d2126144
- MD5 a9d32c2ea6c4957e4bfef9fb0dabd8d8
- SHA1 5dac99e3da8846602382c57a3fc24ccc4613ea20
- SHA512 b88f6707dda39ea2c509e6ae050339c054648fa0dd5d5385b53bb75f7f3a3feacdf69f580796701d7cc45e779456da4205f466352779ab0a0616581c7615b31e
- SSDEEP 12288:7MSU4joci8M6PW1GVFeFd60DFUyheBYM:ASUCpM2W1GvgmyeBv
- MD5 SHA1 SHA512 SSDEEP
Score
10/10
Malware Config
Signatures
- Modifies WinLogon for persistence 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-2804150937-2146708401-419095071-1000\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = "C:\\Users\\Admin\\AppData\\Local\\Temp\\??????.exe" винлок.exe - Modifies Installed Components in the registry 2 TTPs 1 IoCs
description ioc Process Key created \REGISTRY\USER\S-1-5-21-2804150937-2146708401-419095071-1000\Software\Microsoft\Active Setup\Installed Components explorer.exe - Adds Run key to start application 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-2804150937-2146708401-419095071-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\userini = "C:\\Users\\Admin\\AppData\\Local\\Temp\\??????.exe" винлок.exe - Modifies registry class 1 IoCs
description ioc Process Key created \REGISTRY\MACHINE\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppModel\Deployment\Package\*\S-1-5-21-2804150937-2146708401-419095071-1000\{C61D3833-1AC6-4410-8559-7D2E99AB267B} explorer.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe - Suspicious use of AdjustPrivilegeToken 4 IoCs
description pid Process Token: SeShutdownPrivilege 3952 explorer.exe Token: SeCreatePagefilePrivilege 3952 explorer.exe Token: SeShutdownPrivilege 3952 explorer.exe Token: SeCreatePagefilePrivilege 3952 explorer.exe - Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe 4692 винлок.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\винлок.exe"C:\Users\Admin\AppData\Local\Temp\винлок.exe"1⤵
- Modifies WinLogon for persistence
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of FindShellTrayWindow
PID:4692
-
C:\Windows\explorer.exeexplorer.exe1⤵
- Modifies Installed Components in the registry
- Modifies registry class
- Suspicious use of AdjustPrivilegeToken
PID:3952