Windows 7 deprecation

Windows 7 will be removed from tria.ge on 2025-03-31

Analysis

  • max time kernel
    146s
  • max time network
    149s
  • platform
    windows11-21h2_x64
  • resource
    win11-20240508-en
  • resource tags

    arch:x64arch:x86image:win11-20240508-enlocale:en-usos:windows11-21h2-x64system
  • submitted
    08/06/2024, 21:36

General

  • Target

    21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe

  • Size

    506KB

  • MD5

    de2aa457446864f4fafecdfe5be208ec

  • SHA1

    7dcf49a2069875f2c46a4ee2f39e9cee8d4164d8

  • SHA256

    21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c

  • SHA512

    48751283c7c44509feff6fb797e3499d6fa3dbef137bad01890a49071f0efc399a1225a3411d78449746dee0460bed33ec5d48174f2f0ef5c9ae6eba36d9db9b

  • SSDEEP

    6144:3b7Ls3OkmJBHDTkc4dd7/B6WjbyUk+WXoEcAS:3I3OFJBHDTkpdd//bXGor

Score
10/10

Malware Config

Extracted

Family

amadey

Version

4.19

Botnet

8fc809

C2

http://nudump.com

http://otyt.ru

http://selltix.org

Attributes
  • install_dir

    b739b37d80

  • install_file

    Dctooux.exe

  • strings_key

    65bac8d4c26069c29f1fd276f7af33f3

  • url_paths

    /forum/index.php

    /forum2/index.php

    /forum3/index.php

rc4.plain

Signatures

  • Amadey

    Amadey bot is a simple trojan bot primarily used for collecting reconnaissance information.

  • Executes dropped EXE 3 IoCs
  • Drops file in Windows directory 1 IoCs
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Program crash 34 IoCs
  • Suspicious use of FindShellTrayWindow 1 IoCs
  • Suspicious use of WriteProcessMemory 3 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe
    "C:\Users\Admin\AppData\Local\Temp\21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe"
    1⤵
    • Drops file in Windows directory
    • Suspicious use of FindShellTrayWindow
    • Suspicious use of WriteProcessMemory
    PID:4792
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 792
      2⤵
      • Program crash
      PID:5032
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 840
      2⤵
      • Program crash
      PID:4496
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 824
      2⤵
      • Program crash
      PID:2352
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 884
      2⤵
      • Program crash
      PID:2796
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 924
      2⤵
      • Program crash
      PID:464
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 964
      2⤵
      • Program crash
      PID:4168
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 884
      2⤵
      • Program crash
      PID:5036
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 884
      2⤵
      • Program crash
      PID:2640
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 1132
      2⤵
      • Program crash
      PID:3296
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 1524
      2⤵
      • Program crash
      PID:4544
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 816
      2⤵
      • Program crash
      PID:1332
    • C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe
      "C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe"
      2⤵
      • Executes dropped EXE
      PID:4840
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 588
        3⤵
        • Program crash
        PID:2268
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 628
        3⤵
        • Program crash
        PID:3700
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 596
        3⤵
        • Program crash
        PID:3488
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 624
        3⤵
        • Program crash
        PID:4488
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 596
        3⤵
        • Program crash
        PID:3912
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 748
        3⤵
        • Program crash
        PID:4136
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 876
        3⤵
        • Program crash
        PID:2128
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 936
        3⤵
        • Program crash
        PID:2400
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 956
        3⤵
        • Program crash
        PID:3280
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 956
        3⤵
        • Program crash
        PID:4876
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 992
        3⤵
        • Program crash
        PID:2016
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1044
        3⤵
        • Program crash
        PID:4680
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1204
        3⤵
        • Program crash
        PID:4736
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1452
        3⤵
        • Program crash
        PID:3648
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1432
        3⤵
        • Program crash
        PID:4996
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1492
        3⤵
        • Program crash
        PID:3568
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1512
        3⤵
        • Program crash
        PID:1292
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 1692
        3⤵
        • Program crash
        PID:1400
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 904
        3⤵
        • Program crash
        PID:3000
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 900
      2⤵
      • Program crash
      PID:1412
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 1524
      2⤵
      • Program crash
      PID:2396
  • C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 4792 -ip 4792
    1⤵
      PID:816
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 356 -p 4792 -ip 4792
      1⤵
        PID:4060
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4792 -ip 4792
        1⤵
          PID:3568
        • C:\Windows\SysWOW64\WerFault.exe
          C:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4792 -ip 4792
          1⤵
            PID:4004
          • C:\Windows\SysWOW64\WerFault.exe
            C:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4792 -ip 4792
            1⤵
              PID:1516
            • C:\Windows\SysWOW64\WerFault.exe
              C:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 4792 -ip 4792
              1⤵
                PID:3696
              • C:\Windows\SysWOW64\WerFault.exe
                C:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 4792 -ip 4792
                1⤵
                  PID:4688
                • C:\Windows\SysWOW64\WerFault.exe
                  C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 4792 -ip 4792
                  1⤵
                    PID:3436
                  • C:\Windows\SysWOW64\WerFault.exe
                    C:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4792 -ip 4792
                    1⤵
                      PID:4600
                    • C:\Windows\SysWOW64\WerFault.exe
                      C:\Windows\SysWOW64\WerFault.exe -pss -s 520 -p 4792 -ip 4792
                      1⤵
                        PID:2636
                      • C:\Windows\SysWOW64\WerFault.exe
                        C:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4792 -ip 4792
                        1⤵
                          PID:3556
                        • C:\Windows\SysWOW64\WerFault.exe
                          C:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4792 -ip 4792
                          1⤵
                            PID:1452
                          • C:\Windows\SysWOW64\WerFault.exe
                            C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 4792 -ip 4792
                            1⤵
                              PID:1144
                            • C:\Windows\SysWOW64\WerFault.exe
                              C:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 4840 -ip 4840
                              1⤵
                                PID:4216
                              • C:\Windows\SysWOW64\WerFault.exe
                                C:\Windows\SysWOW64\WerFault.exe -pss -s 464 -p 4840 -ip 4840
                                1⤵
                                  PID:3268
                                • C:\Windows\SysWOW64\WerFault.exe
                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4840 -ip 4840
                                  1⤵
                                    PID:2152
                                  • C:\Windows\SysWOW64\WerFault.exe
                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4840 -ip 4840
                                    1⤵
                                      PID:4564
                                    • C:\Windows\SysWOW64\WerFault.exe
                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 4840 -ip 4840
                                      1⤵
                                        PID:2260
                                      • C:\Windows\SysWOW64\WerFault.exe
                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4840 -ip 4840
                                        1⤵
                                          PID:5016
                                        • C:\Windows\SysWOW64\WerFault.exe
                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4840 -ip 4840
                                          1⤵
                                            PID:5000
                                          • C:\Windows\SysWOW64\WerFault.exe
                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 356 -p 4840 -ip 4840
                                            1⤵
                                              PID:4032
                                            • C:\Windows\SysWOW64\WerFault.exe
                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 448 -p 4840 -ip 4840
                                              1⤵
                                                PID:4620
                                              • C:\Windows\SysWOW64\WerFault.exe
                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4840 -ip 4840
                                                1⤵
                                                  PID:2044
                                                • C:\Windows\SysWOW64\WerFault.exe
                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4840 -ip 4840
                                                  1⤵
                                                    PID:1992
                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 4840 -ip 4840
                                                    1⤵
                                                      PID:2908
                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 560 -p 4840 -ip 4840
                                                      1⤵
                                                        PID:4504
                                                      • C:\Windows\SysWOW64\WerFault.exe
                                                        C:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4840 -ip 4840
                                                        1⤵
                                                          PID:2916
                                                        • C:\Windows\SysWOW64\WerFault.exe
                                                          C:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4840 -ip 4840
                                                          1⤵
                                                            PID:5032
                                                          • C:\Windows\SysWOW64\WerFault.exe
                                                            C:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 4840 -ip 4840
                                                            1⤵
                                                              PID:776
                                                            • C:\Windows\SysWOW64\WerFault.exe
                                                              C:\Windows\SysWOW64\WerFault.exe -pss -s 464 -p 4840 -ip 4840
                                                              1⤵
                                                                PID:4248
                                                              • C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe
                                                                C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe
                                                                1⤵
                                                                • Executes dropped EXE
                                                                PID:1532
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -u -p 1532 -s 480
                                                                  2⤵
                                                                  • Program crash
                                                                  PID:2312
                                                              • C:\Windows\SysWOW64\WerFault.exe
                                                                C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 1532 -ip 1532
                                                                1⤵
                                                                  PID:836
                                                                • C:\Windows\SysWOW64\WerFault.exe
                                                                  C:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 4840 -ip 4840
                                                                  1⤵
                                                                    PID:2152
                                                                  • C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe
                                                                    C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe
                                                                    1⤵
                                                                    • Executes dropped EXE
                                                                    PID:2180
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -u -p 2180 -s 472
                                                                      2⤵
                                                                      • Program crash
                                                                      PID:5016
                                                                  • C:\Windows\SysWOW64\WerFault.exe
                                                                    C:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 2180 -ip 2180
                                                                    1⤵
                                                                      PID:1640
                                                                    • C:\Windows\SysWOW64\WerFault.exe
                                                                      C:\Windows\SysWOW64\WerFault.exe -pss -s 380 -p 4840 -ip 4840
                                                                      1⤵
                                                                        PID:2400

                                                                      Network

                                                                      MITRE ATT&CK Enterprise v15

                                                                      Replay Monitor

                                                                      Loading Replay Monitor...

                                                                      Downloads

                                                                      • C:\Users\Admin\AppData\Local\Temp\001105534270

                                                                        Filesize

                                                                        80KB

                                                                        MD5

                                                                        a0e230e71860bdccb2e0cb315fe89aea

                                                                        SHA1

                                                                        db2a4a87d8d822b4f85f659f106c9f4590c49a36

                                                                        SHA256

                                                                        8c5683bdde7778a1d10c5a2274d3eebc7db1f0b345cecae240bd6af15be14c9f

                                                                        SHA512

                                                                        6bf4981b4158df08144c89ea31d496cd37f80401a48a2a0b37c32686ffbc027d55414cf8e22db4a77040971b71312714203aa40ca1cfb1efafdd92a69379ee91

                                                                      • C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe

                                                                        Filesize

                                                                        506KB

                                                                        MD5

                                                                        de2aa457446864f4fafecdfe5be208ec

                                                                        SHA1

                                                                        7dcf49a2069875f2c46a4ee2f39e9cee8d4164d8

                                                                        SHA256

                                                                        21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c

                                                                        SHA512

                                                                        48751283c7c44509feff6fb797e3499d6fa3dbef137bad01890a49071f0efc399a1225a3411d78449746dee0460bed33ec5d48174f2f0ef5c9ae6eba36d9db9b

                                                                      • C:\Users\Admin\AppData\Roaming\2eed656dd58e95\cred64.dll

                                                                        Filesize

                                                                        153B

                                                                        MD5

                                                                        d47b646093dd84d34885a714ce4bd74e

                                                                        SHA1

                                                                        c4df23671b6440e29159093dc52cb8c4aa184597

                                                                        SHA256

                                                                        6807c84bf35d67496e020c1528303b87d4759933c09817e514a7159ac689d352

                                                                        SHA512

                                                                        906fb89d5ec9dc4338f9d5e26fdc9ccc041225157a8f114465449106128d69e9fbc7723b2bcdd56a17c74c29983f7126a1d970b24e3902a3c4e817834f21f338

                                                                      • memory/1532-48-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/2180-75-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4792-18-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4792-20-0x0000000000400000-0x0000000000472000-memory.dmp

                                                                        Filesize

                                                                        456KB

                                                                      • memory/4792-19-0x0000000003530000-0x000000000359F000-memory.dmp

                                                                        Filesize

                                                                        444KB

                                                                      • memory/4792-1-0x0000000001980000-0x0000000001A80000-memory.dmp

                                                                        Filesize

                                                                        1024KB

                                                                      • memory/4792-2-0x0000000003530000-0x000000000359F000-memory.dmp

                                                                        Filesize

                                                                        444KB

                                                                      • memory/4792-3-0x0000000000400000-0x0000000000472000-memory.dmp

                                                                        Filesize

                                                                        456KB

                                                                      • memory/4840-16-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-37-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-29-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-49-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-55-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-66-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-72-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB

                                                                      • memory/4840-17-0x0000000000400000-0x0000000001829000-memory.dmp

                                                                        Filesize

                                                                        20.2MB