Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
146s -
max time network
149s -
platform
windows11-21h2_x64 -
resource
win11-20240508-en -
resource tags
arch:x64arch:x86image:win11-20240508-enlocale:en-usos:windows11-21h2-x64system -
submitted
08/06/2024, 21:36
Static task
static1
Behavioral task
behavioral1
Sample
21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe
Resource
win10v2004-20240426-en
General
-
Target
21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe
-
Size
506KB
-
MD5
de2aa457446864f4fafecdfe5be208ec
-
SHA1
7dcf49a2069875f2c46a4ee2f39e9cee8d4164d8
-
SHA256
21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c
-
SHA512
48751283c7c44509feff6fb797e3499d6fa3dbef137bad01890a49071f0efc399a1225a3411d78449746dee0460bed33ec5d48174f2f0ef5c9ae6eba36d9db9b
-
SSDEEP
6144:3b7Ls3OkmJBHDTkc4dd7/B6WjbyUk+WXoEcAS:3I3OFJBHDTkpdd//bXGor
Malware Config
Extracted
amadey
4.19
8fc809
http://nudump.com
http://otyt.ru
http://selltix.org
-
install_dir
b739b37d80
-
install_file
Dctooux.exe
-
strings_key
65bac8d4c26069c29f1fd276f7af33f3
-
url_paths
/forum/index.php
/forum2/index.php
/forum3/index.php
Signatures
-
Executes dropped EXE 3 IoCs
pid Process 4840 Dctooux.exe 1532 Dctooux.exe 2180 Dctooux.exe -
Drops file in Windows directory 1 IoCs
description ioc Process File created C:\Windows\Tasks\Dctooux.job 21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Program crash 34 IoCs
pid pid_target Process procid_target 5032 4792 WerFault.exe 79 4496 4792 WerFault.exe 79 2352 4792 WerFault.exe 79 2796 4792 WerFault.exe 79 464 4792 WerFault.exe 79 4168 4792 WerFault.exe 79 5036 4792 WerFault.exe 79 2640 4792 WerFault.exe 79 3296 4792 WerFault.exe 79 4544 4792 WerFault.exe 79 1332 4792 WerFault.exe 79 1412 4792 WerFault.exe 79 2396 4792 WerFault.exe 79 2268 4840 WerFault.exe 103 3700 4840 WerFault.exe 103 3488 4840 WerFault.exe 103 4488 4840 WerFault.exe 103 3912 4840 WerFault.exe 103 4136 4840 WerFault.exe 103 2128 4840 WerFault.exe 103 2400 4840 WerFault.exe 103 3280 4840 WerFault.exe 103 4876 4840 WerFault.exe 103 2016 4840 WerFault.exe 103 4680 4840 WerFault.exe 103 4736 4840 WerFault.exe 103 3648 4840 WerFault.exe 103 4996 4840 WerFault.exe 103 3568 4840 WerFault.exe 103 1292 4840 WerFault.exe 103 2312 1532 WerFault.exe 142 1400 4840 WerFault.exe 103 5016 2180 WerFault.exe 147 3000 4840 WerFault.exe 103 -
Suspicious use of FindShellTrayWindow 1 IoCs
pid Process 4792 21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe -
Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 4792 wrote to memory of 4840 4792 21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe 103 PID 4792 wrote to memory of 4840 4792 21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe 103 PID 4792 wrote to memory of 4840 4792 21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe 103
Processes
-
C:\Users\Admin\AppData\Local\Temp\21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe"C:\Users\Admin\AppData\Local\Temp\21118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c.exe"1⤵
- Drops file in Windows directory
- Suspicious use of FindShellTrayWindow
- Suspicious use of WriteProcessMemory
PID:4792 -
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 7922⤵
- Program crash
PID:5032
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 8402⤵
- Program crash
PID:4496
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 8242⤵
- Program crash
PID:2352
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 8842⤵
- Program crash
PID:2796
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 9242⤵
- Program crash
PID:464
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 9642⤵
- Program crash
PID:4168
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 8842⤵
- Program crash
PID:5036
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 8842⤵
- Program crash
PID:2640
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 11322⤵
- Program crash
PID:3296
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 15242⤵
- Program crash
PID:4544
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 8162⤵
- Program crash
PID:1332
-
-
C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe"C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe"2⤵
- Executes dropped EXE
PID:4840 -
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 5883⤵
- Program crash
PID:2268
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 6283⤵
- Program crash
PID:3700
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 5963⤵
- Program crash
PID:3488
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 6243⤵
- Program crash
PID:4488
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 5963⤵
- Program crash
PID:3912
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 7483⤵
- Program crash
PID:4136
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 8763⤵
- Program crash
PID:2128
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 9363⤵
- Program crash
PID:2400
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 9563⤵
- Program crash
PID:3280
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 9563⤵
- Program crash
PID:4876
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 9923⤵
- Program crash
PID:2016
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 10443⤵
- Program crash
PID:4680
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 12043⤵
- Program crash
PID:4736
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 14523⤵
- Program crash
PID:3648
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 14323⤵
- Program crash
PID:4996
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 14923⤵
- Program crash
PID:3568
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 15123⤵
- Program crash
PID:1292
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 16923⤵
- Program crash
PID:1400
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4840 -s 9043⤵
- Program crash
PID:3000
-
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 9002⤵
- Program crash
PID:1412
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 4792 -s 15242⤵
- Program crash
PID:2396
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 4792 -ip 47921⤵PID:816
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 356 -p 4792 -ip 47921⤵PID:4060
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4792 -ip 47921⤵PID:3568
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4792 -ip 47921⤵PID:4004
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4792 -ip 47921⤵PID:1516
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 4792 -ip 47921⤵PID:3696
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 4792 -ip 47921⤵PID:4688
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 4792 -ip 47921⤵PID:3436
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 524 -p 4792 -ip 47921⤵PID:4600
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 520 -p 4792 -ip 47921⤵PID:2636
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4792 -ip 47921⤵PID:3556
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 428 -p 4792 -ip 47921⤵PID:1452
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 4792 -ip 47921⤵PID:1144
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 508 -p 4840 -ip 48401⤵PID:4216
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 464 -p 4840 -ip 48401⤵PID:3268
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 496 -p 4840 -ip 48401⤵PID:2152
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4840 -ip 48401⤵PID:4564
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 504 -p 4840 -ip 48401⤵PID:2260
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 532 -p 4840 -ip 48401⤵PID:5016
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 404 -p 4840 -ip 48401⤵PID:5000
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 356 -p 4840 -ip 48401⤵PID:4032
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 448 -p 4840 -ip 48401⤵PID:4620
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4840 -ip 48401⤵PID:2044
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 556 -p 4840 -ip 48401⤵PID:1992
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 4840 -ip 48401⤵PID:2908
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 560 -p 4840 -ip 48401⤵PID:4504
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 476 -p 4840 -ip 48401⤵PID:2916
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 584 -p 4840 -ip 48401⤵PID:5032
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 552 -p 4840 -ip 48401⤵PID:776
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 464 -p 4840 -ip 48401⤵PID:4248
-
C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exeC:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe1⤵
- Executes dropped EXE
PID:1532 -
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 1532 -s 4802⤵
- Program crash
PID:2312
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 1532 -ip 15321⤵PID:836
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 540 -p 4840 -ip 48401⤵PID:2152
-
C:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exeC:\Users\Admin\AppData\Local\Temp\b739b37d80\Dctooux.exe1⤵
- Executes dropped EXE
PID:2180 -
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 2180 -s 4722⤵
- Program crash
PID:5016
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 512 -p 2180 -ip 21801⤵PID:1640
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 380 -p 4840 -ip 48401⤵PID:2400
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
80KB
MD5a0e230e71860bdccb2e0cb315fe89aea
SHA1db2a4a87d8d822b4f85f659f106c9f4590c49a36
SHA2568c5683bdde7778a1d10c5a2274d3eebc7db1f0b345cecae240bd6af15be14c9f
SHA5126bf4981b4158df08144c89ea31d496cd37f80401a48a2a0b37c32686ffbc027d55414cf8e22db4a77040971b71312714203aa40ca1cfb1efafdd92a69379ee91
-
Filesize
506KB
MD5de2aa457446864f4fafecdfe5be208ec
SHA17dcf49a2069875f2c46a4ee2f39e9cee8d4164d8
SHA25621118d964690bb0c68b3aafcf024565fb92ad4867ccffcf5bd7bedde9e4fba9c
SHA51248751283c7c44509feff6fb797e3499d6fa3dbef137bad01890a49071f0efc399a1225a3411d78449746dee0460bed33ec5d48174f2f0ef5c9ae6eba36d9db9b
-
Filesize
153B
MD5d47b646093dd84d34885a714ce4bd74e
SHA1c4df23671b6440e29159093dc52cb8c4aa184597
SHA2566807c84bf35d67496e020c1528303b87d4759933c09817e514a7159ac689d352
SHA512906fb89d5ec9dc4338f9d5e26fdc9ccc041225157a8f114465449106128d69e9fbc7723b2bcdd56a17c74c29983f7126a1d970b24e3902a3c4e817834f21f338