General

  • Target

    5cc851c0bce31e62a7c293c01117e5d80383b97ce97c040f2c08cfaa29380037

  • Size

    676KB

  • Sample

    240630-3jhbgayglf

  • MD5

    c1ed709a4375516d25889357d0660f00

  • SHA1

    3f16cd69f3772b9aa51ff2b528f95227e7caed6f

  • SHA256

    5cc851c0bce31e62a7c293c01117e5d80383b97ce97c040f2c08cfaa29380037

  • SHA512

    215cc02a53e3d0eff52f511c516fd5d87726926984e84cd18a7b35c3783792a0ee050e736f2c72bc28d42f1975bb6314d9f0f9e28766839db257c7c500c81ac0

  • SSDEEP

    12288:CDWaTyXxfuXcaUl32k9ozkqkArFWt86fS9Cx6XK:CDWDfhai32k9631rFHYS9h

Malware Config

Extracted

Path

C:\Users\Admin\AppData\Local\chrme\chrome.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L���^����������"� 0�������������� ���� ���@�� ��������������������� ���������@�������������������������������O����� �p�������������������� � ���|���������������������������������������������� ������������� ��H�����������.text������ �������������������� ��`.rsrc���p���� �������������������@��@.reloc�� ����� ������ �������������@��B�����������������������H�����pP���]�����:�������<�����������������������������������������{�� *{�� *V(�� }�� }�� *��0�;�����u�� ,/(�� {�� {�� o�� ,( �� {�� {�� o!�� **� ut� )UU�Z(�� {�� o"�� X )UU�Z( �� {�� o#�� X*0�X�����r��p���%{�� ����-&+ ���o$�� �%{�� ���-&+ ���o$�� �(%�� *{&�� *{'�� *V(�� }&�� }'�� *��0�;�����u�� ,/(�� {&�� {&�� o�� ,( �� {'�� {'�� o!�� **� i��u )UU�Z(�� {&�� o"�� X )UU�Z( �� {'�� o#�� X*0�X�����r9��p���%{&�� ����-&+ ���o$�� �%{'�� ���-&+ ���o$�� �(%�� *6((�� (��*R((�� o)�� (��*z,{��, {��o�� (*�� *2s+�� }��*�0���������� p�����(,�� (,�� � �� ���s-�� ���ro��p� ��r���p������r �p���r/�p���%~��(.�� ���~��(.�� ���rc�p���~��(.�� ���~��(/�� - ~��(0�� &���r�p���2���r��p��(1�� r��p(2�� ���*6(3�� (��*z,{��, {��o�� (4�� *�s+�� }��(5��  �� ���s6�� (7�� r/�po8�� *�(3�� (��{��~��o9�� {��o:�� *�~��,*(S��-*���(��s ��(;�� *(V��**z,{��, {��o�� (4�� *���0���������s+�� }��{��s<�� }��(=�� {��o:�� {�����s>�� o?�� "���A"���As@�� (A�� (5��  m�� B��s6�� (7�� sB�� (C�� r;�p(D�� r/�po8�� ���s>�� (E�� (F�� *6(3�� (��*�0�������(W��oG�� +b�(H�� rY�p(I�� (J�� ,%{!��oK�� ���%rg�p�%�oL�� &+#{!��oK�� ���%ri�p�%�oL�� &�(M�� -���� ��o�� �*������ �oz�����z,{ ��, { ��o�� (4�� *�0��������sN�� }!��sO�� }"��sO�� }#��{!��oP�� (=�� {!��oQ�� {!��oR�� �b��%{"���%{#���oS�� {!��oT�� {!��sU�� oV�� {!��rq�poD�� {!�� R�� F��s6�� oW�� {!��oX�� {!�����sY�� oZ�� {"��r��po[�� {"��r��po\�� {"��o]�� {"��2o^�� {#��r��po[�� {#��r��po\�� {#��o]�� {#�� ���o^�� "���@"��PAs@�� (A�� (5��  R�� F��s6�� (7�� (_�� {!��o`�� r��p(D�� (a�� r�po8�� ���s>�� (E�� {!��ob�� (F�� *6(3�� (9��*0���������(c�� (d�� (e�� (g��{*��}o9�� {*��o:�� {)��rg�po8�� {<��~��o8�� {<��of�� {+��og�� {+��($��o8�� {+��of�� {,��of�� {-��of�� {/��of�� {.��o:�� {0��of�� ("��, ���(#��*��0�'�����~��r7�p(.�� (J�� ,*r=�p(h�� *�0�P����� (W��oG�� +"(H�� 3�2rY�p(I�� (i�� X (M�� -��� ��o�� ��&��*��� �/<���������LL�$��0�������~��rC�p(.�� (J�� ,(j�� *sk�� (J���K��%(l�� �om�� (��+oo�� +(p�� oq�� or�� &(s�� -��� ��o�� �~U��%-&~T���k��st�� %�U��(��+(��+ (h�� *����I�$m�����f(w�� %%ox�� ���`oy�� *Roz�� r[�p({�� &*�0�������~�� {)��~'��o|�� r��p(I�� o8�� ~'��X�'��~'��o}�� X.*{*��o:�� {<��of�� {+��of�� {,��of�� {-��of�� {/��of�� {.��o:�� {0��of�� ���$��*��0����� ��(N�� ($��(O��Zi ~��1Y{.��o~�� {,��o�� {,��(��� o��� {,��r��po8�� r4�pr)�p(��� &rY�p(\��(T��+F1"{,��(��� o��� {,��r=�po8�� + {,��(��� o��� {,��r��po8�� �#&{,��r��po8�� {,��(��� o��� ��*������������#��2s��o;�� *���0����� ��~$��1B~$��Y�$��~$��<[ ~$��<] {/���(1�� r �p(1�� (2�� o8�� * ���$��#�������?~%��l(��� i {0��(1�� r�p(I�� o8�� ~%��X�%��(#��*2r?�p(��� &*2r��p(��� &*2r��p(��� &*2rU�p(��� &*z,{(��, {(��o�� (4�� *0�b�� ��s+�� }(��� ��(��� s��� s��� })��{(��s<�� }*��s��� }+��s��� },��s��� }-��{(��s<�� }.��s��� }/��s��� }0��s��� }1��s��� }2��s��� }3��s��� }4��s��� }5��s��� }6��s��� }7��s��� }8��s��� }9��s��� }:��s��� };��s��� }<��s��� }=��s��� }>��s��� }?��s��� }@��s��� }A��s��� }B��{2��oP�� {7��oP�� (=�� {)��o��� {)��(��� o��� {)��r��p"��pAs��� o��� {)��(��� o��� {)�� �� sU�� oV�� {)��r��poD�� {)��s6�� oW�� {)��oX�� {*���'��s>�� o?�� {+��o��� �K��%r��p�o��� {+�� �� ���sU�� oV�� {+��rA�poD�� {+�� ���s6�� oW�� {+��oX�� {+��r��po8�� {+���-��s>�� o��� {,��(��� o��� {,��(��� o��� {,��t K��sU�� oV�� {,��r_�poD�� {,�� ���� s6�� oW�� {,��oX�� {,��r��po8�� {,��o��� {,���(��s>�� o��� {-��(��� o��� {-��(��� o��� {-��, !��sU�� oV�� {-��r��poD�� {-�� ����s6�� oW�� {-��oX�� {-��r��po8�� {-��o��� {-���)��s>�� o��� {.�� ���o9�� {.���*��s>�� o?�� {/��o��� {/��(��� o��� {/��o��� {/��r��p"��$Bs��� o��� {/��(��� o��� {/��, ;��sU�� oV�� {/��r% �poD�� {/�� ����Es6�� oW�� {/��oX�� {/��rC �po8�� {/���+��s>�� o��� {0��o��� {0��(��� o��� {0��rO �p"��@As��� o��� {0��(��� o��� {0��/ ��sU�� oV�� {0��ry �poD�� {0�� ����s6�� oW�� {0��oX�� {0��r� �po8�� {1��o��� �K��%r� �p�%r �p�o��� {1��(��� o��� {1�� �� ����sU�� oV�� {1��o��� {1��r� �poD�� {1��og�� {1�� ��Xs6�� oW�� {1��oX�� {1��r� �po��� o8�� {1���.��s>�� o��� {2��(��� o��� {2��(H��o��� {2�� sU�� oV�� {2��r� �poD�� {2�� �� ����s6�� oW�� {2��o��� {2�� o��� {2��o��� {2���7��s>�� o��� {3��(��� o��� {3�� -��sU�� oV�� {3��r� �poD�� {3�� ����s6�� oW�� {3�� oX�� {4��o��� {4��(��� o��� {4�� ��sU�� oV�� {4��r� �poD�� {4��@ s6�� oW�� {4�� oX�� {4��r �po8�� {5��o��� {5��(��� o��� {5��rO �p"�� As��� o��� {5��(��� o��� {5�� ���sU�� oV�� {5��r$ �poD�� {5��}s6�� oW�� {5��oX�� {5��o��� {5��r: �po8�� {5���,��s��� o��� {6��o��� {6�� 1�� K��sU�� oV�� {6��rb �poD�� {6�� ���� s6�� oW�� {6��oX�� {6��rp �po8�� {7��(��� o��� {7��(B��o��� {7�� ��� ��sU�� oV�� {7��r� �poD�� {7�� ����-s6�� oW�� {7��o��� {7��o��� {7��o��� {8�� 4�� -��sU�� oV�� {8��r� �poD�� {8��og�� {8�� ���s6�� oW�� {8��oX�� {8��r� �po8�� {9��o��� {9��o��� {9��(��� o��� {9��rO �p"��pAs��� o��� {9��(��� o��� {9�� �� H��sU�� oV�� {9��r< �poD�� {9�� ����s6�� oW�� {9��oX�� {9��rJ �po8�� {9���/��s>�� o��� {:��o��� {:��(��� o��� {:��rO �p"��pAs��� o��� {:��(��� o��� {:�� �� ����sU�� oV�� {:��rh �poD�� {:�� ����s6�� oW�� {:�� oX�� {:��rv �po8�� {:��o��� {;��o��� {;��(��� o��� {;��rO �p"��pAs��� o��� {;��(��� o��� {;�� ��sU�� oV�� {;��r� �poD�� {;�� 6��s6�� oW�� {;�� oX�� {;��r� �po8�� {;���0��s>�� o��� {<��o��� {<��r� �p"��\As��� o��� {<��(��� o��� {<�� �� ��sU�� oV�� {<��sB�� o��� {<��r �poD�� {<�� [��s6�� oW�� {<��oX�� {<��r& �po8�� {<��o��� {<���2��s>�� o��� {=��(��� o��� {=��o��� {=��(��� o��� {=�� V�� G��sU�� oV�� {=��rl �poD�� {=��y$s6�� oW�� {=��oX�� {=��r| �po8�� {=��o��� {>��(��� o��� {>�� ��;sU�� oV�� {>��o��� {>��r� �poD�� {>��og�� {>��o��� {>�� �� ����s6�� oW�� {>��oX�� {>��r� �po��� o8�� {>���3��s>�� o��� {?��(��� o��� {?�� "�� d��sU�� oV�� {?��o��� {?��r� �poD�� {?��og�� {?��o��� {?�� �� ����s6�� oW�� {?��oX�� {?��r� �po��� o8�� {@��o��� {@��(��� o��� {@��rO �p"�� As��� o��� {@��(��� o��� {@�� ���sU�� oV�� {@��r� �poD�� {@�� ����s6�� oW�� {@��oX�� {@��o��� {@��r �po8�� {@���5��s��� o��� {A��o��� {A��(��� o��� {A��rO �p"�� As��� o��� {A��(��� o��� {A�� ���sU�� oV�� {A��r>�poD�� {A�� ����s6�� oW�� {A��oX�� {A��o��� {A��rT�po8�� {A���6��s��� o��� {B��o��� {B��(��� o��� {B��rO �p"�� As��� o��� {B��(��� o��� {B�� ���sU�� oV�� {B��r��poD�� {B�� ����s6�� oW�� {B��oX�� {B��o��� {B��r��po8�� {B���4��s��� o��� "���@"��PAs@�� (A�� (5�� (��� o���  j�� ���s6�� (7�� (_�� {B��o`�� (_�� {A��o`�� (_�� {@��o`�� (_�� {?��o`�� (_�� {>��o`�� (_�� {1��o`�� (_�� {9��o`�� (_�� {:��o`�� (_�� {;��o`�� (_�� {=��o`�� (_�� {<��o`�� (_�� {8��o`�� (_�� {+��o`�� (_�� {7��o`�� (_�� {6��o`�� (_�� {5��o`�� (_�� {4��o`�� (_�� {3��o`�� (_�� {2��o`�� (_�� {0��o`�� (_�� {/��o`�� (_�� {-��o`�� (_�� {,��o`�� (_�� {)��o`�� (��� o��� (��� r��po��� t���(���  z�� ���s6�� o��� r��p(D�� (a�� r �po8�� (��� (��� (��� �&��s��� (��� �!��s>�� (E�� {2��ob�� {7��ob�� (F�� (��� *��0�'�������~ ���i.+�(Q��s��&(��� �&��*�������##���(�� *�~C��-r2�p� ��(��� o��� s��� �C��~C��*~D��*�D��*j(<��rf�p~D��o��� t2��*j(<��r��p~D��o��� t2��*j(<��r��p~D��o��� t2��*j(<��r��p~D��o��� t2��*j(<��r��p~D��o��� t2��*j(<��r��p~D��o��� t2��*V(<��r4�p~D��o��� *j(<��r\�p~D��o��� t2��*j(<��rj�p~D��o��� t2��*j(<��rv�p~D��o��� t2��*V(<��r��p~D��o��� *V(<��r��p~D��o��� *~E��*(��� *VsL��(��� t ���E��*���0�x��� ��~F��r��p(I�� s��� o��� (��� r��po��� ,o$�� r��p(��� , o$�� s��� zr��po��� r��po��� r �po��� r�po��+*0�e��� ��~F��r(�p(2�� s��� o��� (��� r��po��� ,o$�� r��p(��� , o$�� s��� zr��po��� rJ�po��+*.rZ�p�F��*���0�M�� ��- (I��(��� &*9����@����r��pr��po��� (��� ,j(J�� ,b sl��(��� (��� o$�� }V��(��� �m��s��� (��+� d(��� X ,d2� ,��(��� -(i�� 3~ ��~��(��� &~��,(��� *~�� ~��,B(,�� ~��(��� (.�� ~��(b��(��� ~��(��� ,*(��� (��� ,*~��(R��,(R��&(��� r��pr��po��� (��� &(��� *�(��� (��� ,*(��� o$�� (0�� &(��� (��� *B(��� ~��(��� *���0�������~ ��-(��� �~��(e��sk�� %~��(��� or�� &%~��(��� or�� &%~��or�� &oG�� +(H�� (/�� ,(��� �&��(M�� -��� ��o�� �(��� (��� r��p(I�� (��� s��� r��p(��� o��� � , o�� �(U��&�(��� �*4����[�l�$���Q�)z���������� �������������0�������(Y��s��� (��� ~X��%-&~W���p��s��� %�X��(��+o�� +o�� rY�p([��o�� -�� ,o�� �~G��(J�� -~H��(��+ ~G��(��� *���:�W� ����0�9�����sk�� ~G��(J�� ,%~G��(���  +�  or�� &X �i2�*���0�s�����~��r(�p(.�� (/�� -(0�� &rR�p(.�� s��� rj�po��� � ,o�� �r��p(.�� s��� r��po��� � ,o�� �*����1� >� �����Z� g� ����0�p�����sk�� (E���K��%(l�� �%r��p�om�� (��+oo�� +(p�� oq�� or�� &(s�� -��� ��o�� �rY�po��� &*���2�"T�����>�sw��%}c��*0�H����s�� }g��(Z��{h��%-&����s��� % }h��~Y��%-&~W���q��s��� %�Y��(��+~Z��%-&~W���r��s��� %�Z��( ��+~[��%-&~W���s��s��� %�[��( ��+~\��%-&~W���t��s��� %�\��( ��+~]��%-&~W���u��s��� %�]��( ��+~^��%-&~W���v��s��� %�^��( ��+o�� +!o�� (]��, ~H�� or�� &�&��o�� -�� ,o�� �*����0���-= ����0�Q�����(W��oG�� + �(H�� (I�� %(^��(i�� �&���(M�� -���� ��o�� �~G��(i�� *��������*���� �-8�����0�������~ ��, ~��o��� -r��po��� , �_s��� r��p(��� o��� ����%�N��(��� o��� (I�� (_��� ,o�� ��& ��(i�� �& �**(���-�8e� ��������qq�����w��$��0�n�����o��� -�bo}�� Yo��� s��� r��p(��� o��� ����%�N��(��� o��� (`��� ,o�� ��&� �(i�� �&��*��(��� �2R� ��������^^�����b�j�$��0�i����� ������� s��� s��� o��� s�� �io� , o� -�� , o�� �,o�� �,o�� �*���(���)�!J� ������9T� ������K^� ����0�i����� ������� s��� s��� o� s�� �io� , o� -�� , o�� �,o�� �,o�� �*���(���)�!J� ������9T� ������K^� ����~~��r"�p(.�� �G��sk�� �H��*0�"�������,3�~��(d��� &(c���(c��*������� ����~��-*(,�� ~��(��� (.�� ���*0�#�����~� rN�po� -*(��� o� *�0�#�����~� rN�po� -*(��� o� *^o� ~K��(f��&*2s � �K��*.sj���T��*( � *^o � o � {V��o � *.so���W��*2o� o� *"s� *Jo� o� o��� *o� *6s� s� *Ro� o� ����j�*o� *z(�� }_��(� o� }a��*��0�����{_�� , ;����*}_��s� }d��{d��{b��o� 8����{d��o� }b��{b��(�  + �{d��o� X �i2��(� o� �� {b��( � �(� o� ��,\}e��}f��+5{e��{f���}`��}_��*}_��{f��X}f��{f��{e���i2�}e��{d��o!� =!���*����L�.z�$��������$��{`��*s"� z�0�<�����{_���3{a��(� o� 3 }_�� +sw�� {c��}b��*(}��*{g��*BSJB������ ���v2.0.50727�����l�����#~������ ��#Strings����,>�����#US��Q�����#GUID����Q��� ��#Blob���������W��? ����3�������������k�������j������"�����/������������������������������������������������ ������ ������� ��C ��� ������3 ��� ��� ��* ��� �� ��J �� ��} ��� ������ ��� ��e � ��� �\��� ��7��j�Vj���#j��j�2cs�y��� j�tj��j�qj�mj�pj�F��<c��y���]j��j��j ����$��A��u � �� >�� ��� ������ �� � � � �� t���e��  �=��$c�� ���c�P������ ����� ����� �*����� � c����A ��c����i� ��� �]����?y���� �f �� �����j�?j�� ���j�<j�1����+j�� ��j �� ���j��j��j� j����!j�~jc����(j�� j������� ����bj�tj�������F ��`�����[ ��G���j�(��� j�# j�����j�5j��j��j�Q j�����j�j� j���� j� j�@j� � �� t �������j��j�3��`��V��a �������M��M ���� ����� ���� ����� ����:�����������������=�������=�����mzM�� ����z=�����_z]������z]������z]� ����e z]�$� ����z=�C�:�����=�C�;�������E�K����A=�F�N���<A=�G�Q����A=�G�V����A=�K�b�������=�N�i���3 ��Y�O�i�!�J��=�T�i�����=�V�l�!�J��=�W�n��r��=�_�w��[���=�g����! ��Y�i�����7��%l���!�Fa�!�be�!�Fa�!�Ue��{�S���S��S�0

Targets

    • Target

      5cc851c0bce31e62a7c293c01117e5d80383b97ce97c040f2c08cfaa29380037

    • Size

      676KB

    • MD5

      c1ed709a4375516d25889357d0660f00

    • SHA1

      3f16cd69f3772b9aa51ff2b528f95227e7caed6f

    • SHA256

      5cc851c0bce31e62a7c293c01117e5d80383b97ce97c040f2c08cfaa29380037

    • SHA512

      215cc02a53e3d0eff52f511c516fd5d87726926984e84cd18a7b35c3783792a0ee050e736f2c72bc28d42f1975bb6314d9f0f9e28766839db257c7c500c81ac0

    • SSDEEP

      12288:CDWaTyXxfuXcaUl32k9ozkqkArFWt86fS9Cx6XK:CDWDfhai32k9631rFHYS9h

    • Jigsaw Ransomware

      Ransomware family first created in 2016. Named based on wallpaper set after infection in the early versions.

    • Renames multiple (721) files with added filename extension

      This suggests ransomware activity of encrypting all the files on the system.

    • Checks computer location settings

      Looks up country code configured in the registry, likely geofence.

    • Executes dropped EXE

    • Adds Run key to start application

MITRE ATT&CK Enterprise v15

Tasks