Analysis
-
max time kernel
150s -
max time network
154s -
platform
windows7_x64 -
resource
win7-20240611-en -
resource tags
arch:x64arch:x86image:win7-20240611-enlocale:en-usos:windows7-x64system -
submitted
04-07-2024 11:38
Static task
static1
Behavioral task
behavioral1
Sample
fechas de pago.scr.exe
Resource
win7-20240611-en
General
-
Target
fechas de pago.scr.exe
-
Size
240KB
-
MD5
bcc06a7faf92224142143e13eaf78cf1
-
SHA1
0be4983558b5b48bf0b1a1ec129cb380939c84ae
-
SHA256
5fda36bec5b1d5ec526e5b044a6b30b7afa1d0d5465ffa7c470efc9358ebc4b5
-
SHA512
a21632fa3146aa05a837030c282d1868626b6e4d9e719d0bd7e3ba9c30bc46a72f4757d0c0154324b0ea4bf28c69dc3af89b43cb0df342db798de96a94f29cd4
-
SSDEEP
6144:0FUE1lHRWN6YrbNgNU7Rg1pbisKZZ6DzR7OYbyjI:0PWN60NIU78pbnKZZ6DzR7OYbl
Malware Config
Extracted
xenorat
91.92.248.167
Dolid_rat_nd8859g
-
delay
60000
-
install_path
appdata
-
port
1280
-
startup_name
dms
Signatures
-
Executes dropped EXE 4 IoCs
pid Process 2740 fechas de pago.scr.exe 2920 fechas de pago.scr.exe 2640 fechas de pago.scr.exe 2652 fechas de pago.scr.exe -
Loads dropped DLL 4 IoCs
pid Process 1708 fechas de pago.scr.exe 2740 fechas de pago.scr.exe 2740 fechas de pago.scr.exe 2740 fechas de pago.scr.exe -
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
-
Suspicious use of SetThreadContext 6 IoCs
description pid Process procid_target PID 2444 set thread context of 1708 2444 fechas de pago.scr.exe 28 PID 2444 set thread context of 2672 2444 fechas de pago.scr.exe 29 PID 2444 set thread context of 2060 2444 fechas de pago.scr.exe 30 PID 2740 set thread context of 2920 2740 fechas de pago.scr.exe 32 PID 2740 set thread context of 2640 2740 fechas de pago.scr.exe 33 PID 2740 set thread context of 2652 2740 fechas de pago.scr.exe 34 -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Scheduled Task/Job: Scheduled Task 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
pid Process 1780 schtasks.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe 2652 fechas de pago.scr.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
description pid Process Token: SeDebugPrivilege 2444 fechas de pago.scr.exe Token: SeDebugPrivilege 2740 fechas de pago.scr.exe Token: SeDebugPrivilege 2652 fechas de pago.scr.exe -
Suspicious use of WriteProcessMemory 62 IoCs
description pid Process procid_target PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 1708 2444 fechas de pago.scr.exe 28 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2672 2444 fechas de pago.scr.exe 29 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 2444 wrote to memory of 2060 2444 fechas de pago.scr.exe 30 PID 1708 wrote to memory of 2740 1708 fechas de pago.scr.exe 31 PID 1708 wrote to memory of 2740 1708 fechas de pago.scr.exe 31 PID 1708 wrote to memory of 2740 1708 fechas de pago.scr.exe 31 PID 1708 wrote to memory of 2740 1708 fechas de pago.scr.exe 31 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2920 2740 fechas de pago.scr.exe 32 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2640 2740 fechas de pago.scr.exe 33 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2740 wrote to memory of 2652 2740 fechas de pago.scr.exe 34 PID 2652 wrote to memory of 1780 2652 fechas de pago.scr.exe 37 PID 2652 wrote to memory of 1780 2652 fechas de pago.scr.exe 37 PID 2652 wrote to memory of 1780 2652 fechas de pago.scr.exe 37 PID 2652 wrote to memory of 1780 2652 fechas de pago.scr.exe 37
Processes
-
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2444 -
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"2⤵
- Loads dropped DLL
- Suspicious use of WriteProcessMemory
PID:1708 -
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"3⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious use of SetThreadContext
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2740 -
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"4⤵
- Executes dropped EXE
PID:2920
-
-
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"4⤵
- Executes dropped EXE
PID:2640
-
-
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"4⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2652 -
C:\Windows\SysWOW64\schtasks.exe"schtasks.exe" /Create /TN "dms" /XML "C:\Users\Admin\AppData\Local\Temp\tmp56E6.tmp" /F5⤵
- Scheduled Task/Job: Scheduled Task
PID:1780
-
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"2⤵PID:2672
-
-
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"2⤵PID:2060
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
1KB
MD58c9b557a6488ef9093caaccc60cc4223
SHA131a072f552d65a4d60ee025b8a70d654d3093009
SHA2565a3ceafb68e10422476e8a783acd0b5881e6a21aa7f951841c54ad3cf138c357
SHA512d07dabd8a01eebc2c10e3a82f157c300e5c2307a3aa5af69ddf8c47408a0f8db98e053204b69cace2da3314605de507b4ba54b010bafec6e8cf3c6de48cbb087
-
Filesize
240KB
MD5bcc06a7faf92224142143e13eaf78cf1
SHA10be4983558b5b48bf0b1a1ec129cb380939c84ae
SHA2565fda36bec5b1d5ec526e5b044a6b30b7afa1d0d5465ffa7c470efc9358ebc4b5
SHA512a21632fa3146aa05a837030c282d1868626b6e4d9e719d0bd7e3ba9c30bc46a72f4757d0c0154324b0ea4bf28c69dc3af89b43cb0df342db798de96a94f29cd4