Analysis
-
max time kernel
149s -
max time network
151s -
platform
windows10-2004_x64 -
resource
win10v2004-20240611-en -
resource tags
arch:x64arch:x86image:win10v2004-20240611-enlocale:en-usos:windows10-2004-x64system -
submitted
04-07-2024 11:38
Static task
static1
Behavioral task
behavioral1
Sample
fechas de pago.scr.exe
Resource
win7-20240611-en
General
-
Target
fechas de pago.scr.exe
-
Size
240KB
-
MD5
bcc06a7faf92224142143e13eaf78cf1
-
SHA1
0be4983558b5b48bf0b1a1ec129cb380939c84ae
-
SHA256
5fda36bec5b1d5ec526e5b044a6b30b7afa1d0d5465ffa7c470efc9358ebc4b5
-
SHA512
a21632fa3146aa05a837030c282d1868626b6e4d9e719d0bd7e3ba9c30bc46a72f4757d0c0154324b0ea4bf28c69dc3af89b43cb0df342db798de96a94f29cd4
-
SSDEEP
6144:0FUE1lHRWN6YrbNgNU7Rg1pbisKZZ6DzR7OYbyjI:0PWN60NIU78pbnKZZ6DzR7OYbl
Malware Config
Extracted
xenorat
91.92.248.167
Dolid_rat_nd8859g
-
delay
60000
-
install_path
appdata
-
port
1280
-
startup_name
dms
Signatures
-
Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.
description ioc Process Key value queried \REGISTRY\USER\S-1-5-21-2447855248-390457009-3660902674-1000\Control Panel\International\Geo\Nation fechas de pago.scr.exe -
Executes dropped EXE 4 IoCs
pid Process 1276 fechas de pago.scr.exe 4428 fechas de pago.scr.exe 2640 fechas de pago.scr.exe 3332 fechas de pago.scr.exe -
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
-
Suspicious use of SetThreadContext 6 IoCs
description pid Process procid_target PID 2480 set thread context of 4560 2480 fechas de pago.scr.exe 83 PID 2480 set thread context of 1236 2480 fechas de pago.scr.exe 84 PID 2480 set thread context of 660 2480 fechas de pago.scr.exe 85 PID 1276 set thread context of 4428 1276 fechas de pago.scr.exe 91 PID 1276 set thread context of 2640 1276 fechas de pago.scr.exe 92 PID 1276 set thread context of 3332 1276 fechas de pago.scr.exe 93 -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Program crash 1 IoCs
pid pid_target Process procid_target 3224 660 WerFault.exe 85 -
Scheduled Task/Job: Scheduled Task 1 TTPs 1 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
pid Process 2100 schtasks.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe 1236 fechas de pago.scr.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
description pid Process Token: SeDebugPrivilege 2480 fechas de pago.scr.exe Token: SeDebugPrivilege 1276 fechas de pago.scr.exe Token: SeDebugPrivilege 1236 fechas de pago.scr.exe -
Suspicious use of WriteProcessMemory 54 IoCs
description pid Process procid_target PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 4560 2480 fechas de pago.scr.exe 83 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 1236 2480 fechas de pago.scr.exe 84 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 2480 wrote to memory of 660 2480 fechas de pago.scr.exe 85 PID 4560 wrote to memory of 1276 4560 fechas de pago.scr.exe 87 PID 4560 wrote to memory of 1276 4560 fechas de pago.scr.exe 87 PID 4560 wrote to memory of 1276 4560 fechas de pago.scr.exe 87 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 4428 1276 fechas de pago.scr.exe 91 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 2640 1276 fechas de pago.scr.exe 92 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1276 wrote to memory of 3332 1276 fechas de pago.scr.exe 93 PID 1236 wrote to memory of 2100 1236 fechas de pago.scr.exe 105 PID 1236 wrote to memory of 2100 1236 fechas de pago.scr.exe 105 PID 1236 wrote to memory of 2100 1236 fechas de pago.scr.exe 105
Processes
-
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2480 -
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"2⤵
- Checks computer location settings
- Suspicious use of WriteProcessMemory
PID:4560 -
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"3⤵
- Executes dropped EXE
- Suspicious use of SetThreadContext
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1276 -
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"4⤵
- Executes dropped EXE
PID:4428
-
-
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"4⤵
- Executes dropped EXE
PID:2640
-
-
C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"C:\Users\Admin\AppData\Roaming\XenoManager\fechas de pago.scr.exe"4⤵
- Executes dropped EXE
PID:3332
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1236 -
C:\Windows\SysWOW64\schtasks.exe"schtasks.exe" /Create /TN "dms" /XML "C:\Users\Admin\AppData\Local\Temp\tmp2630.tmp" /F3⤵
- Scheduled Task/Job: Scheduled Task
PID:2100
-
-
-
C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"C:\Users\Admin\AppData\Local\Temp\fechas de pago.scr.exe"2⤵PID:660
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 660 -s 803⤵
- Program crash
PID:3224
-
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 660 -ip 6601⤵PID:5080
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
522B
MD58334a471a4b492ece225b471b8ad2fc8
SHA11cb24640f32d23e8f7800bd0511b7b9c3011d992
SHA2565612afe347d8549cc95a0c710602bcc7d7b224361b613c0a6ba362092300c169
SHA51256ae2e83355c331b00d782797f5664c2f373eac240e811aab978732503ae05eb20b08730d2427ed90efa5a706d71b42b57153596a45a6b5592e3dd9128b81c36
-
Filesize
1KB
MD515353a3bb0a5c558a81376bcdfdc6ad6
SHA136156e5bd828094aacba26b60214420192009f01
SHA25666d9195ec358a9736be2517f55b02206baa72c2d08512474f474773bbef6ef3a
SHA512331585e484b39553b5bb51745db450f46b1b75c04610eb50d1824a3a25c29c1c235212b52b1772205ce5c80643a77ef78eba3c3999cf2828c3645862e06cabb4
-
Filesize
240KB
MD5bcc06a7faf92224142143e13eaf78cf1
SHA10be4983558b5b48bf0b1a1ec129cb380939c84ae
SHA2565fda36bec5b1d5ec526e5b044a6b30b7afa1d0d5465ffa7c470efc9358ebc4b5
SHA512a21632fa3146aa05a837030c282d1868626b6e4d9e719d0bd7e3ba9c30bc46a72f4757d0c0154324b0ea4bf28c69dc3af89b43cb0df342db798de96a94f29cd4