Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Resubmissions
06/07/2024, 06:52
240706-hnee6azbjk 606/07/2024, 06:50
240706-hl8afssarg 606/07/2024, 06:43
240706-hgxm6ayhlq 6Analysis
-
max time kernel
93s -
max time network
79s -
platform
windows10-1703_x64 -
resource
win10-20240404-en -
resource tags
arch:x64arch:x86image:win10-20240404-enlocale:en-usos:windows10-1703-x64system -
submitted
06/07/2024, 06:52
Static task
static1
1 signatures
Behavioral task
behavioral1
Sample
RCCService.exe
Resource
win10-20240404-en
windows10-1703-x64
7 signatures
150 seconds
General
-
Target
RCCService.exe
-
Size
5.2MB
-
MD5
c4641e109dbc33cf7d30ff17548b6dc0
-
SHA1
3c21a30dbc80e8fdceb413a41ceb2612ab134ddc
-
SHA256
28a91c954c66714cda48b2ca4ce52459cdb191755f6825e02b00e430aaef67b9
-
SHA512
b1ce2dc42829c379a0b50bcd69231b26996484cf8184351db023f759a48e952c531b427249cbedeb4a18cd9ffaa6504e8da2752b9f43fefd42028753cd6380ec
-
SSDEEP
98304:oQ9rjjcAka3x9vgdHHSmnFFSaxhsHHF/81eNApeap+/SX/b1/GmOPL:PaAz3x9OjnFFSaxgHedtp+6xQPL
Score
6/10
Malware Config
Signatures
-
Legitimate hosting services abused for malware hosting/C2 1 TTPs 7 IoCs
flow ioc 11 discord.com 12 discord.com 14 discord.com 15 discord.com 3 discord.com 4 discord.com 8 discord.com -
Drops file in Windows directory 2 IoCs
description ioc Process File created C:\Windows\rescache\_merged\1601268389\715946058.pri taskmgr.exe File created C:\Windows\rescache\_merged\4183903823\2290032291.pri taskmgr.exe -
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 4 IoCs
description pid Process Token: SeDebugPrivilege 4672 RCCService.exe Token: SeDebugPrivilege 3472 taskmgr.exe Token: SeSystemProfilePrivilege 3472 taskmgr.exe Token: SeCreateGlobalPrivilege 3472 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe 3472 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\RCCService.exe"C:\Users\Admin\AppData\Local\Temp\RCCService.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
PID:4672
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Drops file in Windows directory
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:3472