Analysis
-
max time kernel
76s -
max time network
80s -
platform
windows10-1703_x64 -
resource
win10-20240404-en -
resource tags
arch:x64arch:x86image:win10-20240404-enlocale:en-usos:windows10-1703-x64system -
submitted
19/07/2024, 21:15
Behavioral task
behavioral1
Sample
Microsoft OneDrive.vmp.exe
Resource
win10-20240404-en
windows10-1703-x64
7 signatures
150 seconds
General
-
Target
Microsoft OneDrive.vmp.exe
-
Size
7.4MB
-
MD5
8f6813495b806aa91a61074ff87e6132
-
SHA1
182225d2c9c182ad53151f5fcee7ecb27d829f14
-
SHA256
eefebb284cff768b96faea9a004357d4be7dce2bdd8e9ece55b51950e9097f89
-
SHA512
47f89df762b8164448c59be05f5cfce0422db12ef97bf9ae791898f62b4c07fb22def39d28cf1e3f32cbcd26bc20c00ee7c2f223bb75ee3c0796f9c483b61728
-
SSDEEP
196608:S81/OtieLAfO+D4+pSLhZdHXxvXMrnGKQsAaK/2xidCG8:SbCPxWZXvyab20dCG8
Score
5/10
Malware Config
Signatures
-
Suspicious use of NtSetInformationThreadHideFromDebugger 1 IoCs
pid Process 5116 Microsoft OneDrive.vmp.exe -
Drops file in Windows directory 2 IoCs
description ioc Process File created C:\Windows\rescache\_merged\4183903823\2290032291.pri taskmgr.exe File created C:\Windows\rescache\_merged\1601268389\715946058.pri taskmgr.exe -
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 5116 Microsoft OneDrive.vmp.exe 5116 Microsoft OneDrive.vmp.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
description pid Process Token: SeDebugPrivilege 4384 taskmgr.exe Token: SeSystemProfilePrivilege 4384 taskmgr.exe Token: SeCreateGlobalPrivilege 4384 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe 4384 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Microsoft OneDrive.vmp.exe"C:\Users\Admin\AppData\Local\Temp\Microsoft OneDrive.vmp.exe"1⤵
- Suspicious use of NtSetInformationThreadHideFromDebugger
- Suspicious behavior: EnumeratesProcesses
PID:5116
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Drops file in Windows directory
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:4384