Analysis
-
max time kernel
150s -
max time network
136s -
platform
windows10-1703_x64 -
resource
win10-20240404-en -
resource tags
arch:x64arch:x86image:win10-20240404-enlocale:en-usos:windows10-1703-x64system -
submitted
10-10-2024 14:56
General
-
Target
hthrt.exe
-
Size
282KB
-
MD5
e0cd062094dc91759786a04652af34c5
-
SHA1
3ae1469aabf670e54487c64001a1c0a56b613495
-
SHA256
bad91a9a05e9464d89c5c3ce08187aa07af31732f34416ef23d46d94bb78ea53
-
SHA512
f833024b28895e7c6f33d92f257094bf93346980bbb25dd77dd30d1f1abd23b799444f6f0fdbafde25203f1efd08f93cd630182ddf22e7ba4db9a603c6a7f4e1
-
SSDEEP
1536:Lw+jjgnAH9XqcnW85SbTCWIa7tMuBtzGulxuJVZ2eY7WHpqiH:Lw+jqS91UbTC2t7leZ2eWNo
Malware Config
Extracted
Family
xenorat
C2
192.168.244.72
Mutex
Blue.cc Temp Woofer
Attributes
-
delay
10
-
install_path
nothingset
-
port
3000
-
startup_name
nothingset
Signatures
-
Detect XenoRat Payload 1 IoCs
resource yara_rule behavioral1/memory/5064-1-0x0000000000900000-0x000000000094C000-memory.dmp family_xenorat -
Drops file in Windows directory 2 IoCs
description ioc Process File created C:\Windows\rescache\_merged\4183903823\2290032291.pri taskmgr.exe File created C:\Windows\rescache\_merged\1601268389\715946058.pri taskmgr.exe -
System Location Discovery: System Language Discovery 1 TTPs 1 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language hthrt.exe -
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_QEMU&Prod_HARDDISK\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 3864 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
description pid Process Token: SeDebugPrivilege 3864 taskmgr.exe Token: SeSystemProfilePrivilege 3864 taskmgr.exe Token: SeCreateGlobalPrivilege 3864 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe 3864 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\hthrt.exe"C:\Users\Admin\AppData\Local\Temp\hthrt.exe"1⤵
- System Location Discovery: System Language Discovery
PID:5064
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /01⤵
- Drops file in Windows directory
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:3864