Analysis
-
max time kernel
149s -
max time network
150s -
platform
windows7_x64 -
resource
win7-20241010-en -
resource tags
arch:x64arch:x86image:win7-20241010-enlocale:en-usos:windows7-x64system -
submitted
12-10-2024 23:04
Static task
static1
Behavioral task
behavioral1
Sample
Bewerbung-Lena-Kretschmer.exe
Resource
win7-20241010-en
General
-
Target
Bewerbung-Lena-Kretschmer.exe
-
Size
908KB
-
MD5
36ccd442755d482900b57188ae3a89a7
-
SHA1
8cd96603cdd2637cf5469aba8ed2b149c35ef699
-
SHA256
41364427dee49bf544dcff61a6899b3b7e59852435e4107931e294079a42de7c
-
SHA512
0fcfc29a042342ccbf2529ac116e79698314778459d9dad2ca947b3eab2a7dec3d3622ce351b95909f88791c6d57a9943174ee352f13db246c706c9df1f57e9a
-
SSDEEP
24576:jRi7/DwOpfmVEyMrUnla/PJJF3NagKGPHpZkxCcI1rC1yOh:NiXJpfmVEXgnlKj9aMICcorC1yOh
Malware Config
Signatures
-
Deletes shadow copies 3 TTPs
Ransomware often targets backup files to inhibit system recovery.
-
Renames multiple (210) files with added filename extension
This suggests ransomware activity of encrypting all the files on the system.
-
Drops file in Drivers directory 28 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exedescription ioc process File created C:\Windows\SysWOW64\drivers\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\drivers\UMDF\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\UMDF\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\drivers\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe -
Drops startup file 2 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exedescription ioc process File created C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Users\Admin\AppData\Roaming\Microsoft\Word\STARTUP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe -
Reads user/profile data of web browsers 3 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
-
Enumerates connected drives 3 TTPs 23 IoCs
Attempts to read the root path of hard drives other than the default C: drive.
Processes:
Bewerbung-Lena-Kretschmer.exedescription ioc process File opened (read-only) \??\B: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\O: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\W: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\X: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\Q: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\R: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\U: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\Z: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\I: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\J: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\L: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\P: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\T: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\V: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\Y: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\E: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\G: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\H: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\K: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\A: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\M: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\N: Bewerbung-Lena-Kretschmer.exe File opened (read-only) \??\S: Bewerbung-Lena-Kretschmer.exe -
Drops file in System32 directory 64 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exedescription ioc process File created C:\Windows\SysWOW64\ja-JP\Licenses\_Default\HomePremium\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnep00c.inf_amd64_neutral_f0d9ddf52f04765c\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnky007.inf_amd64_neutral_e637699044f367f3\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\es-ES\Licenses\eval\Professional\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\ja\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnrc007.inf_amd64_neutral_2df575afa0f7d35f\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\ja-JP\Licenses\eval\StarterN\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\WindowsPowerShell\v1.0\Modules\BitsTransfer\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WCN\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\config\TxR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnok002.inf_amd64_neutral_616c1e9b7df7d5a9\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\it-IT\Licenses\_Default\ProfessionalN\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\ja-JP\Licenses\_Default\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\sysprep\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\de-DE\Licenses\OEM\HomePremiumN\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\Temp\{522f6bf6-ae20-0f66-d982-a746d010852a}\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\ja-JP\Licenses\_Default\StarterN\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\Setup\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\usb.inf_amd64_neutral_269d7150439b3372\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\wvmbus.inf_amd64_neutral_fca91999602b0343\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\XPSViewer\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WindowsPowerShell\v1.0\Modules\BitsTransfer\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\config\systemprofile\AppData\LocalLow\Microsoft\CryptnetUrlCache\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\pt-PT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\Tasks\Microsoft\Windows\RemoteApp and Desktop Connections Update\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\angel264.inf_amd64_neutral_04b54b6322607cce\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\hr-HR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\mdmbr008.inf_amd64_neutral_2cedaac353c381da\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\netb57va.inf_amd64_neutral_6264e97d4fc12211\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnky304.inf_amd64_ja-jp_1b1a158086a263a4\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\migwiz\replacementmanifests\Microsoft-Windows-TerminalServices-LicenseServer\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\mdmnis2u.inf_amd64_neutral_de46607a02fe2552\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\msclmd.inf_amd64_neutral_413d17c790177eef\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\ja-JP\Licenses\OEM\ProfessionalN\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WindowsPowerShell\v1.0\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\mdmags64.inf_amd64_neutral_e68956e24e287714\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\msports.inf_amd64_neutral_fdcfb86ce78678d1\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnhp003.inf_amd64_neutral_4480210763997eb4\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\migration\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\migwiz\dlmanifests\Microsoft-Windows-TapiSetup\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\tr-TR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\de-DE\Licenses\eval\HomeBasic\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnlx00w.inf_amd64_neutral_d4c93bb2fbf75723\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WindowsPowerShell\v1.0\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\wbem\fr-FR\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\en-US\Licenses\OEM\ProfessionalE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\es-ES\Licenses\_Default\HomePremiumE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\IME\imekr8\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnca00a.inf_amd64_neutral_d64d696193e69d7b\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\it-IT\Licenses\eval\UltimateN\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\oobe\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WindowsPowerShell\v1.0\Modules\BitsTransfer\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\gameport.inf_amd64_neutral_fe5c4f29488f121e\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\wialx002.inf_amd64_neutral_71f4aacee1aa9f06\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\it-IT\Licenses\eval\StarterE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\fr-FR\Licenses\_Default\HomeBasicE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\InstallShield\setupdir\0014\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\wdi\perftrack\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WindowsPowerShell\v1.0\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\SysWOW64\WindowsPowerShell\v1.0\Modules\TroubleshootingPack\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File opened for modification C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\mdmrock3.inf_amd64_neutral_9fdc5d710dd63e80\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\System32\DriverStore\FileRepository\prnky306.inf_amd64_ja-jp_97f0de39317f6837\Amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe -
Suspicious use of SetThreadContext 1 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exedescription pid process target process PID 796 set thread context of 1636 796 Bewerbung-Lena-Kretschmer.exe Bewerbung-Lena-Kretschmer.exe -
Drops file in Program Files directory 64 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exedescription ioc process File created C:\Program Files\Windows Sidebar\Gadgets\Clock.Gadget\fr-FR\css\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\ms\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\te\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\Currency.Gadget\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\MediaCenter.Gadget\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\THEMES14\SLATE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Common Files\Microsoft Shared\VSTO\10.0\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\lib\missioncontrol\plugins\org.eclipse.equinox.launcher.win32.win32.x86_64_1.1.200.v20141007-2033\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\ach\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\VSTO\10.0\1033\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\System\Ole DB\it-IT\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\Web Folders\1033\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\Calendar.Gadget\it-IT\js\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jre7\bin\dtplugin\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\kk\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\plugins\video_filter\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\lib\missioncontrol\features\org.eclipse.ecf.core.ssl.feature_1.0.0.v20140827-1444\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\lib\missioncontrol\plugins\org.eclipse.ui.themes_1.0.1.v20140819-1717\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows NT\TableTextService\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Common Files\Microsoft Shared\ink\fsdefinitions\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\jre\lib\amd64\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\ink\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\DVD Maker\Shared\DvdStyles\Memories\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jre7\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\de\LC_MESSAGES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\SlideShow.Gadget\ja-JP\js\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\CPU.Gadget\de-DE\js\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\Currency.Gadget\en-US\css\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\PicturePuzzle.Gadget\es-ES\css\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\CPU.Gadget\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Media Player\Skins\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\VGX\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Microsoft Games\Solitaire\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\an\LC_MESSAGES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Defender\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Microsoft Games\Multiplayer\Spades\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows NT\Accessories\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Common Files\Microsoft Shared\ink\et-EE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\id\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\PicturePuzzle.Gadget\en-US\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\VBA\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Microsoft Office\Office14\1033\GrooveForms5\FormsStyles\GrayCheck\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\ru\LC_MESSAGES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\RSSFeeds.Gadget\de-DE\js\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Microsoft Visual Studio 8\VSTA\Bin\1033\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Microsoft Games\Hearts\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\mr\LC_MESSAGES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\Currency.Gadget\images\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Microsoft Office\MEDIA\CAGCAT10\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\jre\bin\dtplugin\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\lib\missioncontrol\features\org.eclipse.equinox.p2.rcp.feature_1.2.0.v20140523-0116\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\RSSFeeds.Gadget\ja-JP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\SlideShow.Gadget\de-DE\js\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Internet Explorer\SIGNUP\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Windows Sidebar\Gadgets\RSSFeeds.Gadget\es-ES\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Java\jdk1.7.0_80\lib\visualvm\platform\core\locale\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\lo\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\ta\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\Help\1040\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Microsoft Office\Office14\Groove\ToolData\groove.net\GrooveForms3\FormsStyles\Americana\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\VideoLAN\VLC\locale\sm\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files\Windows Sidebar\Gadgets\PicturePuzzle.Gadget\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Program Files (x86)\Common Files\microsoft shared\THEMES14\EDGE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe -
Drops file in Windows directory 64 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exedescription ioc process File created C:\Windows\winsxs\x86_microsoft-windows-m..-comm-dll.resources_31bf3856ad364e35_6.1.7600.16385_fr-fr_6009136d7657cd10\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\GAC_MSIL\PresentationFramework.Classic\3.0.0.0__31bf3856ad364e35\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-m..ntrol-rll.resources_31bf3856ad364e35_6.1.7600.16385_de-de_b2cb9d2c5d9d2b4a\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-p..topeerdrt.resources_31bf3856ad364e35_6.1.7600.16385_es-es_81aff0275b7ad50e\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-t..languages.resources_31bf3856ad364e35_6.1.7601.17514_da-dk_6ae6a5381ea8bcbd\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-w..etwork-setup-wizard_31bf3856ad364e35_6.1.7600.16385_none_f0d21d0b5e184994\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-g..linetools.resources_31bf3856ad364e35_6.1.7600.16385_de-de_4716f255d1356b34\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-i..l-keyboard-0001040a_31bf3856ad364e35_6.1.7600.16385_none_fb9eb29b62cab6ba\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-taskmgr.resources_31bf3856ad364e35_6.1.7600.16385_it-it_bf7bcd2342ef18a6\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-wininit.resources_31bf3856ad364e35_6.1.7600.16385_de-de_f869ac74355a4089\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-ncdprop.resources_31bf3856ad364e35_6.1.7600.16385_es-es_e304986fb13fdd5f\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_mmcss.resources_31bf3856ad364e35_6.1.7600.16385_fr-fr_ac422d1943ed658d\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\msil_windowsbase.resources_31bf3856ad364e35_6.1.7600.16385_it-it_ed9bac8806f1bb69\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\diagnostics\system\AERO\de-DE\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-help-mail.resources_31bf3856ad364e35_6.1.7600.16385_fr-fr_4c6100dd61ad9bb4\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-i..-nlsbuild.resources_31bf3856ad364e35_6.1.7600.16385_ja-jp_0154449b64f19514\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-i..henticationbinaries_31bf3856ad364e35_6.1.7600.16385_none_c4d1464ab88fbcb4\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-k..container.resources_31bf3856ad364e35_6.1.7600.16385_es-es_10e1f56e4f11e05a\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-ie-antiphishfilter_31bf3856ad364e35_8.0.7600.16385_none_1622b3b244141a27\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-l..homebasic.resources_31bf3856ad364e35_6.1.7601.17514_ja-jp_dfa8ee1b36702ec1\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-w..ccore-api.resources_31bf3856ad364e35_6.1.7600.16385_ja-jp_2f88882b2c833070\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-dsquery.resources_31bf3856ad364e35_6.1.7600.16385_en-us_b303fd2d820a2fbb\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-ehome-ehui_31bf3856ad364e35_6.1.7601.17514_none_2cea21bae0074c77\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-sysdm.resources_31bf3856ad364e35_6.1.7600.16385_ja-jp_64e0a786041ca5ac\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_prnky006.inf.resources_31bf3856ad364e35_6.1.7600.16385_it-it_06af1ecd656544df\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-e..ehprivjob.resources_31bf3856ad364e35_6.1.7600.16385_en-us_f2d8dcb146b08b94\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_netfx35linq-microso..data_entity_targets_31bf3856ad364e35_6.1.7600.16385_none_f3e6c10b5647cbba\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\NativeImages_v4.0.30319_32\System.Ente96d83b35#\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\wow64_microsoft-windows-explorer.resources_31bf3856ad364e35_6.1.7600.16385_es-es_6c077ffac1da853b\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\wow64_microsoft-windows-snmp-mgmt-api_31bf3856ad364e35_6.1.7600.16385_none_51d5fb6b0198fa85\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\GAC_MSIL\cscompmgd\8.0.0.0__b03f5f7f11d50a3a\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-extrac32.resources_31bf3856ad364e35_6.1.7600.16385_es-es_67144e9e0af59827\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-notepad.resources_31bf3856ad364e35_6.1.7600.16385_ja-jp_a8ab11efa5f12597\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-s..gement-ui.resources_31bf3856ad364e35_6.1.7600.16385_it-it_b1a6138fec8fb6f7\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_prnky002.inf_31bf3856ad364e35_6.1.7600.16385_none_3cc36728d422ea26\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-g..in-gpedit.resources_31bf3856ad364e35_6.1.7600.16385_en-us_0504d2ca6babb08b\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\Microsoft.NET\assembly\GAC_MSIL\System.Reflection\v4.0_4.0.0.0__b03f5f7f11d50a3a\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_amdsbs.inf_31bf3856ad364e35_6.1.7600.16385_none_c192282a2ed13c70\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-u..anagement.resources_31bf3856ad364e35_6.1.7601.17514_it-it_f013c42f0b363ca0\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-wlangpui.resources_31bf3856ad364e35_6.1.7600.16385_en-us_75b8a5c3d25e2a01\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft.windows.c..-controls.resources_6595b64144ccf1df_5.82.7600.16385_el-gr_b9fb996b84d6f085\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\NativeImages_v2.0.50727_64\System.Workflow.Act#\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\Microsoft.NET\Framework64\v2.0.50727\ASP.NETWebAdminFiles\Security\Permissions\App_LocalResources\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-scheduleui_31bf3856ad364e35_6.1.7600.16385_none_d0b7a7aa2b6c0a20\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-uianimation.resources_31bf3856ad364e35_7.1.7601.16492_de-de_7dd5704a8e1cca76\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\wow64_microsoft-windows-n..xcorecomp.resources_31bf3856ad364e35_6.1.7601.17514_es-es_6bc8c2f4dd77ad5d\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-comctl32-v5.resources_31bf3856ad364e35_6.1.7600.16385_cs-cz_1f49ce93103c3e39\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\GAC_MSIL\System.Data.Linq.resources\3.5.0.0_ja_b77a5c561934e089\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-winsock-core.resources_31bf3856ad364e35_6.1.7600.16385_en-us_a7ddb2029817a18e\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_mshdc.inf.resources_31bf3856ad364e35_6.1.7600.16385_fr-fr_6cea22eb1a111728\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_sffdisk.inf.resources_31bf3856ad364e35_6.1.7600.16385_es-es_ce145d7ce4892e4d\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\msil_system.configuration.install.resources_b03f5f7f11d50a3a_6.1.7600.16385_es-es_0eaa7658e6a53f9e\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\GAC_MSIL\System.Data.Linq\3.5.0.0__b77a5c561934e089\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-w..ction-adm.resources_31bf3856ad364e35_6.1.7600.16385_es-es_495753eb7606934c\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\msil_datasvcutil.resources_b77a5c561934e089_6.1.7601.17514_de-de_2d11f7b0be7b688b\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\msil_system.data.services.design.resources_b77a5c561934e089_6.1.7601.17514_ja-jp_c2cd124fbd8fe089\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-i..r_service.resources_31bf3856ad364e35_6.1.7601.17514_fr-fr_573fbf08fcf78292\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-h..homegroup.resources_31bf3856ad364e35_6.1.7600.16385_it-it_e09c57750c431b94\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-winsock-core_31bf3856ad364e35_6.1.7601.17514_none_360e4801750ca991\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\x86_microsoft-windows-i..mentation-migration_31bf3856ad364e35_11.2.9600.16428_none_9169fdbd15286489\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-i..trolpanel.resources_31bf3856ad364e35_8.0.7601.17514_es-es_9b364ee275f49771\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-npfs_31bf3856ad364e35_6.1.7600.16385_none_02667684369c39b6\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\assembly\GAC_MSIL\system.servicemodel.resources\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe File created C:\Windows\winsxs\amd64_microsoft-windows-a..ence-infrastructure_31bf3856ad364e35_6.1.7601.17514_none_3337092d63596104\dqn8v_Entschluesselungs_Anleitung.html Bewerbung-Lena-Kretschmer.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
System Location Discovery: System Language Discovery 1 TTPs 5 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
Processes:
Bewerbung-Lena-Kretschmer.exeBewerbung-Lena-Kretschmer.exeIEXPLORE.EXEcmd.exevssadmin.exedescription ioc process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Bewerbung-Lena-Kretschmer.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Bewerbung-Lena-Kretschmer.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language IEXPLORE.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language vssadmin.exe -
Interacts with shadow copies 3 TTPs 1 IoCs
Shadow copies are often targeted by ransomware to inhibit system recovery.
Processes:
vssadmin.exepid process 2164 vssadmin.exe -
Processes:
iexplore.exeIEXPLORE.EXEdescription ioc process Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\LowRegistry iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\LowRegistry\DOMStorage iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser iexplore.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\WindowsSearch\Version = "WS not running" iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Recovery\PendingRecovery iexplore.exe Set value (int) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Recovery\PendingRecovery\AdminActive = "0" iexplore.exe Set value (int) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\SearchScopes\DownloadRetries = "2" iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\GPU iexplore.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\FullScreen = "no" iexplore.exe Set value (data) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\Window_Placement = 2c0000000200000003000000ffffffffffffffffffffffffffffffff2400000024000000aa04000089020000 iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\WindowsSearch IEXPLORE.EXE Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\PageSetup iexplore.exe Set value (int) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\CompatibilityFlags = "0" iexplore.exe Set value (int) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Recovery\AdminActive\{B909CD21-88EE-11EF-B232-FE373C151053} = "0" iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\IETld\LowMic iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\IntelliForms iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\InternetRegistry iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\LowRegistry\DontShowMeThisDialogAgain iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main IEXPLORE.EXE Set value (int) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Recovery\PendingRecovery\AdminActive = "1" iexplore.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\WindowsSearch\Version = "WS not running" IEXPLORE.EXE Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\SearchScopes iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\BrowserEmulation\LowMic iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Toolbar iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Zoom iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Recovery\AdminActive iexplore.exe Key created \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Internet Explorer\Main\WindowsSearch iexplore.exe -
Suspicious behavior: EnumeratesProcesses 12 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exepid process 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe 1636 Bewerbung-Lena-Kretschmer.exe -
Suspicious use of AdjustPrivilegeToken 3 IoCs
Processes:
vssvc.exedescription pid process Token: SeBackupPrivilege 2044 vssvc.exe Token: SeRestorePrivilege 2044 vssvc.exe Token: SeAuditPrivilege 2044 vssvc.exe -
Suspicious use of FindShellTrayWindow 1 IoCs
Processes:
iexplore.exepid process 2108 iexplore.exe -
Suspicious use of SetWindowsHookEx 6 IoCs
Processes:
iexplore.exeIEXPLORE.EXEpid process 2108 iexplore.exe 2108 iexplore.exe 1520 IEXPLORE.EXE 1520 IEXPLORE.EXE 1520 IEXPLORE.EXE 1520 IEXPLORE.EXE -
Suspicious use of WriteProcessMemory 21 IoCs
Processes:
Bewerbung-Lena-Kretschmer.exeBewerbung-Lena-Kretschmer.exeiexplore.execmd.exedescription pid process target process PID 796 wrote to memory of 1636 796 Bewerbung-Lena-Kretschmer.exe Bewerbung-Lena-Kretschmer.exe PID 796 wrote to memory of 1636 796 Bewerbung-Lena-Kretschmer.exe Bewerbung-Lena-Kretschmer.exe PID 796 wrote to memory of 1636 796 Bewerbung-Lena-Kretschmer.exe Bewerbung-Lena-Kretschmer.exe PID 796 wrote to memory of 1636 796 Bewerbung-Lena-Kretschmer.exe Bewerbung-Lena-Kretschmer.exe PID 796 wrote to memory of 1636 796 Bewerbung-Lena-Kretschmer.exe Bewerbung-Lena-Kretschmer.exe PID 1636 wrote to memory of 2108 1636 Bewerbung-Lena-Kretschmer.exe iexplore.exe PID 1636 wrote to memory of 2108 1636 Bewerbung-Lena-Kretschmer.exe iexplore.exe PID 1636 wrote to memory of 2108 1636 Bewerbung-Lena-Kretschmer.exe iexplore.exe PID 1636 wrote to memory of 2108 1636 Bewerbung-Lena-Kretschmer.exe iexplore.exe PID 1636 wrote to memory of 1872 1636 Bewerbung-Lena-Kretschmer.exe cmd.exe PID 1636 wrote to memory of 1872 1636 Bewerbung-Lena-Kretschmer.exe cmd.exe PID 1636 wrote to memory of 1872 1636 Bewerbung-Lena-Kretschmer.exe cmd.exe PID 1636 wrote to memory of 1872 1636 Bewerbung-Lena-Kretschmer.exe cmd.exe PID 2108 wrote to memory of 1520 2108 iexplore.exe IEXPLORE.EXE PID 2108 wrote to memory of 1520 2108 iexplore.exe IEXPLORE.EXE PID 2108 wrote to memory of 1520 2108 iexplore.exe IEXPLORE.EXE PID 2108 wrote to memory of 1520 2108 iexplore.exe IEXPLORE.EXE PID 1872 wrote to memory of 2164 1872 cmd.exe vssadmin.exe PID 1872 wrote to memory of 2164 1872 cmd.exe vssadmin.exe PID 1872 wrote to memory of 2164 1872 cmd.exe vssadmin.exe PID 1872 wrote to memory of 2164 1872 cmd.exe vssadmin.exe -
Uses Volume Shadow Copy service COM API
The Volume Shadow Copy service is used to manage backups/snapshots.
Processes
-
C:\Users\Admin\AppData\Local\Temp\Bewerbung-Lena-Kretschmer.exe"C:\Users\Admin\AppData\Local\Temp\Bewerbung-Lena-Kretschmer.exe"1⤵
- Suspicious use of SetThreadContext
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:796 -
C:\Users\Admin\AppData\Local\Temp\Bewerbung-Lena-Kretschmer.exeC:\Users\Admin\AppData\Local\Temp\Bewerbung-Lena-Kretschmer.exe2⤵
- Drops file in Drivers directory
- Drops startup file
- Enumerates connected drives
- Drops file in System32 directory
- Drops file in Program Files directory
- Drops file in Windows directory
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:1636 -
C:\Program Files\Internet Explorer\iexplore.exe"C:\Program Files\Internet Explorer\iexplore.exe" C:\Users\Admin\Desktop\dqn8v_Entschluesselungs_Anleitung.html3⤵
- Modifies Internet Explorer settings
- Suspicious use of FindShellTrayWindow
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2108 -
C:\Program Files (x86)\Internet Explorer\IEXPLORE.EXE"C:\Program Files (x86)\Internet Explorer\IEXPLORE.EXE" SCODEF:2108 CREDAT:275457 /prefetch:24⤵
- System Location Discovery: System Language Discovery
- Modifies Internet Explorer settings
- Suspicious use of SetWindowsHookEx
PID:1520 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /k vssadmin.exe delete shadows /all /quiet & bcdedit.exe /set {default} recoveryenabled no & bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures3⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:1872 -
C:\Windows\SysWOW64\vssadmin.exevssadmin.exe delete shadows /all /quiet4⤵
- System Location Discovery: System Language Discovery
- Interacts with shadow copies
PID:2164
-
C:\Windows\system32\vssvc.exeC:\Windows\system32\vssvc.exe1⤵
- Suspicious use of AdjustPrivilegeToken
PID:2044
Network
MITRE ATT&CK Enterprise v15
Defense Evasion
Direct Volume Access
1Indicator Removal
2File Deletion
2Modify Registry
1Credential Access
Credentials from Password Stores
1Credentials from Web Browsers
1Unsecured Credentials
1Credentials In Files
1Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
18KB
MD5039d2aff1e39a3c64f2b257b446b7312
SHA1071fe40291476beeb80ce1c486ec16d101d80a3e
SHA25666d5e3db79764fd38aa979e1b83803564079491166d90dd6bafa2e63a101878a
SHA512e7a344fe637cbd60a8de4b9e997b4d90859a2bc94040c4c8777e8048e1a5e8cc24414cd3f72d9b7920d8749e450bcffd758d826b02e24fe4751dc71509997917
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD5a8fc473578ce802ffe5d16d23210b479
SHA1f674c58a06aa8843e384c6a2f071cc9eb1224db8
SHA25673d361f2527a1aca332ff8c386dd0af6de4cbe7bccdf3b019c76f97edf3d9032
SHA512ff44261327616c6a930aaa707e7a58750b2cc3d52ae4506589e14c911548ebebe9cc0b6e664f91a402acde91bcf859305bf90847782e407242da43b151288d62
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD58e4c8f6df96ea747faaf1c39d1d5b9a8
SHA19e38735a23e5c3a90eea0395c65b6a698fe32fbc
SHA2568c4ecade441979e6cc4a92f2d9e34aa1ef557c7f8002615e3fac73f8c568ce5d
SHA5126e2062a957a7f0b934b25975365d310f46b7a98a357c079bf272f2d6dba700fd1baf4e6b96e07f61d6ca16cf285042cfff9cb4926e67f710da55ab5e2666204a
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD502c349dbb577bdf7822fa67de5af4961
SHA1a95f420cef4ed51401d7fbb16bc72e22cb3f01a8
SHA2562cfd07990b1441f1177e2c867ca1ec2e8c227050e6e4b5051452ec9d4a6392a4
SHA5125d91bb7ff9840b5a0146b1a837aea671af70423e5065736ffce0f582e4a8b3e662d0b2fd3bbed4e039edb9afb6cd2dd3d0698c6ded6ab8b0e8462a7100fb7220
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD5285d84f8a51fd6a7dc19170abb79d254
SHA184b4bdb5c1d961e3c2a2e38037ed1984041b4dd8
SHA256160c0f31f87a823a638707dd3bc59be40ac937f9d80902d605ad341e4f90dc11
SHA5124ea893a18851d8002ba9b1786adc2373d8a0cc3aa5b41727bc4be4ff5067a83ca520b55ecd02dbcf6bf1e0929b6a0d2fd4779589efe279df796f1e134da3d33d
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD55ce78da4e048939fdf21ff72fe63f068
SHA14dd5b16571a8f85aa49c7dde373a878d0991ce55
SHA256fe80866efcdd2b075b8d563997e1df42a79863d5261b3fbfebbad78c41e7d27e
SHA512c8b44fff2c740b5cf88d0b92cad7b5fb10dee72caef13aea7d32e3139f8eacfee334a3e4834599ee3b1b3b861663024603e65c5ebb5975f0a2a1097acb29062b
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD50525b64bf57f94c7ac3806c2826911d2
SHA16e5ed5e97cf4fbc5d12d901aa9c61c3e65c57a91
SHA2562d73a51bca37aba17cf3a3bacce696bd88b9bb74ac062d82e4cd76f78d37a529
SHA5127b49f9ea3a8f8a1bda42d0f13882c2f07068fbfe0efd6b1523acb5a9c4705a87a66abe4a028c8cb79b0941ee0b0d999578f6f0ad1b7f2681e80fc54ebb80f77d
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD5422b6fd5c144b1ffc9a8e8504ebaabc1
SHA1968c1d28879071918123d994218a31869bf08f45
SHA2568df4a8c7f2d552fb1525a8f4a82846998c276683fa2a762f751ecea65cdb8cdc
SHA5123ebc0a4d57a806b803bdfd807eba2f3e4f88ba0ce707d26a27443bb286c3adfb9ce73e3f3166e6cff28a3de89875f7d3b38fb35561a4d8c764b75e0fb4b88d79
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD52328a91a9cd49e276cb89ba8e6376b38
SHA1f6e5ef023922fdc91c42924643b0e6d844fab69c
SHA256c29b78fe552fb334ec8ae55c7464728ceec171025592a92a6ae713f62a77b253
SHA5121b074a79a4e3dc1668d3389a8e0a1d1de426cc0afcbc938c8db16cc5fbe88f0d9863830b2cf985b574d84f1eb51429d99a68b0f65dbef8232162eb9b2c37d6b2
-
C:\Users\Admin\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData\94308059B57B3142E455B38A6EB92015
Filesize342B
MD55c16e168fdac17dde1fefa3ceb3eb87b
SHA14a82dd11cbd2dcdd1d841c16d49080cc45337095
SHA25666413a2e692aa34dccbc588690c2c861921f6f3bb85766e3b9387509e4f97195
SHA512b2ea8a5f0ff0616c4792340e3fe7ed43b31350b3f2e166298a735494f7e15c88f574fbdcc63bf5fae61fae2744c1ca9f18bcca72b7475ca73e2d23133fd410b6
-
Filesize
70KB
MD549aebf8cbd62d92ac215b2923fb1b9f5
SHA11723be06719828dda65ad804298d0431f6aff976
SHA256b33efcb95235b98b48508e019afa4b7655e80cf071defabd8b2123fc8b29307f
SHA512bf86116b015fb56709516d686e168e7c9c68365136231cc51d0b6542ae95323a71d2c7acec84aad7dcecc2e410843f6d82a0a6d51b9acfc721a9c84fdd877b5b
-
Filesize
181KB
MD54ea6026cf93ec6338144661bf1202cd1
SHA1a1dec9044f750ad887935a01430bf49322fbdcb7
SHA2568efbc21559ef8b1bcf526800d8070baad42474ce7198e26fa771dbb41a76b1d8
SHA5126c7e0980e39aacf4c3689802353f464a08cd17753bd210ee997e5f2a455deb4f287a9ef74d84579dbde49bc96213cd2b8b247723919c412ea980aa6e6bfe218b
-
C:\Users\Admin\AppData\Roaming\Microsoft\SystemCertificates\My\Certificates\dqn8v_Entschluesselungs_Anleitung.html
Filesize18KB
MD5715fee6a82c9cd1800b53a56c5fe708c
SHA164e5bd15955edf8e206854711a52d51d53189f4a
SHA2560fb7f641200d841330dd15150d617ee0f1eb88cc0bdacfefb88da6840ae4432e
SHA512a7af77bbac8e745286c2d4bdf3304c23cf65f9714dde96910cbeb0ba4b3c54bfcc37f3e7ca9e7eaae3a036e3a967539be03a3d5a71548c5e2c593022c1acc442
-
Filesize
18KB
MD568c06f104e7aa960ae7743d425e29835
SHA1f870229ff9044fb36e309e2fe6607f97cc8a2792
SHA25680bd45d55f1838b8f55aad972872ae5b98c3d14ec26b50c7a5ff0dd5c87c2ebf
SHA512d8add0ab00c3c9719531d6716eff9865d60750a15b2965054126961269d2d0aa22c0952b82fcb31f5141cbea3b2f00990ec04fb8e8805d425c053d609547a3e4