Analysis
-
max time kernel
149s -
max time network
125s -
platform
windows10-ltsc 2021_x64 -
resource
win10ltsc2021-20241023-en -
resource tags
arch:x64arch:x86image:win10ltsc2021-20241023-enlocale:en-usos:windows10-ltsc 2021-x64system -
submitted
02-11-2024 16:18
General
-
Target
Fulloption_3.0.exe
-
Size
88KB
-
MD5
94be15b6d23986b1f085d036649dbdb1
-
SHA1
c871893da78093673b57d616044e61ade9209301
-
SHA256
c4cf13df8afc3f1f55f9fd30807958839110721316c19f1b0692bc99cb9921bf
-
SHA512
c62824c0e9f356e214f03577539380d2dac73f7da9768a8a6c7c63b59267c34ccd3c8211762de26b21c38162fd069714a4877594d3d9a2182ce0af5925104636
-
SSDEEP
1536:pvWgDObMMtlpgcHcR4FwdjGb1A4hJG6bPOhhWqAmoUxl:pvWH2wwYb1Ag7OipmD
Malware Config
Extracted
Family
xworm
C2
127.0.0.1:7000
Attributes
-
Install_directory
%AppData%
-
install_file
XClient.exe
Signatures
-
Detect Xworm Payload 1 IoCs
resource yara_rule behavioral1/memory/4276-1-0x0000000000BA0000-0x0000000000BBC000-memory.dmp family_xworm -
Xworm family
-
Looks up external IP address via web service 1 IoCs
Uses a legitimate IP lookup service to find the infected system's external IP.
flow ioc 17 ip-api.com -
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\FriendlyName taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 2304 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 4 IoCs
description pid Process Token: SeDebugPrivilege 4276 Fulloption_3.0.exe Token: SeDebugPrivilege 2304 taskmgr.exe Token: SeSystemProfilePrivilege 2304 taskmgr.exe Token: SeCreateGlobalPrivilege 2304 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe 2304 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Fulloption_3.0.exe"C:\Users\Admin\AppData\Local\Temp\Fulloption_3.0.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
PID:4276
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:2304