ca5216c9751e826a4ab8dc7b5521939717b4fa020ef9d11006bc37d31e08a0b9

General

Target

Documenti di spedizione 000293949040405959000.exe
Size

584KB
MD5

5d32495cf3af0094a17aa09f76b7d27c
SHA1

3009c98452cd000828b3bf0ba8ad5b72d05c7f7e
SHA256

e6f50a0c2551c1d2593b8963bac95b0a3f4aad6d6b60d2a4e09d0c70dfd37649
SHA512

afa9331ef7fdf6b261b1a1164af17ab52fccb3f24ff659bd6242bf01ba210989bf326e4ba0141cdbb994f0759061f87e498a86fad7d77d566aa26dfcad35ebc1
SSDEEP

12288:7O7LcE7rjYvGrCLXBozBd6bRMgvChOW1AsQ6nBhhdBrGZ:ZEcu29ozBUVMgvNW1AsQOfRG

Score

3^/10

discovery

Malware Config

Signatures

System Location Discovery: System Language Discovery 1 TTPs 1 IoCs

Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

discovery

System Language Discovery

T1614.001

description	ioc	Process
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Documenti di spedizione 000293949040405959000.exe

Suspicious behavior: EnumeratesProcesses 10 IoCs

pid	Process
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe
1152	Documenti di spedizione 000293949040405959000.exe

Suspicious use of AdjustPrivilegeToken 1 IoCs

description	pid	Process
Token: SeDebugPrivilege	1152	Documenti di spedizione 000293949040405959000.exe

Suspicious use of WriteProcessMemory 20 IoCs

description	pid	Process	procid_target
PID 1152 wrote to memory of 2784	1152	Documenti di spedizione 000293949040405959000.exe	31
PID 1152 wrote to memory of 2784	1152	Documenti di spedizione 000293949040405959000.exe	31
PID 1152 wrote to memory of 2784	1152	Documenti di spedizione 000293949040405959000.exe	31
PID 1152 wrote to memory of 2784	1152	Documenti di spedizione 000293949040405959000.exe	31
PID 1152 wrote to memory of 2780	1152	Documenti di spedizione 000293949040405959000.exe	32
PID 1152 wrote to memory of 2780	1152	Documenti di spedizione 000293949040405959000.exe	32
PID 1152 wrote to memory of 2780	1152	Documenti di spedizione 000293949040405959000.exe	32
PID 1152 wrote to memory of 2780	1152	Documenti di spedizione 000293949040405959000.exe	32
PID 1152 wrote to memory of 2864	1152	Documenti di spedizione 000293949040405959000.exe	33
PID 1152 wrote to memory of 2864	1152	Documenti di spedizione 000293949040405959000.exe	33
PID 1152 wrote to memory of 2864	1152	Documenti di spedizione 000293949040405959000.exe	33
PID 1152 wrote to memory of 2864	1152	Documenti di spedizione 000293949040405959000.exe	33
PID 1152 wrote to memory of 2868	1152	Documenti di spedizione 000293949040405959000.exe	34
PID 1152 wrote to memory of 2868	1152	Documenti di spedizione 000293949040405959000.exe	34
PID 1152 wrote to memory of 2868	1152	Documenti di spedizione 000293949040405959000.exe	34
PID 1152 wrote to memory of 2868	1152	Documenti di spedizione 000293949040405959000.exe	34
PID 1152 wrote to memory of 2120	1152	Documenti di spedizione 000293949040405959000.exe	35
PID 1152 wrote to memory of 2120	1152	Documenti di spedizione 000293949040405959000.exe	35
PID 1152 wrote to memory of 2120	1152	Documenti di spedizione 000293949040405959000.exe	35
PID 1152 wrote to memory of 2120	1152	Documenti di spedizione 000293949040405959000.exe	35

C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe
"C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe"
1⤵
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1152
- C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe
  "C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe"
  2⤵
  PID:2784
- C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe
  "C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe"
  2⤵
  PID:2780
- C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe
  "C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe"
  2⤵
  PID:2864
- C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe
  "C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe"
  2⤵
  PID:2868
- C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe
  "C:\Users\Admin\AppData\Local\Temp\Documenti di spedizione 000293949040405959000.exe"
  2⤵
  PID:2120

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Location Discovery

1

T1614

System Language Discovery

1

T1614.001

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

memory/1152-0-0x0000000073F2E000-0x0000000073F2F000-memory.dmp

Filesize
4KB

Download
memory/1152-1-0x00000000003A0000-0x0000000000438000-memory.dmp

Filesize
608KB

Download
memory/1152-2-0x00000000020D0000-0x0000000002118000-memory.dmp

Filesize
288KB

Download
memory/1152-3-0x0000000073F20000-0x000000007460E000-memory.dmp

Filesize
6.9MB

Download
memory/1152-4-0x0000000073F20000-0x000000007460E000-memory.dmp

Filesize
6.9MB

Download

Analysis

Sharing