Overview

overview

10

Static

static

10

rat-virus-...df.exe

windows7-x64

10

rat-virus-...df.exe

windows10-2004-x64

10

rat-virus-...df.exe

windows10-ltsc 2021-x64

10

rat-virus-...df.exe

windows11-21h2-x64

10

rat-virus-...en.exe

windows7-x64

10

rat-virus-...en.exe

windows10-2004-x64

10

rat-virus-...en.exe

windows10-ltsc 2021-x64

10

rat-virus-...en.exe

windows11-21h2-x64

10

rat-virus-...an.exe

windows7-x64

10

rat-virus-...an.exe

windows10-2004-x64

10

rat-virus-...an.exe

windows10-ltsc 2021-x64

10

rat-virus-...an.exe

windows11-21h2-x64

10

Analysis

  • max time kernel
    1799s
  • max time network
    1801s
  • platform
    windows11-21h2_x64
  • resource
    win11-20241007-en
  • resource tags

    arch:x64arch:x86image:win11-20241007-enlocale:en-usos:windows11-21h2-x64system
  • submitted
    03-12-2024 15:44

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    rat-virus-DONT-INSTALL-main/ratka_dontopen.exe

  • Size

    197KB

  • MD5

    f43a0c44fc8034439cb6227eb7cfc9f0

  • SHA1

    f1c2414c2a7dfe30245f07f430f3987da627be7b

  • SHA256

    528f537709cc8c2d396961a07f2a264b3ba348db1ab7e6a8d096e7774d7c807b

  • SHA512

    db6e1682d7116113189fd362a388e810e4604964b7250c91a87930918670bae11d84705535ec08b1fcdec4f8066f8b527281fb5ba56f04d940bbf94428b51dcf

  • SSDEEP

    3072:Gne8nSoMNH4kbhuM6+OJSA2ewhLapuvpAsZOyMqmyBeYVYn:Gne8SXlb0a/GWGwqqm1

Score
10/10
xwormpersistencerattrojan

Malware Config

Extracted

Family

xworm

C2

saw-proceedings.gl.at.ply.gg:16297

Attributes
  • Install_directory

    %AppData%

  • install_file

    USB.exe

Signatures

  • Detect Xworm Payload 2 IoCs
  • Xworm

    Xworm is a remote access trojan written in C#.

    trojanratxworm
  • Xworm family
    xworm
  • Executes dropped EXE 30 IoCs
  • Adds Run key to start application 2 TTPs 1 IoCs
    persistence
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Scheduled Task/Job: Scheduled Task 1 TTPs 1 IoCs

    Schtasks is often used by malware for persistence or to perform post-infection execution.

    persistenceexecution
  • Suspicious use of AdjustPrivilegeToken 31 IoCs
  • Suspicious use of WriteProcessMemory 2 IoCs
  • Uses Task Scheduler COM API 1 TTPs

    The Task Scheduler COM API can be used to schedule applications to run on boot or at set times.

    persistence

Processes

  • C:\Users\Admin\AppData\Local\Temp\rat-virus-DONT-INSTALL-main\ratka_dontopen.exe
    "C:\Users\Admin\AppData\Local\Temp\rat-virus-DONT-INSTALL-main\ratka_dontopen.exe"
    1⤵
    • Adds Run key to start application
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:892
    • C:\Windows\System32\schtasks.exe
      "C:\Windows\System32\schtasks.exe" /create /f /RL HIGHEST /sc minute /mo 1 /tn "ратка удали из авто загрузки!" /tr "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
      2⤵
      • Scheduled Task/Job: Scheduled Task
      PID:1252
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3064
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4484
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3976
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3792
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3416
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3024
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:1428
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:196
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:2460
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:2588
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4468
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4024
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3364
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3032
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4836
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:1580
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:1336
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4656
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4452
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:1888
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3644
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:5004
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3656
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:1252
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:2452
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:1256
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:956
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:3048
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:2976
  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    "C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!"
    1⤵
    • Executes dropped EXE
    • Suspicious use of AdjustPrivilegeToken
    PID:4380

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads

  • C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\ратка удали из авто загрузки!.log
    Filesize

    654B

    MD5

    2cbbb74b7da1f720b48ed31085cbd5b8

    SHA1

    79caa9a3ea8abe1b9c4326c3633da64a5f724964

    SHA256

    e31b18f21621d9983bfdf1ea3e53884a9d58b8ffd79e0e5790da6f3a81a8b9d3

    SHA512

    ecf02d5240e0c1c005d3ab393aa7eff62bd498c2db5905157e2bf6d29e1b663228a9583950842629d1a4caef404c8941a0c7799b1a3bd1eb890a09fdb7efcff9

    Download Submit

  • C:\Users\Admin\AppData\Roaming\ратка удали из авто загрузки!
    Filesize

    197KB

    MD5

    f43a0c44fc8034439cb6227eb7cfc9f0

    SHA1

    f1c2414c2a7dfe30245f07f430f3987da627be7b

    SHA256

    528f537709cc8c2d396961a07f2a264b3ba348db1ab7e6a8d096e7774d7c807b

    SHA512

    db6e1682d7116113189fd362a388e810e4604964b7250c91a87930918670bae11d84705535ec08b1fcdec4f8066f8b527281fb5ba56f04d940bbf94428b51dcf

    Download Submit

  • memory/892-0-0x00007FF996B93000-0x00007FF996B95000-memory.dmp

    Filesize

    8KB

    Download

  • memory/892-1-0x00000000001A0000-0x00000000001D8000-memory.dmp

    Filesize

    224KB

    Download

  • memory/892-3-0x00007FF996B90000-0x00007FF997652000-memory.dmp

    Filesize

    10.8MB

    Download

  • memory/892-4-0x00007FF996B93000-0x00007FF996B95000-memory.dmp

    Filesize

    8KB

    Download

  • memory/892-5-0x00007FF996B90000-0x00007FF997652000-memory.dmp

    Filesize

    10.8MB

    Download

  • memory/3064-8-0x00007FF996B90000-0x00007FF997652000-memory.dmp

    Filesize

    10.8MB

    Download

  • memory/3064-10-0x00007FF996B90000-0x00007FF997652000-memory.dmp

    Filesize

    10.8MB

    Download