Analysis
-
max time kernel
569s -
max time network
417s -
platform
windows10-ltsc 2021_x64 -
resource
win10ltsc2021-20241023-en -
resource tags
arch:x64arch:x86image:win10ltsc2021-20241023-enlocale:en-usos:windows10-ltsc 2021-x64system -
submitted
04-12-2024 22:45
Behavioral task
behavioral1
Sample
EiRat.exe
Resource
win10ltsc2021-20241023-en
windows10-ltsc 2021-x64
9 signatures
150 seconds
General
-
Target
EiRat.exe
-
Size
78KB
-
MD5
6d729143f3a7d127650ede08eca4b304
-
SHA1
ee7a0d562f1b2f507e9e00ebf245455025096997
-
SHA256
ad65893e82f5a3b3f0b9bb60f77f8783268576386ac07e3e949027634c361fb0
-
SHA512
b6300372b234f3fb6729a8a76a3a19db956b4a8b4b3849879bf082437b3a076c7f43b9cc855538c8ed228d09fb3a5fb8b1ea4a206ef7e619deb6b7e8a460e6cb
-
SSDEEP
1536:52WjO8XeEXFh5P7v88wbjNrfxCXhRoKV6+V+DPIC:5Zv5PDwbjNrmAE+bIC
Score
10/10
Malware Config
Extracted
Family
discordrat
Attributes
-
discord_token
MTMxMzk5NDc2OTY3MTY1MTQ1OA.GT7NjM.K6xxr_k2IxFfcMDllAz-2jBS0_JbzohWjhkbKs
-
server_id
1313832050054402099
Signatures
-
Discord RAT
A RAT written in C# using Discord as a C2.
-
Discordrat family
-
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Modifies registry class 1 IoCs
description ioc Process Key created \REGISTRY\USER\S-1-5-21-1263212995-3575756360-1418101905-1000_Classes\Local Settings taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 1448 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 4 IoCs
description pid Process Token: SeDebugPrivilege 3080 EiRat.exe Token: SeDebugPrivilege 1448 taskmgr.exe Token: SeSystemProfilePrivilege 1448 taskmgr.exe Token: SeCreateGlobalPrivilege 1448 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe 1448 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\EiRat.exe"C:\Users\Admin\AppData\Local\Temp\EiRat.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
PID:3080
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Checks SCSI registry key(s)
- Modifies registry class
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:1448
-
C:\Windows\System32\rundll32.exeC:\Windows\System32\rundll32.exe C:\Windows\System32\shell32.dll,SHCreateLocalServerRunDll {9aa46009-3ce0-458a-a354-715610a075e6} -Embedding1⤵PID:820