Analysis
-
max time kernel
900s -
max time network
892s -
platform
windows10-ltsc 2021_x64 -
resource
win10ltsc2021-20250113-en -
resource tags
arch:x64arch:x86image:win10ltsc2021-20250113-enlocale:en-usos:windows10-ltsc 2021-x64system -
submitted
20-01-2025 01:51
General
-
Target
lolllkll.exe
-
Size
51KB
-
MD5
820cd080d406e04d1f3132915031fb3f
-
SHA1
29f7fa66140135cf74637b820e69f54148013efa
-
SHA256
c0d974d9cd2726cb7b0d6671b4c92d44be94d80839c9e464e2f11a1c7a6c18d1
-
SHA512
66404f8e150c026e72f011bb10064ed6bde5b14581e71fac30470bf05f4ea8d3e685aded4568dddf82e028eee3a1c77110f68baf6aa70fb196900f5d91eca13c
-
SSDEEP
1536:M4+SRsRHuCwmEkbLue+m+wQ0GrO8krcXHU:d9RMRakbLueh+KGO8krcE
Malware Config
Extracted
Family
xworm
C2
127.0.0.1:1998
approved-versus.gl.at.ply.gg:1998
Attributes
-
install_file
USB.exe
Signatures
-
Detect Xworm Payload 1 IoCs
resource yara_rule behavioral1/memory/3760-1-0x0000000000E30000-0x0000000000E44000-memory.dmp family_xworm -
Xworm family
-
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 908 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 4 IoCs
description pid Process Token: SeDebugPrivilege 3760 lolllkll.exe Token: SeDebugPrivilege 908 taskmgr.exe Token: SeSystemProfilePrivilege 908 taskmgr.exe Token: SeCreateGlobalPrivilege 908 taskmgr.exe -
Suspicious use of FindShellTrayWindow 64 IoCs
pid Process 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe -
Suspicious use of SendNotifyMessage 64 IoCs
pid Process 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe 908 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\lolllkll.exe"C:\Users\Admin\AppData\Local\Temp\lolllkll.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
PID:3760
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /71⤵
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:908