Analysis
-
max time kernel
63s -
max time network
39s -
platform
windows11-21h2_x64 -
resource
win11-20241007-en -
resource tags
arch:x64arch:x86image:win11-20241007-enlocale:en-usos:windows11-21h2-x64system -
submitted
23-01-2025 11:33
General
-
Target
nigger sex.exe
-
Size
32KB
-
MD5
cac510a072cd3e80ca309f7442f5a326
-
SHA1
0f52da782525d5ae582baac9ceb6739589c21c70
-
SHA256
8a9c7a385608b74b8f777197ae9323b6af5be09e9346b934369b72c899d8e45b
-
SHA512
6539c689f7e30c42aa3c478d0a41a10844c1aa4b710a28d4541741da8da77b5f2e9d75eb86442a1d248de2b9bf0e72ceca6e18bdaa46dc71921fcec8dc489bb8
-
SSDEEP
384:7EbmX5Qa+vN1h1+X3v6JFjL+g93Tm2eaFODZzRApkFTBLTsOZwpGd2v99Ikuis8g:IVa+vNtg+PB93Tw42ZzVFE9jNOjhvbb
Malware Config
Extracted
Family
xworm
Version
5.0
C2
127.0.0.1:4455
Mutex
23k5TWNO4gMENG8H
Attributes
-
install_file
USB.exe
aes.plain
Signatures
-
Detect Xworm Payload 1 IoCs
resource yara_rule behavioral1/memory/4436-1-0x0000000000FF0000-0x0000000000FFE000-memory.dmp family_xworm -
Xworm family
-
Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\FriendlyName taskmgr.exe -
Modifies registry class 1 IoCs
description ioc Process Key created \REGISTRY\USER\S-1-5-21-2499603254-3415597248-1508446358-1000_Classes\Local Settings taskmgr.exe -
Suspicious behavior: EnumeratesProcesses 38 IoCs
pid Process 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe -
Suspicious use of AdjustPrivilegeToken 4 IoCs
description pid Process Token: SeDebugPrivilege 4436 nigger sex.exe Token: SeDebugPrivilege 2036 taskmgr.exe Token: SeSystemProfilePrivilege 2036 taskmgr.exe Token: SeCreateGlobalPrivilege 2036 taskmgr.exe -
Suspicious use of FindShellTrayWindow 49 IoCs
pid Process 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe -
Suspicious use of SendNotifyMessage 49 IoCs
pid Process 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe 2036 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\nigger sex.exe"C:\Users\Admin\AppData\Local\Temp\nigger sex.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
PID:4436
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /01⤵
- Checks SCSI registry key(s)
- Modifies registry class
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
PID:2036
-
C:\Windows\System32\rundll32.exeC:\Windows\System32\rundll32.exe C:\Windows\System32\shell32.dll,SHCreateLocalServerRunDll {9aa46009-3ce0-458a-a354-715610a075e6} -Embedding1⤵PID:1480