Analysis
-
max time kernel
91s -
max time network
92s -
platform
windows10-2004_x64 -
resource
win10v2004-20241007-en -
resource tags
arch:x64arch:x86image:win10v2004-20241007-enlocale:en-usos:windows10-2004-x64system -
submitted
27/01/2025, 14:57
Behavioral task
behavioral1
Sample
e4097944eaa0ec098ff4af9747b0fcfdf4fd17d1b693cb6d08016e83b11b4a24N.exe
Resource
win7-20240903-en
General
-
Target
e4097944eaa0ec098ff4af9747b0fcfdf4fd17d1b693cb6d08016e83b11b4a24N.exe
-
Size
364KB
-
MD5
a5b2a1456b08894a1c0b70e83fe134c0
-
SHA1
2636088b581ef2834f17d98b87b8e200584c8b5c
-
SHA256
e4097944eaa0ec098ff4af9747b0fcfdf4fd17d1b693cb6d08016e83b11b4a24
-
SHA512
88f778337d3a2dc8b79ed0b08c89857391556bf2db6b3e5bab7d53435c821ac9dc26d6bb30a91f1830f6dabbd717ec643619ca650ca43a62a98dce2f39db3706
-
SSDEEP
1536:6XzXF8CvrJ4PBhDP3516hjlProNVU4qNVUrk/9QbfBr+7GwKrPAsqNVU:6Xh8k6DP3H6hjltOrWKDBr+yJb
Malware Config
Extracted
berbew
http://crutop.nu/index.php
http://devx.nm.ru/index.php
http://ros-neftbank.ru/index.php
http://master-x.com/index.php
http://www.redline.ru/index.php
http://cvv.ru/index.php
http://hackers.lv/index.php
http://fethard.biz/index.php
http://crutop.ru/index.php
http://kaspersky.ru/index.php
http://color-bank.ru/index.php
http://adult-empire.com/index.php
http://virus-list.com/index.php
http://trojan.ru/index.php
http://xware.cjb.net/index.htm
http://konfiskat.org/index.htm
http://parex-bank.ru/index.htm
http://fethard.biz/index.htm
http://ldark.nm.ru/index.htm
http://gaz-prom.ru/index.htm
http://promo.ru/index.htm
http://potleaf.chat.ru/index.htm
http://kadet.ru/index.htm
http://cvv.ru/index.htm
http://crutop.nu/index.htm
http://crutop.ru/index.htm
http://kaspersky.ru/index.htm
http://kidos-bank.ru/index.htm
http://kavkaz.ru/index.htm
Signatures
-
Berbew family
-
Program crash 1 IoCs
pid pid_target Process procid_target 2736 3580 WerFault.exe 82 -
System Location Discovery: System Language Discovery 1 TTPs 1 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language e4097944eaa0ec098ff4af9747b0fcfdf4fd17d1b693cb6d08016e83b11b4a24N.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\e4097944eaa0ec098ff4af9747b0fcfdf4fd17d1b693cb6d08016e83b11b4a24N.exe"C:\Users\Admin\AppData\Local\Temp\e4097944eaa0ec098ff4af9747b0fcfdf4fd17d1b693cb6d08016e83b11b4a24N.exe"1⤵
- System Location Discovery: System Language Discovery
PID:3580 -
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 3580 -s 2202⤵
- Program crash
PID:2736
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 408 -p 3580 -ip 35801⤵PID:1216