Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
143s -
max time network
119s -
platform
windows7_x64 -
resource
win7-20240903-en -
resource tags
arch:x64arch:x86image:win7-20240903-enlocale:en-usos:windows7-x64system -
submitted
31/01/2025, 10:07
Static task
static1
Behavioral task
behavioral1
Sample
Prova dei diritti di proprietà che stai violando.exe
Resource
win7-20240903-en
Behavioral task
behavioral2
Sample
Prova dei diritti di proprietà che stai violando.exe
Resource
win10v2004-20241007-en
Behavioral task
behavioral3
Sample
msimg32.dll
Resource
win7-20240903-en
Behavioral task
behavioral4
Sample
msimg32.dll
Resource
win10v2004-20250129-en
General
-
Target
Prova dei diritti di proprietà che stai violando.exe
-
Size
6.1MB
-
MD5
4864a55cff27f686023456a22371e790
-
SHA1
6ed30c0371fe167d38411bfa6d720fcdcacc4f4c
-
SHA256
08c7fb6067acc8ac207d28ab616c9ea5bc0d394956455d6a3eecb73f8010f7a2
-
SHA512
4bd3a16435cca6ce7a7aa829eb967619a8b7c02598474e634442cffc55935870d54d844a04496bf9c7e8c29c40fae59ac6eb39c8550c091d06a28211491d0bfb
-
SSDEEP
98304:VZQIM+/nv/CDoAkYwpAa5ge1zZ/jtdZwUkQ:bJCKlA2VKUz
Malware Config
Signatures
-
Detects Rhadamanthys payload 2 IoCs
resource yara_rule behavioral1/memory/2652-4-0x00000000001C0000-0x0000000000241000-memory.dmp Rhadamanthys_v8 behavioral1/memory/2652-5-0x00000000001C0000-0x0000000000241000-memory.dmp Rhadamanthys_v8 -
Rhadamanthys
Rhadamanthys is an info stealer written in C++ first seen in August 2022.
-
Rhadamanthys family
-
Suspicious use of NtCreateUserProcessOtherParentProcess 10 IoCs
description pid Process procid_target PID 2652 created 1232 2652 Prova dei diritti di proprietà che stai violando.exe 21 PID 2656 created 1232 2656 Prova dei diritti di proprietà che stai violando.exe 21 PID 1972 created 1232 1972 Prova dei diritti di proprietà che stai violando.exe 21 PID 1944 created 1232 1944 Prova dei diritti di proprietà che stai violando.exe 21 PID 2528 created 1232 2528 Prova dei diritti di proprietà che stai violando.exe 21 PID 1728 created 1232 1728 Prova dei diritti di proprietà che stai violando.exe 21 PID 2516 created 1232 2516 Prova dei diritti di proprietà che stai violando.exe 21 PID 1676 created 1232 1676 Prova dei diritti di proprietà che stai violando.exe 21 PID 1536 created 1232 1536 Prova dei diritti di proprietà che stai violando.exe 21 PID 2500 created 1232 2500 Prova dei diritti di proprietà che stai violando.exe 21 -
Adds Run key to start application 2 TTPs 10 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe Set value (str) \REGISTRY\USER\S-1-5-21-2872745919-2748461613-2989606286-1000\Software\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe -
System Location Discovery: System Language Discovery 1 TTPs 41 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe -
Suspicious behavior: EnumeratesProcesses 40 IoCs
pid Process 2652 Prova dei diritti di proprietà che stai violando.exe 2652 Prova dei diritti di proprietà che stai violando.exe 2652 Prova dei diritti di proprietà che stai violando.exe 2652 Prova dei diritti di proprietà che stai violando.exe 2656 Prova dei diritti di proprietà che stai violando.exe 2656 Prova dei diritti di proprietà che stai violando.exe 2656 Prova dei diritti di proprietà che stai violando.exe 2656 Prova dei diritti di proprietà che stai violando.exe 1972 Prova dei diritti di proprietà che stai violando.exe 1972 Prova dei diritti di proprietà che stai violando.exe 1972 Prova dei diritti di proprietà che stai violando.exe 1972 Prova dei diritti di proprietà che stai violando.exe 1944 Prova dei diritti di proprietà che stai violando.exe 1944 Prova dei diritti di proprietà che stai violando.exe 1944 Prova dei diritti di proprietà che stai violando.exe 1944 Prova dei diritti di proprietà che stai violando.exe 2528 Prova dei diritti di proprietà che stai violando.exe 2528 Prova dei diritti di proprietà che stai violando.exe 2528 Prova dei diritti di proprietà che stai violando.exe 2528 Prova dei diritti di proprietà che stai violando.exe 1728 Prova dei diritti di proprietà che stai violando.exe 1728 Prova dei diritti di proprietà che stai violando.exe 1728 Prova dei diritti di proprietà che stai violando.exe 1728 Prova dei diritti di proprietà che stai violando.exe 2516 Prova dei diritti di proprietà che stai violando.exe 2516 Prova dei diritti di proprietà che stai violando.exe 2516 Prova dei diritti di proprietà che stai violando.exe 2516 Prova dei diritti di proprietà che stai violando.exe 1676 Prova dei diritti di proprietà che stai violando.exe 1676 Prova dei diritti di proprietà che stai violando.exe 1676 Prova dei diritti di proprietà che stai violando.exe 1676 Prova dei diritti di proprietà che stai violando.exe 1536 Prova dei diritti di proprietà che stai violando.exe 1536 Prova dei diritti di proprietà che stai violando.exe 1536 Prova dei diritti di proprietà che stai violando.exe 1536 Prova dei diritti di proprietà che stai violando.exe 2500 Prova dei diritti di proprietà che stai violando.exe 2500 Prova dei diritti di proprietà che stai violando.exe 2500 Prova dei diritti di proprietà che stai violando.exe 2500 Prova dei diritti di proprietà che stai violando.exe -
Suspicious use of WriteProcessMemory 64 IoCs
description pid Process procid_target PID 2956 wrote to memory of 2652 2956 Prova dei diritti di proprietà che stai violando.exe 31 PID 2956 wrote to memory of 2652 2956 Prova dei diritti di proprietà che stai violando.exe 31 PID 2956 wrote to memory of 2652 2956 Prova dei diritti di proprietà che stai violando.exe 31 PID 2956 wrote to memory of 2652 2956 Prova dei diritti di proprietà che stai violando.exe 31 PID 2956 wrote to memory of 2652 2956 Prova dei diritti di proprietà che stai violando.exe 31 PID 2956 wrote to memory of 2652 2956 Prova dei diritti di proprietà che stai violando.exe 31 PID 2652 wrote to memory of 2892 2652 Prova dei diritti di proprietà che stai violando.exe 32 PID 2652 wrote to memory of 2892 2652 Prova dei diritti di proprietà che stai violando.exe 32 PID 2652 wrote to memory of 2892 2652 Prova dei diritti di proprietà che stai violando.exe 32 PID 2652 wrote to memory of 2892 2652 Prova dei diritti di proprietà che stai violando.exe 32 PID 2652 wrote to memory of 2892 2652 Prova dei diritti di proprietà che stai violando.exe 32 PID 2652 wrote to memory of 2892 2652 Prova dei diritti di proprietà che stai violando.exe 32 PID 2956 wrote to memory of 2704 2956 Prova dei diritti di proprietà che stai violando.exe 33 PID 2956 wrote to memory of 2704 2956 Prova dei diritti di proprietà che stai violando.exe 33 PID 2956 wrote to memory of 2704 2956 Prova dei diritti di proprietà che stai violando.exe 33 PID 2956 wrote to memory of 2704 2956 Prova dei diritti di proprietà che stai violando.exe 33 PID 2704 wrote to memory of 2800 2704 cmd.exe 35 PID 2704 wrote to memory of 2800 2704 cmd.exe 35 PID 2704 wrote to memory of 2800 2704 cmd.exe 35 PID 2704 wrote to memory of 2800 2704 cmd.exe 35 PID 2892 wrote to memory of 2656 2892 Prova dei diritti di proprietà che stai violando.exe 36 PID 2892 wrote to memory of 2656 2892 Prova dei diritti di proprietà che stai violando.exe 36 PID 2892 wrote to memory of 2656 2892 Prova dei diritti di proprietà che stai violando.exe 36 PID 2892 wrote to memory of 2656 2892 Prova dei diritti di proprietà che stai violando.exe 36 PID 2892 wrote to memory of 2656 2892 Prova dei diritti di proprietà che stai violando.exe 36 PID 2892 wrote to memory of 2656 2892 Prova dei diritti di proprietà che stai violando.exe 36 PID 2656 wrote to memory of 2584 2656 Prova dei diritti di proprietà che stai violando.exe 37 PID 2656 wrote to memory of 2584 2656 Prova dei diritti di proprietà che stai violando.exe 37 PID 2656 wrote to memory of 2584 2656 Prova dei diritti di proprietà che stai violando.exe 37 PID 2656 wrote to memory of 2584 2656 Prova dei diritti di proprietà che stai violando.exe 37 PID 2656 wrote to memory of 2584 2656 Prova dei diritti di proprietà che stai violando.exe 37 PID 2656 wrote to memory of 2584 2656 Prova dei diritti di proprietà che stai violando.exe 37 PID 2892 wrote to memory of 2480 2892 Prova dei diritti di proprietà che stai violando.exe 38 PID 2892 wrote to memory of 2480 2892 Prova dei diritti di proprietà che stai violando.exe 38 PID 2892 wrote to memory of 2480 2892 Prova dei diritti di proprietà che stai violando.exe 38 PID 2892 wrote to memory of 2480 2892 Prova dei diritti di proprietà che stai violando.exe 38 PID 2480 wrote to memory of 2968 2480 cmd.exe 40 PID 2480 wrote to memory of 2968 2480 cmd.exe 40 PID 2480 wrote to memory of 2968 2480 cmd.exe 40 PID 2480 wrote to memory of 2968 2480 cmd.exe 40 PID 2584 wrote to memory of 1972 2584 Prova dei diritti di proprietà che stai violando.exe 41 PID 2584 wrote to memory of 1972 2584 Prova dei diritti di proprietà che stai violando.exe 41 PID 2584 wrote to memory of 1972 2584 Prova dei diritti di proprietà che stai violando.exe 41 PID 2584 wrote to memory of 1972 2584 Prova dei diritti di proprietà che stai violando.exe 41 PID 2584 wrote to memory of 1972 2584 Prova dei diritti di proprietà che stai violando.exe 41 PID 2584 wrote to memory of 1972 2584 Prova dei diritti di proprietà che stai violando.exe 41 PID 1972 wrote to memory of 2984 1972 Prova dei diritti di proprietà che stai violando.exe 42 PID 1972 wrote to memory of 2984 1972 Prova dei diritti di proprietà che stai violando.exe 42 PID 1972 wrote to memory of 2984 1972 Prova dei diritti di proprietà che stai violando.exe 42 PID 1972 wrote to memory of 2984 1972 Prova dei diritti di proprietà che stai violando.exe 42 PID 1972 wrote to memory of 2984 1972 Prova dei diritti di proprietà che stai violando.exe 42 PID 1972 wrote to memory of 2984 1972 Prova dei diritti di proprietà che stai violando.exe 42 PID 2584 wrote to memory of 1856 2584 Prova dei diritti di proprietà che stai violando.exe 43 PID 2584 wrote to memory of 1856 2584 Prova dei diritti di proprietà che stai violando.exe 43 PID 2584 wrote to memory of 1856 2584 Prova dei diritti di proprietà che stai violando.exe 43 PID 2584 wrote to memory of 1856 2584 Prova dei diritti di proprietà che stai violando.exe 43 PID 1856 wrote to memory of 2136 1856 cmd.exe 45 PID 1856 wrote to memory of 2136 1856 cmd.exe 45 PID 1856 wrote to memory of 2136 1856 cmd.exe 45 PID 1856 wrote to memory of 2136 1856 cmd.exe 45 PID 2984 wrote to memory of 1944 2984 Prova dei diritti di proprietà che stai violando.exe 46 PID 2984 wrote to memory of 1944 2984 Prova dei diritti di proprietà che stai violando.exe 46 PID 2984 wrote to memory of 1944 2984 Prova dei diritti di proprietà che stai violando.exe 46 PID 2984 wrote to memory of 1944 2984 Prova dei diritti di proprietà che stai violando.exe 46
Processes
-
C:\Windows\Explorer.EXEC:\Windows\Explorer.EXE1⤵PID:1232
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:2956 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:2652
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:2704 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:2800
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:2892 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:2656
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:2480 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:2968
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:2584 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:1972
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:1856 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:2136
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:2984 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:1944
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:2272 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:1656
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:1788 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:2528
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:1912 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:1048
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:1240 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:1728
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:2400 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:1956
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:2140 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:2516
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:1032 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:692
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:1684 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:1676
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:616 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:344
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:2928 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:1536
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:996 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:1984
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:1196 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"3⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:2500
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit3⤵
- System Location Discovery: System Language Discovery
PID:2036 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f4⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:2184
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- System Location Discovery: System Language Discovery
PID:1556
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
42.6MB
MD5774f23f2abfa59b196af762383abe606
SHA162766fa96d2800d4c83a6446bd3cc850a17913d0
SHA25646c92438d6f6fb21091621ba0e0175402880d8c5f90b22004a9d32167936d3d4
SHA51223865d5163fbed5a6366bd2e4e581605feebed18803ddc101c6910d895f4dfa6aee7b995e1fd69549f1a60d53f94d728266cfd1167f3f2444ac88eaf186777ae