Windows 7 deprecation
Windows 7 will be removed from tria.ge on 2025-03-31
Analysis
-
max time kernel
92s -
max time network
145s -
platform
windows10-2004_x64 -
resource
win10v2004-20241007-en -
resource tags
arch:x64arch:x86image:win10v2004-20241007-enlocale:en-usos:windows10-2004-x64system -
submitted
31/01/2025, 10:07
Static task
static1
Behavioral task
behavioral1
Sample
Prova dei diritti di proprietà che stai violando.exe
Resource
win7-20240903-en
Behavioral task
behavioral2
Sample
Prova dei diritti di proprietà che stai violando.exe
Resource
win10v2004-20241007-en
Behavioral task
behavioral3
Sample
msimg32.dll
Resource
win7-20240903-en
Behavioral task
behavioral4
Sample
msimg32.dll
Resource
win10v2004-20250129-en
General
-
Target
Prova dei diritti di proprietà che stai violando.exe
-
Size
6.1MB
-
MD5
4864a55cff27f686023456a22371e790
-
SHA1
6ed30c0371fe167d38411bfa6d720fcdcacc4f4c
-
SHA256
08c7fb6067acc8ac207d28ab616c9ea5bc0d394956455d6a3eecb73f8010f7a2
-
SHA512
4bd3a16435cca6ce7a7aa829eb967619a8b7c02598474e634442cffc55935870d54d844a04496bf9c7e8c29c40fae59ac6eb39c8550c091d06a28211491d0bfb
-
SSDEEP
98304:VZQIM+/nv/CDoAkYwpAa5ge1zZ/jtdZwUkQ:bJCKlA2VKUz
Malware Config
Signatures
-
Detects Rhadamanthys payload 1 IoCs
resource yara_rule behavioral2/memory/1888-3-0x0000000000A30000-0x0000000000AB1000-memory.dmp Rhadamanthys_v8 -
Rhadamanthys
Rhadamanthys is an info stealer written in C++ first seen in August 2022.
-
Rhadamanthys family
-
Suspicious use of NtCreateUserProcessOtherParentProcess 1 IoCs
description pid Process procid_target PID 1888 created 2660 1888 Prova dei diritti di proprietà che stai violando.exe 44 -
Adds Run key to start application 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-4089630652-1596403869-279772308-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Palo Alto Network Sensor = "rundll32.exe C:\\Users\\Admin\\Documents\\PaloAlto943034.dll,EntryPoint" reg.exe -
Program crash 1 IoCs
pid pid_target Process procid_target 3364 1888 WerFault.exe 88 -
System Location Discovery: System Language Discovery 1 TTPs 5 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language Prova dei diritti di proprietà che stai violando.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language svchost.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language reg.exe -
Suspicious behavior: EnumeratesProcesses 8 IoCs
pid Process 1888 Prova dei diritti di proprietà che stai violando.exe 1888 Prova dei diritti di proprietà che stai violando.exe 1888 Prova dei diritti di proprietà che stai violando.exe 1888 Prova dei diritti di proprietà che stai violando.exe 3312 svchost.exe 3312 svchost.exe 3312 svchost.exe 3312 svchost.exe -
Suspicious use of WriteProcessMemory 17 IoCs
description pid Process procid_target PID 3792 wrote to memory of 1888 3792 Prova dei diritti di proprietà che stai violando.exe 88 PID 3792 wrote to memory of 1888 3792 Prova dei diritti di proprietà che stai violando.exe 88 PID 3792 wrote to memory of 1888 3792 Prova dei diritti di proprietà che stai violando.exe 88 PID 3792 wrote to memory of 1888 3792 Prova dei diritti di proprietà che stai violando.exe 88 PID 3792 wrote to memory of 1888 3792 Prova dei diritti di proprietà che stai violando.exe 88 PID 3792 wrote to memory of 1888 3792 Prova dei diritti di proprietà che stai violando.exe 88 PID 1888 wrote to memory of 3312 1888 Prova dei diritti di proprietà che stai violando.exe 91 PID 1888 wrote to memory of 3312 1888 Prova dei diritti di proprietà che stai violando.exe 91 PID 1888 wrote to memory of 3312 1888 Prova dei diritti di proprietà che stai violando.exe 91 PID 1888 wrote to memory of 3312 1888 Prova dei diritti di proprietà che stai violando.exe 91 PID 1888 wrote to memory of 3312 1888 Prova dei diritti di proprietà che stai violando.exe 91 PID 3792 wrote to memory of 4288 3792 Prova dei diritti di proprietà che stai violando.exe 95 PID 3792 wrote to memory of 4288 3792 Prova dei diritti di proprietà che stai violando.exe 95 PID 3792 wrote to memory of 4288 3792 Prova dei diritti di proprietà che stai violando.exe 95 PID 4288 wrote to memory of 5100 4288 cmd.exe 97 PID 4288 wrote to memory of 5100 4288 cmd.exe 97 PID 4288 wrote to memory of 5100 4288 cmd.exe 97
Processes
-
C:\Windows\system32\sihost.exesihost.exe1⤵PID:2660
-
C:\Windows\SysWOW64\svchost.exe"C:\Windows\System32\svchost.exe"2⤵
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
PID:3312
-
-
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"1⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:3792 -
C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"C:\Users\Admin\AppData\Local\Temp\Prova dei diritti di proprietà che stai violando.exe"2⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:1888 -
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -u -p 1888 -s 3323⤵
- Program crash
PID:3364
-
-
-
C:\Windows\SysWOW64\cmd.execmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f & exit2⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:4288 -
C:\Windows\SysWOW64\reg.exereg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\PaloAlto943034.dll",EntryPoint /f3⤵
- Adds Run key to start application
- System Location Discovery: System Language Discovery
PID:5100
-
-
-
C:\Windows\SysWOW64\WerFault.exeC:\Windows\SysWOW64\WerFault.exe -pss -s 444 -p 1888 -ip 18881⤵PID:3648