Overview

overview

10

Static

static

3

Release_18...al.exe

windows7-x64

10

Release_18...al.exe

windows10-2004-x64

10

Release_18...al.jpg

windows7-x64

1

Release_18...al.jpg

windows10-2004-x64

1

Release_18...32.dll

windows7-x64

3

Release_18...32.dll

windows10-2004-x64

3

Analysis

  • max time kernel
    161s
  • max time network
    140s
  • platform
    windows7_x64
  • resource
    win7-20240903-en
  • resource tags

    arch:x64arch:x86image:win7-20240903-enlocale:en-usos:windows7-x64system
  • submitted
    10/03/2025, 11:24

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    Release_1807/Expediente de pruebas de infracción de propiedad intelectual.exe

  • Size

    6.1MB

  • MD5

    4864a55cff27f686023456a22371e790

  • SHA1

    6ed30c0371fe167d38411bfa6d720fcdcacc4f4c

  • SHA256

    08c7fb6067acc8ac207d28ab616c9ea5bc0d394956455d6a3eecb73f8010f7a2

  • SHA512

    4bd3a16435cca6ce7a7aa829eb967619a8b7c02598474e634442cffc55935870d54d844a04496bf9c7e8c29c40fae59ac6eb39c8550c091d06a28211491d0bfb

  • SSDEEP

    98304:VZQIM+/nv/CDoAkYwpAa5ge1zZ/jtdZwUkQ:bJCKlA2VKUz

Score
10/10
rhadamanthysdiscoverypersistencestealer

Malware Config

Signatures

  • Detects Rhadamanthys payload 2 IoCs
  • Rhadamanthys

    Rhadamanthys is an info stealer written in C++ first seen in August 2022.

    stealerrhadamanthys
  • Rhadamanthys family
    rhadamanthys
  • Suspicious use of NtCreateUserProcessOtherParentProcess 13 IoCs
  • Adds Run key to start application 2 TTPs 5 IoCs
    persistence
  • System Location Discovery: System Language Discovery 1 TTPs 37 IoCs

    Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

    discovery
  • Suspicious behavior: EnumeratesProcesses 52 IoCs
  • Suspicious use of AdjustPrivilegeToken 4 IoCs
  • Suspicious use of WriteProcessMemory 64 IoCs

Processes

  • C:\Windows\Explorer.EXE
    C:\Windows\Explorer.EXE
    1⤵
      PID:1208
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        • Suspicious use of WriteProcessMemory
        PID:2688
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of WriteProcessMemory
          PID:2752
        • C:\Windows\SysWOW64\cmd.exe
          cmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f & exit
          3⤵
          • System Location Discovery: System Language Discovery
          • Suspicious use of WriteProcessMemory
          PID:2764
          • C:\Windows\SysWOW64\reg.exe
            reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f
            4⤵
            • Adds Run key to start application
            • System Location Discovery: System Language Discovery
            PID:2808
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of WriteProcessMemory
          PID:3000
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        • Suspicious use of WriteProcessMemory
        PID:2664
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of WriteProcessMemory
          PID:2556
        • C:\Windows\SysWOW64\cmd.exe
          cmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f & exit
          3⤵
          • System Location Discovery: System Language Discovery
          • Suspicious use of WriteProcessMemory
          PID:588
          • C:\Windows\SysWOW64\reg.exe
            reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f
            4⤵
            • Adds Run key to start application
            • System Location Discovery: System Language Discovery
            PID:1020
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:2888
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        • Suspicious use of WriteProcessMemory
        PID:2632
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of WriteProcessMemory
          PID:1492
        • C:\Windows\SysWOW64\cmd.exe
          cmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f & exit
          3⤵
          • System Location Discovery: System Language Discovery
          PID:2452
          • C:\Windows\SysWOW64\reg.exe
            reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f
            4⤵
            • Adds Run key to start application
            • System Location Discovery: System Language Discovery
            PID:2460
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:2012
        • C:\Windows\SysWOW64\cmd.exe
          cmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f & exit
          3⤵
          • System Location Discovery: System Language Discovery
          PID:2448
          • C:\Windows\SysWOW64\reg.exe
            reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f
            4⤵
            • Adds Run key to start application
            • System Location Discovery: System Language Discovery
            PID:772
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        PID:1924
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:2188
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:2140
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        PID:2400
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:900
        • C:\Windows\SysWOW64\cmd.exe
          cmd.exe /C reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f & exit
          3⤵
          • System Location Discovery: System Language Discovery
          PID:2348
          • C:\Windows\SysWOW64\reg.exe
            reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "Palo Alto Network Sensor" /t REG_SZ /d "rundll32.exe C:\Users\Admin\Documents\JavaUpdater943034.dll",EntryPoint /f
            4⤵
            • Adds Run key to start application
            • System Location Discovery: System Language Discovery
            PID:1408
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:1788
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        PID:2860
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:888
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        PID:1904
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:1052
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        PID:2896
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
          • Suspicious use of NtCreateUserProcessOtherParentProcess
          • System Location Discovery: System Language Discovery
          • Suspicious behavior: EnumeratesProcesses
          PID:280
      • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
        "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
        2⤵
        • System Location Discovery: System Language Discovery
        PID:1784
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          3⤵
            PID:2436
        • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
          "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
          2⤵
          • System Location Discovery: System Language Discovery
          PID:2940
        • C:\Windows\explorer.exe
          "C:\Windows\explorer.exe"
          2⤵
            PID:2656
          • C:\Windows\explorer.exe
            "C:\Windows\explorer.exe"
            2⤵
              PID:1776
            • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
              "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
              2⤵
              • System Location Discovery: System Language Discovery
              PID:1480
            • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
              "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
              2⤵
              • System Location Discovery: System Language Discovery
              PID:1288
            • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
              "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
              2⤵
              • System Location Discovery: System Language Discovery
              PID:2484
            • C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe
              "C:\Users\Admin\AppData\Local\Temp\Release_1807\Expediente de pruebas de infracción de propiedad intelectual.exe"
              2⤵
              • System Location Discovery: System Language Discovery
              PID:2380
          • C:\Windows\system32\AUDIODG.EXE
            C:\Windows\system32\AUDIODG.EXE 0x540
            1⤵
            • Suspicious use of AdjustPrivilegeToken
            PID:1964

          Network

          MITRE ATT&CK Enterprise v15

          Replay Monitor

          Loading Replay Monitor...

          Downloads

          • memory/900-65-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/900-67-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download

          • memory/900-64-0x0000000000C30000-0x0000000001030000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/1492-43-0x0000000000C70000-0x0000000001070000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/1492-44-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/1492-46-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download

          • memory/2012-78-0x0000000000BB0000-0x0000000000FB0000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/2012-79-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/2012-81-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download

          • memory/2188-56-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/2188-58-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download

          • memory/2188-55-0x0000000000D50000-0x0000000001150000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/2556-24-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download

          • memory/2556-22-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/2664-11-0x00000000001C0000-0x00000000001CA000-memory.dmp

            Filesize

            40KB

            Download

          • memory/2688-14-0x00000000003A0000-0x00000000003F5000-memory.dmp

            Filesize

            340KB

            Download

          • memory/2688-0-0x0000000000240000-0x000000000026D000-memory.dmp

            Filesize

            180KB

            Download

          • memory/2752-6-0x0000000000F10000-0x0000000001310000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/2752-5-0x0000000000F10000-0x0000000001310000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/2752-3-0x00000000001C0000-0x0000000000241000-memory.dmp

            Filesize

            516KB

            Download

          • memory/2752-13-0x0000000077571000-0x0000000077672000-memory.dmp

            Filesize

            1.0MB

            Download

          • memory/2752-12-0x0000000000F20000-0x0000000001310000-memory.dmp

            Filesize

            3.9MB

            Download

          • memory/2752-8-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/2752-10-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download

          • memory/2752-1-0x000000007EFDE000-0x000000007EFDF000-memory.dmp

            Filesize

            4KB

            Download

          • memory/2752-16-0x0000000000F10000-0x0000000001310000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/2752-7-0x0000000000F10000-0x0000000001310000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/2752-4-0x00000000001C0000-0x0000000000241000-memory.dmp

            Filesize

            516KB

            Download

          • memory/3000-33-0x0000000077570000-0x0000000077719000-memory.dmp

            Filesize

            1.7MB

            Download

          • memory/3000-32-0x0000000000CB0000-0x00000000010B0000-memory.dmp

            Filesize

            4.0MB

            Download

          • memory/3000-35-0x00000000771F0000-0x0000000077237000-memory.dmp

            Filesize

            284KB

            Download