Analysis
- max time kernel
150s - max time network
152s - platform
windows10-2004_x64 - resource
win10v2004-20260130-en - resource tags
arch:x64arch:x86image:win10v2004-20260130-enlocale:en-usos:windows10-2004-x64systemwindows - submitted
02/05/2026, 00:46
Behavioral task
behavioral1
Sample
воздушный членик.exe
Resource
win10v2004-20260130-en
windows10-2004-x64
9 signatures
150 seconds
Behavioral task
behavioral2
Sample
воздушный членик.exe
Resource
win11-20260130-en
windows11-21h2-x64
9 signatures
150 seconds
General
- Target воздушный членик.exe
- Size 93KB
- Sample260502-a41dkabx2l
- SHA256 178bd33fc4ebd0db8492e27f8cf07add647d0af99d01ca09f2d15006431568e7
- MD5 f67beb614be415fc0234aa0054674538
- SHA1 b1f85ea66eab6134e94906dc8ee1950d1db3fd90
- SHA512 c1d064e7fd577840e280dae6a94a081dfd1b7e73b029fcc275a4face8d53be2c0f5aeb89a45857ca7d5f697b2e2107ca09eff1c48e3f69bedad33daf52ee17df
- SSDEEP 1536:qSy1GkeUqZJO5wNSimjEwzGi1dDODugS:qSdUqZJOeAOi1dIT
- TLSH T1A593E84977E56524E0BF56F75871F2404E34B48B1602E39E48F219AA0B33AC44F89FEB
- MD5 SHA1 SHA512 SSDEEP TLSH
Malware Config
Signatures
- Disables Task Manager via registry modification
- Modifies Windows Firewall 2 TTPs 3 IoCs
pid Process 4564 netsh.exe 4276 netsh.exe 5088 netsh.exe - Drops startup file 4 IoCs
description ioc Process File created C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Corporation.exe воздушный членик.exe File opened for modification C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Corporation.exe воздушный членик.exe File created C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\f3b12ac9b110385a231791319fef71a8Windows Update.exe воздушный членик.exe File opened for modification C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\f3b12ac9b110385a231791319fef71a8Windows Update.exe воздушный членик.exe - Event Triggered Execution: Netsh Helper DLL 1 TTPs 9 IoCs
Netsh.exe (also referred to as Netshell) is a command-line scripting utility used to interact with the network configuration of a system.
description ioc Process Key opened \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key queried \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key opened \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key queried \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key opened \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key value enumerated \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key value enumerated \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key queried \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe Key value enumerated \REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\NetSh netsh.exe - System Location Discovery: System Language Discovery 1 TTPs 4 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language воздушный членик.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language netsh.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language netsh.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language netsh.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe 2492 воздушный членик.exe - Suspicious behavior: GetForegroundWindowSpam 1 IoCs
pid Process 2492 воздушный членик.exe - Suspicious use of AdjustPrivilegeToken 37 IoCs
description pid Process Token: SeDebugPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe Token: 33 2492 воздушный членик.exe Token: SeIncBasePriorityPrivilege 2492 воздушный членик.exe - Suspicious use of WriteProcessMemory 3 IoCs
description pid Process procid_target PID 2492 wrote to memory of 4564 2492 воздушный членик.exe 86 PID 2492 wrote to memory of 4276 2492 воздушный членик.exe 88 PID 2492 wrote to memory of 5088 2492 воздушный членик.exe 89
Processes
-
C:\Users\Admin\AppData\Local\Temp\воздушный членик.exe"C:\Users\Admin\AppData\Local\Temp\воздушный членик.exe"1⤵
- Drops startup file
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2492 -
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\воздушный членик.exe" "воздушный членик.exe" ENABLE2⤵
- Modifies Windows Firewall
- Event Triggered Execution: Netsh Helper DLL
- System Location Discovery: System Language Discovery
PID:4564
-
-
C:\Windows\SysWOW64\netsh.exenetsh firewall delete allowedprogram "C:\Users\Admin\AppData\Local\Temp\воздушный членик.exe"2⤵
- Modifies Windows Firewall
- Event Triggered Execution: Netsh Helper DLL
- System Location Discovery: System Language Discovery
PID:4276
-
-
C:\Windows\SysWOW64\netsh.exenetsh firewall add allowedprogram "C:\Users\Admin\AppData\Local\Temp\воздушный членик.exe" "воздушный членик.exe" ENABLE2⤵
- Modifies Windows Firewall
- Event Triggered Execution: Netsh Helper DLL
- System Location Discovery: System Language Discovery
PID:5088
-