Analysis
- max time kernel
149s - max time network
151s - platform
windows10-2004_x64 - resource
win10v2004-20260513-en - resource tags
arch:x64arch:x86image:win10v2004-20260513-enlocale:en-usos:windows10-2004-x64systemwindows - submitted
02/06/2026, 04:24
Behavioral task
behavioral1
Sample
tmpmrgoj81x.exe
Resource
win10ltsc2021-20260513-en
Behavioral task
behavioral2
Sample
tmpmrgoj81x.exe
Resource
win10v2004-20260513-en
General
- Target tmpmrgoj81x.exe
- Size 257KB
- Sample260602-e1wcnadx51
- SHA256 c4279c7f1bdcebe5a1ad08d1603f7839fae5a728f35049e7cfb55ba8b3be804c
- MD5 25836304d2b72a93f0d4cef4cc919379
- SHA1 78c3a6e311cc00f7722f790754bbcd1d696bbc6f
- SHA512 0c89697537163598272bfd31a12a9f211ab31f4c591a3be6b01881e5e2b12b0a693b819aa9f6dad9c4532ed8b739110a0381ebbaf5428bde2f68269df44a80b8
- SSDEEP 6144:PgiD9CmFlaRUdduv9sZIUlfxryHfvau9hHoyrnETB2ebz:t9C3N2ZIUl4/njr8B2Yz
- TLSH T1614412262A111AC7C4980530E95FD9D5B7BCA8670B41173D6E0CF9F36FA36812BE16AC
- MD5 SHA1 SHA512 SSDEEP TLSH
Malware Config
Extracted
-
simda
-
dga
cihunemyror.eu
digivehusyd.eu
vofozymufok.eu
fodakyhijyv.eu
nopegymozow.eu
gatedyhavyd.eu
marytymenok.eu
jewuqyjywyv.eu
qeqinuqypoq.eu
kemocujufys.eu
rynazuqihoj.eu
lyvejujolec.eu
tucyguqaciq.eu
xuxusujenes.eu
puzutuqeqij.eu
ciliqikytec.eu
dikoniwudim.eu
vojacikigep.eu
fogeliwokih.eu
nofyjikoxex.eu
gadufiwabim.eu
masisokemep.eu
jepororyrih.eu
qetoqolusex.eu
keraborigin.eu
ryqecolijet.eu
lymylorozig.eu
tunujolavez.eu
xubifaremin.eu
puvopalywet.eu
cicaratupig.eu
dixemazufel.eu
volebatijub.eu
fokyxazolar.eu
nojuletacuf.eu
gahihezenal.eu
magofetequb.eu
jefapexytar.eu
qederepuduf.eu
kepymexihak.eu
rytuvepokuv.eu
lyruxyxaxaw.eu
tuwikypabud.eu
xuqohyxeqak.eu
pumadypyruv.eu
cinepycusaw.eu
divywysigud.eu
vocumucokaj.eu
foxivusozuc.eu
nozoxucavaq.eu
galokusemus.eu
makagucyraj.eu
jejedudupuc.eu
qegytuvufoq.eu
kefuwidijyp.eu
rydinivoloh.eu
lysovidacyx.eu
tupazivenom.eu
xutekidywyp.eu
puregivytoh.eu
ciqydofudyx.eu
dimutobihom.eu
voniqofolyt.eu
fobonobaxog.eu
novacofebyz.eu
gacezobeqon.eu
maxyjofytyt.eu
jeluganusog.eu
qekusagigyz.eu
kejitanokon.eu
ryhoqagoxyr.eu
lygananavof.eu
tufecagemyl.eu
xudylenyrob.eu
pupujeguper.eu
citifemifif.eu
dirosehijel.eu
voworemoziv.eu
foqaqehacew.eu
nomebemenid.eu
ganycyhywek.eu
mavulymupiv.eu
jecijyjudew.eu
qexofyqihid.eu
kezapyjolek.eu
ryleryqacic.eu
lykemujebeq.eu
tujybuqeqis.eu
xuguxujytej.eu
pufiluqudic.eu
cidohukigeq.eu
disafuwokis.eu
vopepukaxej.eu
fotyriwavix.eu
norumikemem.eu
gaquviwyrup.eu
mamixikusah.eu
jenokirifux.eu
qebahilojam.eu
kevedorozup.eu
rycypolavag.eu
lyxuworenuz.eu
tulimolywan.eu
xukovoruput.eu
pujoxolufag.eu
cihakotihuz.eu
digegazolan.eu
vofydatacut.eu
fodutazenaf.eu
nopiwatyqul.eu
gatonazytab.eu
maravatudur.eu
jewezexigaf.eu
qeqekepokul.eu
kemygexaxab.eu
rynudepebur.eu
lyvitexemod.eu
tucoqepyryk.eu
xuxanexusov.eu
puzecypigyw.eu
cilyzycojod.eu
dikujysozyk.eu
vojugycavov.eu
fogisysemyq.eu
nofotycywos.eu
gadaqusupyj.eu
masenucifoc.eu
jepycudijyq.eu
qetuluvolos.eu
kerijudacyj.eu
ryqofuvenoc.eu
lymosudyqym.eu
tunarivutop.eu
xubeqidudyh.eu
puvybivihox.eu
cicucifokym.eu
dixilibaxop.eu
volojifebeh.eu
fokafobeqix.eu
nojepofyren.eu
gaherobusit.eu
magymofigeg.eu
jefubonokiz.eu
qedixogazen.eu
kepolonavit.eu
rytahagemeg.eu
lyrefanyril.eu
tuwypagupeb.eu
xuquranifir.eu
pumumagojef.eu
cinivamolil.eu
divoxehaceb.eu
vocakemenir.eu
foxehehywef.eu
nozydemutik.eu
galupehudev.eu
makiwemihiw.eu
jejomejoled.eu
qegovyqaxuk.eu
kefaxyjebav.eu
rydekyqyquw.eu
lysygyjytad.eu
tupudyqusuj.eu
xutityjigac.eu
purowuqokuq.eu
ciqanukaxas.eu
dimevuwevuj.eu
vonezukemac.eu
fobykuwyruq.eu
novugukupap.eu
gaciduwifuh.eu
maxotikojax.eu
jelaqirozum.eu
qekenilacap.eu
kejycirenuh.eu
ryhuzilywax.eu
lygujirupum.eu
tufigolidat.eu
xudosorihug.eu
pupatololoz.eu
citeqotacyn.eu
dirynozebot.eu
vowucotyqyg.eu
foqilozutoz.eu
nomojatudyn.eu
ganofazigor.eu
mavasatokyf.eu
jeceraxaxol.eu
qexyqapevyb.eu
kezubaxemor.eu
rylicepyryf.eu
lykolexusol.eu
tujajepifyv.eu
xugefexojow.eu
pufepepazyd.eu
cidyrecavok.eu
disumesenyv.eu
vopibycywow.eu
fotoxysupyd.eu
noralycifok.eu
gaqehysohec.eu
mamyfycoliq.eu
jenupydaces.eu
qeburuvenij.eu
kevimudyqec.eu
rycovuvutiq.eu
lyxaxududes.eu
tulekuvigij.eu
xukyhudokex.eu
pujuduvaxim.eu
cihipifebep.eu
digowibymih.eu
vofomifyrex.eu
fodavibusim.eu
nopexifigep.eu
gatykibojig.eu
marugofazez.eu
jewidonevin.eu
qeqotogemet.eu
kemawonywig.eu
rynenogupez.eu
lyvevonifun.eu
tucyzogojat.eu
xuxukanoluf.eu
puzigagacal.eu
cilodamenub.eu
dikatahyqar.eu
vojeqamutuf.eu
fogynahidal.eu
nofucemihub.eu
gaduzehokar.eu
masijemaxud.eu
jepogejebak.eu
qetaseqyquv.eu
keretejuraw.eu
ryqyqequsud.eu
lymunyjigak.eu
tunicyqokuv.eu
xubolyjazaq.eu
puvojyqevus.eu
cicafykemaj.eu
dixesywyruc.eu
volyrukupoq.eu
fokuquwifys.eu
nojibukojoj.eu
gahocuwalyc.eu
magalukacom.eu
jefejurenyp.eu
qedefulywoh.eu
kepypirutyx.eu
ryturilidom.eu
lyrimirohyp.eu
tuwobiloloh.eu
xuqaxiraxyx.eu
pumelilebon.eu
cinyhotyqyt.eu
divufozutog.eu
vocupotusyz.eu
foxirozigon.eu
nozomotokyt.eu
galavozaxog.eu
makexotevyl.eu
jejykaxymob.eu
qeguhapyrer.eu
kefidaxupif.eu
rydopapifel.eu
lysowaxojib.eu
tupamapazer.eu
xutevexecif.eu
puryxepenek.eu
ciqukecywiv.eu
dimigesupew.eu
vonodecidid.eu
fobatesohek.eu
novewecoliv.eu
gacenysacew.eu
maxyvycebid.eu
jeluzydyqej.eu
qekikyvutic.eu
kejogydideq.eu
ryhadyvigis.eu
lygetudokej.eu
tufyquvaxic.eu
xudunudeveq.eu
pupucuvymup.eu
citizufurah.eu
dirojubusux.eu
vowagufifam.eu
foqesibojup.eu
nomytifazah.eu
ganuqibevux.eu
mavinifenam.eu
jecocinywut.eu
qexoligupag.eu
kezajonifuz.eu
rylefogohan.eu
lykysonalut.eu
tujurogacag.eu
xugiqonenuz.eu
pufobogyqan.eu
cidacomutur.eu
diselahidaf.eu
vopejamogul.eu
fotyfahokab.eu
norupamaxur.eu
gaqirahebof.eu
mamomamymyl.eu
jenabejurov.eu
qebexequsyw.eu
kevylejigod.eu
rycuheqojyk.eu
lyxufejazov.eu
tulipeqevyw.eu
xukorejymod.eu
pujamyqywyk.eu
cihevykupoc.eu
digyxywifyq.eu
vofukykojos.eu
fodihywalyj.eu
nopodykecoc.eu
gatopuwenyq.eu
marawukyqos.eu
jewemurutyj.eu
qeqyvulidox.eu
kemuxurohym.eu
rynikulokop.eu
lyvoguraxeh.eu
tucadilebix.eu
xuxetiryqem.eu
puzewilurip.eu
cilynitiseg.eu
dikuvizigiz.eu
vojizitoken.eu
fogokozazit.eu
nofagoteveg.eu
gadedozymiz.eu
masytoturen.eu
jepuqoxupit.eu
qetunopifef.eu
kericoxojil.eu
ryqozapaleb.eu
lymajaxecir.eu
tunegapenef.eu
xubysaxywil.eu
puvutaputeb.eu
ciciqacidir.eu
dixonesohed.eu
volocecaluk.eu
fokalesaxav.eu
nojejecebuw.eu
gahyfesyqad.eu
magusecutuk.eu
jefiredisav.eu
qedoqyvoguq.eu
kepabydokas.eu
rytecyvaxuj.eu
lyrelydevac.eu
tuwyjyvymuq.eu
xuqufyduras.eu
pumipuvupuj.eu
cinorufifac.eu
divamubojum.eu
vocebufazap.eu
foxyxubecuh.eu
nozulufynax.eu
galuhubywum.eu
makififupap.eu
jejopiniduh.eu
qegarigohox.eu
kefeminalyn.eu
rydyvigecot.eu
lysuxinebyg.eu
tupikogyqoz.eu
xutohonutyn.eu
purodogidot.eu
ciqapomogyg.eu
dimewohokol.eu
vonymomaxyb.eu
fobuvohevor.eu
novixamymyf.eu
gacokahurol.eu
maxagamisyb.eu
jeledajifor.eu
qeketaqojyf.eu
kejywajazok.eu
ryhuneqevyv.eu
lygivejynow.eu
tufozequwyd.eu
xudakejupok.eu
pupegeqifev.eu
citydekohiw.eu
dirutewaled.eu
vowuqykecij.eu
foqinywenec.eu
nomocykyqiq.eu
ganazywutes.eu
mavejykidij.eu
jecygyrogec.eu
qexusulakiq.eu
kezituraxep.eu
ryloqulebih.eu
lykonurymex.eu
tujaculurim.eu
xugelurisep.eu
pufyjulogih.eu
cidufitojex.eu
disisizazim.eu
voporitevet.eu
fotaqizymig.eu
norebituwez.eu
gaqecizupun.eu
mamylotifat.eu
jenujoxojug.eu
qebifopalaz.eu
kevopoxecun.eu
rycaropynar.eu
lyxemoxyquf.eu
tulyboputal.eu
xukuxaxidub.eu
pujulapohar.eu
cihihacakuf.eu
digofasexal.eu
vofapacebuv.eu
foderasyqaw.eu
nopymecurud.eu
gatuvesisak.eu
marixecoguv.eu
jewokedokaw.eu
qeqohevazud.eu
kemadedevak.eu
rynepevymuc.eu
lyvywyduroq.eu
tucumyvipys.eu
xuxivydifoj.eu
puzoxyvojyc.eu
cilakyfaloq.eu
dikegybecys.eu
vojedufynoj.eu
fogytubuwyx.eu
nofuwufutom.eu
gadinubidyp.eu
masovufohoh.eu
jepazunalyx.eu
qetekugexom.eu
keryginebyp.eu
ryqudigyqog.eu
lymutinutyz.eu
tuniqigison.eu
xuboninogyt.eu
puvacigakog.eu
cicezomaxyz.eu
dixyjohevon.eu
volugomymet.eu
fokisohurif.eu
nojotomipel.eu
gahoqohofib.eu
maganomojer.eu
jefecajazif.eu
qedylaqecel.eu
kepujajynib.eu
rytifaquwer.eu
lyrosajupid.eu
tuwaraqidek.eu
xuqeqejohiv.eu
pumebeqalew.eu
cinycekecid.eu
divulewybek.eu
vocijekyqiv.eu
foxofewuteq.eu
nozapekidis.eu
galerywogej.eu
makymykakic.eu
jejubyrexeq.eu
qeguxylevus.eu
kefilyrymaj.eu
rydohyluruc.eu
lysafurisam.eu
tupepulofup.eu
xutyrurojah.eu
purumulazux.eu
ciqivutevam.eu
dimoxuzynup.eu
vonokutuwah.eu
fobahizipux.eu
noveditifan.eu
gacypizohut.eu
maxuwitalag.eu
jelimixecuz.eu
qekovipynan.eu
kejaxoxuqut.eu
ryhekoputag.eu
lygegoxidul.eu
tufydopogab.eu
xudutoxakur.eu
pupiwopexof.eu
citonocebyl.eu
diravasymob.eu
vowezacuryr.eu
foqykasisof.eu
nomugacogyk.eu
ganudasajov.eu
mavitacazyw.eu
jecoqedevod.eu
qexanevymyk.eu
kezeceduwov.eu
rylyzevipyw.eu
lykujedofod.eu
tujigevojyj.eu
xugosedaloc.eu
pufotyvecyq.eu
cidaqyfynos.eu
disenybuqyj.eu
vopycyfutoc.eu
fotulybidyq.eu
norijyfohop.eu
gaqofubakeh.eu
mamasufexix.eu
jenerunybem.eu
qebequgyqip.eu
kevybunureh.eu
rycucugisix.eu
lyxilunogem.eu
tulojigakit.eu
xukafinezeg.eu
pujepigeviz.eu
cihyrimymen.eu
digumihurit.eu
vofubimipeg.eu
fodixohofiz.eu
nopolomojen.eu
gatahohalir.eu
marefomecef.eu
jewypojynil.eu
qequroquweb.eu
kemimojitir.eu
rynovaqidef.eu
lyvoxajohul.eu
tucakaqalav.eu
xuxehajexuw.eu
puzydaqybad.eu
cilupakuquk.eu
dikiwewutav.eu
vojomekisuw.eu
fogavewogad.eu
nofexekakuk.eu
gadekewexac.eu
masygekevuq.eu
jepuderymas.eu
qetityluruj.eu
kerowyripac.eu
ryqanylofuq.eu
lymevyrajas.eu
tunyzylazuj.eu
xubukyrecax.eu
puvugulynum.eu
cicidutuwap.eu
dixotuzipuh.eu
volaqutodox.eu
fokenuzohym.eu
nojycutalop.eu
gahuzuzecyg.eu
magijityboz.eu
jefogixuqyn.eu
qedosiputot.eu
kepatixidyg.eu
ryteqipogoz.eu
lyrynixakyn.eu
tuwucopexot.eu
xuqiloxyvyf.eu
pumojopymol.eu
cinafocuryb.eu
divesosisor.eu
vocerocofyf.eu
foxyqosajol.eu
nozubacezyb.eu
galicasevor.eu
makolacynyd.eu
jejajaduwok.eu
qegefavipev.eu
kefypadofiw.eu
rydurevohed.eu
lysumedalik.eu
tupibevecev.eu
xutoxedyniq.eu
puralevuqes.eu
ciqehefitij.eu
dimyfebidec.eu
vonupyfogiq.eu
fobirybakes.eu
novomyfexij.eu
gacovybybec.eu
maxaxyfumim.eu
jelekynurep.eu
qekyhugisih.eu
kejudunogex.eu
ryhipugajim.eu
lygowunezep.eu
tufamugevih.eu
xudevunymex.eu
pupexuguwun.eu
citykimipat.eu
dirugihofug.eu
vowidimajaz.eu
foqotihalun.eu
nomawimecat.eu
ganenihynug.eu
mavyvomuqal.eu
jecuzojitub.eu
qexukoqodar.eu
kezigojohuf.eu
rylodoqakal.eu
lykatojexub.eu
tujeqoqybar.eu
xugynajuquf.eu
pufucaqurak.eu
cidizakisuv.eu
disojawogaw.eu
vopogakakud.eu
fotasawezak.eu
noretekyvuv.eu
gaqyqewymow.eu
mamunekuryd.eu
jeniceripoj.eu
qebolelofyc.eu
kevajerajoq.eu
rycefelelys.eu
lyxesyrecoj.eu
tulyrylynyc.eu
xukuqyruwoq.eu
pujibylityp.eu
cihocytodoh.eu
digalyzohyx.eu
vofejutalom.eu
fodyfuzexyp.eu
nopuputyboh.eu
gaturuzuqyx.eu
marimutitom.eu
jewobuxisyt.eu
qeqaxupogog.eu
kemelixakyz.eu
rynyhipexon.eu
lyvufixyvet.eu
tucipipumig.eu
xuxorixurez.eu
puzomipipin.eu
cilavocofer.eu
dikexosajif.eu
vojykocezel.eu
foguhosecib.eu
nofidocyner.eu
gadoposuwif.eu
masawocipel.eu
jepemadodiv.eu
qetevavahew.eu
keryxadalid.eu
ryqukavecek.eu
lymigadybiv.eu
tunodavuqew.eu
xubateditid.eu
puvewevodek.eu
cicynefogic.eu
dixuvebakeq.eu
voluzefexus.eu
fokikebyvaj.eu
nojogefumuc.eu
gahadyburaq.eu
magetyfisus.eu
jefyqynofaj.eu
qedunygajux.eu
kepicynezam.eu
rytozygyvup.eu
lyrojunynah.eu
tuwaguguwux.eu
xuqesunipam.eu
pumytugofup.eu
cinuqumahag.eu
divinuheluz.eu
vococumecan.eu
foxalihynut.eu
nozejimuqag.eu
galefihituz.eu
makysimodan.eu
jejurijogut.eu
qegiqiqakof.eu
kefobojexyl.eu
rydacoqybob.eu
lyselojumyr.eu
tupyjoqirof.eu
xutufojisyl.eu
purupoqogob.eu
ciqirokajyr.eu
dimomawezod.eu
vonabakyvyk.eu
fobexawumov.eu
novylakuwyw.eu
gacuhawipod.eu
maxifakofyk.eu
jeloperajov.eu
qekorelelyq.eu
kejamerecos.eu
ryhevelynyj.eu
lygyxeruqoc.eu
tufukelityq.eu
xudiherodos.eu
pupodylahej.eu
citapytakic.eu
direwyzexem.eu
vowemytybip.eu
foqyvyzuqeh.eu
nomuxytirix.eu
ganikuzosem.eu
mavogutogip.eu
jecaduxakeh.eu
qexetupezix.eu
kezywuxyven.eu
rylunupumit.eu
lykuvuxureg.eu
tujizipipiz.eu
xugokixofen.eu
pufagipajit.eu
cidediceleg.eu
disytisycil.eu
vopuqicyneb.eu
fotinosuwir.eu
norococitef.eu
gaqozosodul.eu
mamajocahab.eu
jenegodelur.eu
qebysovexaf.eu
kevutodybuk.eu
ryciqavuqav.eu
lyxonadituw.eu
tulacavosad.eu
xukeladoguk.eu
pujejavakav.eu
cihyfafexuw.eu
digusebyvad.eu
vofirefumuj.eu
fodoqebirac.eu
nopabefipuq.eu
gatecebofas.eu
marylefajuj.eu
jewujenezac.eu
qequfygycuq.eu
kemipynunap.eu
rynoryguwuh.eu
lyvamynipox.eu
tucebygodym.eu
xuxyxynahop.eu
puzulugelyh.eu
cilihumecox.eu
dikofuhybym.eu
vojopumuqot.eu
fogaruhityg.eu
nofemumodoz.eu
gadyvuhagyn.eu
masuximakot.eu
jepikijexyg.eu
qetohiqyvoz.eu
keradijumyn.eu
ryqepiqiror.eu
lymewijosyf.eu
tunymoqofol.eu
xubuvojajyb.eu
puvixoqezor.eu
cicokokyvyf.eu
dixagowunol.eu
voledokuwev.eu
fokytowipiw.eu
nojuwakofed.eu
gahunawahik.eu
magivakelev.eu
jefozaryciw.eu
qedakalyned.eu
kepegaruqik.eu
rytydelitec.eu
lyruterodiq.eu
tuwiqelages.eu
xuqonerekij.eu
pumocelexec.eu
cinazetybiq.eu
divejezumes.eu
vocygytirij.eu
foxusyzosex.eu
nozitytogim.eu
galoqyzajep.eu
makanytezih.eu
jejecyxyvex.eu
qegelupumum.eu
kefyjuxiwap.eu
rydufupipug.eu
lysisuxofaz.eu
tuporupajun.eu
xutaquxelat.eu
purebupycug.eu
ciqycicunaz.eu
dimulisuqun.eu
vonujicitat.eu
fobifisoduf.eu
novopicahal.eu
gacarisekub.eu
maxemocexar.eu
jelybodybuf.eu
qekuxovuqal.eu
kejilodirub.eu
ryhohovosar.eu
lygofodagud.eu
tufapovakak.eu
xuderadezuv.eu
pupymavyvow.eu
cituvafumyd.eu
dirixabirok.eu
vowokafopyv.eu
foqahabofoq.eu
nomedefajys.eu
ganepebeloj.eu
mavywefycyc.eu
jecumenunoq.eu
qexiveguwys.eu
kezoxenitoj.eu
rylakegodyc.eu
lykegynahom.eu
tujydygelyp.eu
xugutynyxoh.eu
pufuwygybyx.eu
cidinymuqom.eu
disovyhityp.eu
vopazumosoh.eu
fotekuhagyx.eu
norygumekon.eu
gaquduhexet.eu
mamitumyvig.eu
jenoqujumez.eu
qebonuqirin.eu
kevacijopet.eu
ryceziqofig.eu
lyxyjijajel.eu
tulugiqezib.eu
xukisijycer.eu
pujotiqunif.eu
cihaqokiwel.eu
digenowipib.eu
vofecokoder.eu
fodylowahif.eu
nopujokelek.eu
gatifowyciv.eu
marosokubew.eu
jewararuqid.eu
qeqeqalitek.eu
kemybarodiv.eu
rynucalagew.eu
lyvularekud.eu
tucijalexaj.eu
xuxoferyvuc.eu
puzapelumaq.eu
cileretirus.eu
dikymezosaj.eu
vojubetafuc.eu
fogixezajaq.eu
nofoletezup.eu
gadohyzyvah.eu
masafytunux.eu
jepepyxiwam.eu
qetyrypopup.eu
kerumyxofah.eu
ryqivypahux.eu
lymoxuxelam.eu
tunakupycut.eu
xubehuxunag.eu
puvedupuquz.eu
cicypucitan.eu
dixuwusodut.eu
volimucagog.eu
fokovisekyz.eu
nojaxicyxon.eu
gahekisybyr.eu
magygicumof.eu
jefudidiryl.eu
qedutivosob.eu
kepiwodagyr.eu
rytonovejof.eu
lyravodezyl.eu
tuwezovyvov.eu
xuqykodumyw.eu
pumugoviwod.eu
cinidofopyk.eu
divotabofov.eu
vocoqafajyw.eu
foxanabelod.eu
nozecafycyk.eu
galyzabunoc.eu
makujafiqyq.eu
jejigenitos.eu
qegosegodej.eu
kefatenahic.eu
rydeqegekeq.eu
lysenenyxis.eu
tupycegubej.eu
xutulenuqix.eu
purijygirem.eu
ciqofymosip.eu
dimasyhageh.eu
vonerymekix.eu
fobyqyhezem.eu
novubymyvip.eu
gacucuhumeg.eu
maxilumiriz.eu
jelojujopen.eu
qekafuqafit.eu
kejepujajeg.eu
ryhyruqeliz.eu
lygumujycen.eu
tufibiqunit.eu
xudoxijiwef.eu
pupoliqotul.eu
citahikodab.eu
direfiwahur.eu
vowypikelaf.eu
foqurowyxul.eu
nomimokubab.eu
ganovowuqur.eu
mavaxokitad.eu
jecekorosuk.eu
qexeholagav.eu
kezydorekuw.eu
rylupalyxad.eu
lykiwaryvuk.eu
tujomalumav.eu
xugavariruq.eu
pufexalopas.eu
cidykatafuj.eu
disugezejac.eu
vopudetezuq.eu
fotitezycas.eu
norowetunuj.eu
gaqaneziwoc.eu
mamevetopym.eu
jenyzexodop.eu
qebukypahyh.eu
kevigyxelox.eu
rycodypycym.eu
lyxotyxubop.eu
tulaqypiqyh.eu
xukenyxitox.eu
pujycupodyn.eu
cihuzucagot.eu
digijusekyg.eu
vofogucyxoz.eu
fodasusuvyn.eu
nopetucumot.eu
gatequsiryg.eu
marynicosol.eu
jewucidafyb.eu
qeqilivejor.eu
kemojidezyf.eu
rynafivyvol.eu
lyvesiduneb.eu
tucyroviwir.eu
xuxuqodopef.eu
puzubovafik.eu
cilicofahev.eu
dikolobeliw.eu
vojajofyced.eu
fogefobunik.eu
nofypafiqev.eu
gadurabotiw.eu
masimafoded.eu
jepobanagij.eu
qetoxagekec.eu
keralanyxiq.eu
ryqehegubes.eu
lymyfenumij.eu
tunupegirec.eu
xubirenosiq.eu
puvomegagep.eu
cicavemejih.eu
dixexehyzex.eu
volekymyvum.eu
fokyhyhumap.eu
nojudymiwuh.eu
gahipyhopax.eu
magowymafum.eu
jefamyjejat.eu
qedevuqelug.eu
kepyxujycaz.eu
rytukuqunun.eu
lyrugujiqat.eu
tuwiduqotug.eu
xuqotujodaz.eu
pumawuqahun.eu
cinenikekar.eu
divyviwyxuf.eu
vocuzikubal.eu
foxikiwiqub.eu
nozogikirar.eu
galodiwosuf.eu
makatokagal.eu
jejeqorekuv.eu
qegynolyzow.eu
kefucoruvyd.eu
Signatures
- Modifies WinLogon for persistence 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit = "C:\\Windows\\system32\\userinit.exe,C:\\Users\\Admin\\AppData\\Local\\Temp\\TMPMRG~1.EXE," tmpmrgoj81x.exe - Adds Run key to start application 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-2370214745-1838013427-2987045292-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\userinit = "C:\\Users\\Admin\\AppData\\Local\\Temp\\TMPMRG~1.EXE" tmpmrgoj81x.exe - Creates a large amount of network flows 1 TTPs
This may indicate a network scan to discover remotely running services.
- Modifies WinLogon 2 TTPs 2 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\9a0ebac9 = "›ŒB“Fƒ" tmpmrgoj81x.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System = "C:\\Users\\Admin\\AppData\\Local\\Temp\\TMPMRG~1.EXE" tmpmrgoj81x.exe - Drops file in System32 directory 1 IoCs
description ioc Process File opened for modification C:\Windows\SysWOW64\mwyvssjqzfqfvgvyvajr tmpmrgoj81x.exe -
resource yara_rule behavioral2/memory/3336-0-0x0000000000400000-0x000000000054D000-memory.dmp upx - System Location Discovery: System Language Discovery 1 TTPs 2 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language tmpmrgoj81x.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language tmpmrgoj81x.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe 3336 tmpmrgoj81x.exe - Suspicious use of AdjustPrivilegeToken 5 IoCs
description pid Process Token: SeSecurityPrivilege 3336 tmpmrgoj81x.exe Token: SeSecurityPrivilege 3336 tmpmrgoj81x.exe Token: SeSecurityPrivilege 3336 tmpmrgoj81x.exe Token: SeSecurityPrivilege 3336 tmpmrgoj81x.exe Token: SeSecurityPrivilege 4240 tmpmrgoj81x.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\tmpmrgoj81x.exe"C:\Users\Admin\AppData\Local\Temp\tmpmrgoj81x.exe"1⤵
- Modifies WinLogon for persistence
- Adds Run key to start application
- Modifies WinLogon
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:3336
-
C:\Users\Admin\AppData\Local\Temp\tmpmrgoj81x.exeC:\Users\Admin\AppData\Local\Temp\TMPMRG~1.EXE1⤵
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Suspicious use of AdjustPrivilegeToken
PID:4240
Network
MITRE ATT&CK Enterprise v16
Persistence
Boot or Logon Autostart Execution
3Registry Run Keys / Startup Folder
1Winlogon Helper DLL
2Privilege Escalation
Boot or Logon Autostart Execution
3Registry Run Keys / Startup Folder
1Winlogon Helper DLL
2