Analysis
- max time kernel
149s - max time network
150s - platform
windows10-2004_x64 - resource
win10v2004-20260513-en - resource tags
arch:x64arch:x86image:win10v2004-20260513-enlocale:en-usos:windows10-2004-x64systemwindows - submitted
02/06/2026, 04:48
Static task
static1
Behavioral task
behavioral1
Sample
tmpab7aztpj.exe
Resource
win10ltsc2021-20260513-en
Behavioral task
behavioral2
Sample
tmpab7aztpj.exe
Resource
win10v2004-20260513-en
Behavioral task
behavioral3
Sample
tmpab7aztpj.exe
Resource
win11-20260513-en
General
- Target tmpab7aztpj.exe
- Size 254KB
- Sample260602-ffe1lsdy61
- SHA256 557882f400e69f505471263300390961df62255dc1ada499fa3be5b5192f22f3
- MD5 0a4d00d6b3f4e24db0e02b71f654ca44
- SHA1 173d7f4f10b334aaf573588f2e676d2de3cbf5e7
- SHA512 80563fa8e4178df79060110473eba222d6c3ccf0d06bbb1ae9cf04fa5c53b833b2f073224c845931ab93d64d79b48ffdef2026b79fc196e3eca1046bb9d39d19
- SSDEEP 6144:IlHRK6RZ/LuFzEDTMZZfIZXNjNsRJNaNWx0IKaZhWZKln10j:IlHg63/LuAMQjsNaIxNTZhCA10j
- TLSH T1B8441363B30AED66E13C16B88CA3082403BB47A4660F576B585C1CB666AF3534F1EDDC
- MD5 SHA1 SHA512 SSDEEP TLSH
Malware Config
Extracted
-
simda
-
dga
cihunemyror.eu
digivehusyd.eu
vofozymufok.eu
fodakyhijyv.eu
nopegymozow.eu
gatedyhavyd.eu
marytymenok.eu
jewuqyjywyv.eu
qeqinuqypoq.eu
kemocujufys.eu
rynazuqihoj.eu
lyvejujolec.eu
tucyguqaciq.eu
xuxusujenes.eu
puzutuqeqij.eu
ciliqikytec.eu
dikoniwudim.eu
vojacikigep.eu
fogeliwokih.eu
nofyjikoxex.eu
gadufiwabim.eu
masisokemep.eu
jepororyrih.eu
qetoqolusex.eu
keraborigin.eu
ryqecolijet.eu
lymylorozig.eu
tunujolavez.eu
xubifaremin.eu
puvopalywet.eu
cicaratupig.eu
dixemazufel.eu
volebatijub.eu
fokyxazolar.eu
nojuletacuf.eu
gahihezenal.eu
magofetequb.eu
jefapexytar.eu
qederepuduf.eu
kepymexihak.eu
rytuvepokuv.eu
lyruxyxaxaw.eu
tuwikypabud.eu
xuqohyxeqak.eu
pumadypyruv.eu
cinepycusaw.eu
divywysigud.eu
vocumucokaj.eu
foxivusozuc.eu
nozoxucavaq.eu
galokusemus.eu
makagucyraj.eu
jejedudupuc.eu
qegytuvufoq.eu
kefuwidijyp.eu
rydinivoloh.eu
lysovidacyx.eu
tupazivenom.eu
xutekidywyp.eu
puregivytoh.eu
ciqydofudyx.eu
dimutobihom.eu
voniqofolyt.eu
fobonobaxog.eu
novacofebyz.eu
gacezobeqon.eu
maxyjofytyt.eu
jeluganusog.eu
qekusagigyz.eu
kejitanokon.eu
ryhoqagoxyr.eu
lygananavof.eu
tufecagemyl.eu
xudylenyrob.eu
pupujeguper.eu
citifemifif.eu
dirosehijel.eu
voworemoziv.eu
foqaqehacew.eu
nomebemenid.eu
ganycyhywek.eu
mavulymupiv.eu
jecijyjudew.eu
qexofyqihid.eu
kezapyjolek.eu
ryleryqacic.eu
lykemujebeq.eu
tujybuqeqis.eu
xuguxujytej.eu
pufiluqudic.eu
cidohukigeq.eu
disafuwokis.eu
vopepukaxej.eu
fotyriwavix.eu
norumikemem.eu
gaquviwyrup.eu
mamixikusah.eu
jenokirifux.eu
qebahilojam.eu
kevedorozup.eu
rycypolavag.eu
lyxuworenuz.eu
tulimolywan.eu
xukovoruput.eu
pujoxolufag.eu
cihakotihuz.eu
digegazolan.eu
vofydatacut.eu
fodutazenaf.eu
nopiwatyqul.eu
gatonazytab.eu
maravatudur.eu
jewezexigaf.eu
qeqekepokul.eu
kemygexaxab.eu
rynudepebur.eu
lyvitexemod.eu
tucoqepyryk.eu
xuxanexusov.eu
puzecypigyw.eu
cilyzycojod.eu
dikujysozyk.eu
vojugycavov.eu
fogisysemyq.eu
nofotycywos.eu
gadaqusupyj.eu
masenucifoc.eu
jepycudijyq.eu
qetuluvolos.eu
kerijudacyj.eu
ryqofuvenoc.eu
lymosudyqym.eu
tunarivutop.eu
xubeqidudyh.eu
puvybivihox.eu
cicucifokym.eu
dixilibaxop.eu
volojifebeh.eu
fokafobeqix.eu
nojepofyren.eu
gaherobusit.eu
magymofigeg.eu
jefubonokiz.eu
qedixogazen.eu
kepolonavit.eu
rytahagemeg.eu
lyrefanyril.eu
tuwypagupeb.eu
xuquranifir.eu
pumumagojef.eu
cinivamolil.eu
divoxehaceb.eu
vocakemenir.eu
foxehehywef.eu
nozydemutik.eu
galupehudev.eu
makiwemihiw.eu
jejomejoled.eu
qegovyqaxuk.eu
kefaxyjebav.eu
rydekyqyquw.eu
lysygyjytad.eu
tupudyqusuj.eu
xutityjigac.eu
purowuqokuq.eu
ciqanukaxas.eu
dimevuwevuj.eu
vonezukemac.eu
fobykuwyruq.eu
novugukupap.eu
gaciduwifuh.eu
maxotikojax.eu
jelaqirozum.eu
qekenilacap.eu
kejycirenuh.eu
ryhuzilywax.eu
lygujirupum.eu
tufigolidat.eu
xudosorihug.eu
pupatololoz.eu
citeqotacyn.eu
dirynozebot.eu
vowucotyqyg.eu
foqilozutoz.eu
nomojatudyn.eu
ganofazigor.eu
mavasatokyf.eu
jeceraxaxol.eu
qexyqapevyb.eu
kezubaxemor.eu
rylicepyryf.eu
lykolexusol.eu
tujajepifyv.eu
xugefexojow.eu
pufepepazyd.eu
cidyrecavok.eu
disumesenyv.eu
vopibycywow.eu
fotoxysupyd.eu
noralycifok.eu
gaqehysohec.eu
mamyfycoliq.eu
jenupydaces.eu
qeburuvenij.eu
kevimudyqec.eu
rycovuvutiq.eu
lyxaxududes.eu
tulekuvigij.eu
xukyhudokex.eu
pujuduvaxim.eu
cihipifebep.eu
digowibymih.eu
vofomifyrex.eu
fodavibusim.eu
nopexifigep.eu
gatykibojig.eu
marugofazez.eu
jewidonevin.eu
qeqotogemet.eu
kemawonywig.eu
rynenogupez.eu
lyvevonifun.eu
tucyzogojat.eu
xuxukanoluf.eu
puzigagacal.eu
cilodamenub.eu
dikatahyqar.eu
vojeqamutuf.eu
fogynahidal.eu
nofucemihub.eu
gaduzehokar.eu
masijemaxud.eu
jepogejebak.eu
qetaseqyquv.eu
keretejuraw.eu
ryqyqequsud.eu
lymunyjigak.eu
tunicyqokuv.eu
xubolyjazaq.eu
puvojyqevus.eu
cicafykemaj.eu
dixesywyruc.eu
volyrukupoq.eu
fokuquwifys.eu
nojibukojoj.eu
gahocuwalyc.eu
magalukacom.eu
jefejurenyp.eu
qedefulywoh.eu
kepypirutyx.eu
ryturilidom.eu
lyrimirohyp.eu
tuwobiloloh.eu
xuqaxiraxyx.eu
pumelilebon.eu
cinyhotyqyt.eu
divufozutog.eu
vocupotusyz.eu
foxirozigon.eu
nozomotokyt.eu
galavozaxog.eu
makexotevyl.eu
jejykaxymob.eu
qeguhapyrer.eu
kefidaxupif.eu
rydopapifel.eu
lysowaxojib.eu
tupamapazer.eu
xutevexecif.eu
puryxepenek.eu
ciqukecywiv.eu
dimigesupew.eu
vonodecidid.eu
fobatesohek.eu
novewecoliv.eu
gacenysacew.eu
maxyvycebid.eu
jeluzydyqej.eu
qekikyvutic.eu
kejogydideq.eu
ryhadyvigis.eu
lygetudokej.eu
tufyquvaxic.eu
xudunudeveq.eu
pupucuvymup.eu
citizufurah.eu
dirojubusux.eu
vowagufifam.eu
foqesibojup.eu
nomytifazah.eu
ganuqibevux.eu
mavinifenam.eu
jecocinywut.eu
qexoligupag.eu
kezajonifuz.eu
rylefogohan.eu
lykysonalut.eu
tujurogacag.eu
xugiqonenuz.eu
pufobogyqan.eu
cidacomutur.eu
diselahidaf.eu
vopejamogul.eu
fotyfahokab.eu
norupamaxur.eu
gaqirahebof.eu
mamomamymyl.eu
jenabejurov.eu
qebexequsyw.eu
kevylejigod.eu
rycuheqojyk.eu
lyxufejazov.eu
tulipeqevyw.eu
xukorejymod.eu
pujamyqywyk.eu
cihevykupoc.eu
digyxywifyq.eu
vofukykojos.eu
fodihywalyj.eu
nopodykecoc.eu
gatopuwenyq.eu
marawukyqos.eu
jewemurutyj.eu
qeqyvulidox.eu
kemuxurohym.eu
rynikulokop.eu
lyvoguraxeh.eu
tucadilebix.eu
xuxetiryqem.eu
puzewilurip.eu
cilynitiseg.eu
dikuvizigiz.eu
vojizitoken.eu
fogokozazit.eu
nofagoteveg.eu
gadedozymiz.eu
masytoturen.eu
jepuqoxupit.eu
qetunopifef.eu
kericoxojil.eu
ryqozapaleb.eu
lymajaxecir.eu
tunegapenef.eu
xubysaxywil.eu
puvutaputeb.eu
ciciqacidir.eu
dixonesohed.eu
volocecaluk.eu
fokalesaxav.eu
nojejecebuw.eu
gahyfesyqad.eu
magusecutuk.eu
jefiredisav.eu
qedoqyvoguq.eu
kepabydokas.eu
rytecyvaxuj.eu
lyrelydevac.eu
tuwyjyvymuq.eu
xuqufyduras.eu
pumipuvupuj.eu
cinorufifac.eu
divamubojum.eu
vocebufazap.eu
foxyxubecuh.eu
nozulufynax.eu
galuhubywum.eu
makififupap.eu
jejopiniduh.eu
qegarigohox.eu
kefeminalyn.eu
rydyvigecot.eu
lysuxinebyg.eu
tupikogyqoz.eu
xutohonutyn.eu
purodogidot.eu
ciqapomogyg.eu
dimewohokol.eu
vonymomaxyb.eu
fobuvohevor.eu
novixamymyf.eu
gacokahurol.eu
maxagamisyb.eu
jeledajifor.eu
qeketaqojyf.eu
kejywajazok.eu
ryhuneqevyv.eu
lygivejynow.eu
tufozequwyd.eu
xudakejupok.eu
pupegeqifev.eu
citydekohiw.eu
dirutewaled.eu
vowuqykecij.eu
foqinywenec.eu
nomocykyqiq.eu
ganazywutes.eu
mavejykidij.eu
jecygyrogec.eu
qexusulakiq.eu
kezituraxep.eu
ryloqulebih.eu
lykonurymex.eu
tujaculurim.eu
xugelurisep.eu
pufyjulogih.eu
cidufitojex.eu
disisizazim.eu
voporitevet.eu
fotaqizymig.eu
norebituwez.eu
gaqecizupun.eu
mamylotifat.eu
jenujoxojug.eu
qebifopalaz.eu
kevopoxecun.eu
rycaropynar.eu
lyxemoxyquf.eu
tulyboputal.eu
xukuxaxidub.eu
pujulapohar.eu
cihihacakuf.eu
digofasexal.eu
vofapacebuv.eu
foderasyqaw.eu
nopymecurud.eu
gatuvesisak.eu
marixecoguv.eu
jewokedokaw.eu
qeqohevazud.eu
kemadedevak.eu
rynepevymuc.eu
lyvywyduroq.eu
tucumyvipys.eu
xuxivydifoj.eu
puzoxyvojyc.eu
cilakyfaloq.eu
dikegybecys.eu
vojedufynoj.eu
fogytubuwyx.eu
nofuwufutom.eu
gadinubidyp.eu
masovufohoh.eu
jepazunalyx.eu
qetekugexom.eu
keryginebyp.eu
ryqudigyqog.eu
lymutinutyz.eu
tuniqigison.eu
xuboninogyt.eu
puvacigakog.eu
cicezomaxyz.eu
dixyjohevon.eu
volugomymet.eu
fokisohurif.eu
nojotomipel.eu
gahoqohofib.eu
maganomojer.eu
jefecajazif.eu
qedylaqecel.eu
kepujajynib.eu
rytifaquwer.eu
lyrosajupid.eu
tuwaraqidek.eu
xuqeqejohiv.eu
pumebeqalew.eu
cinycekecid.eu
divulewybek.eu
vocijekyqiv.eu
foxofewuteq.eu
nozapekidis.eu
galerywogej.eu
makymykakic.eu
jejubyrexeq.eu
qeguxylevus.eu
kefilyrymaj.eu
rydohyluruc.eu
lysafurisam.eu
tupepulofup.eu
xutyrurojah.eu
purumulazux.eu
ciqivutevam.eu
dimoxuzynup.eu
vonokutuwah.eu
fobahizipux.eu
noveditifan.eu
gacypizohut.eu
maxuwitalag.eu
jelimixecuz.eu
qekovipynan.eu
kejaxoxuqut.eu
ryhekoputag.eu
lygegoxidul.eu
tufydopogab.eu
xudutoxakur.eu
pupiwopexof.eu
citonocebyl.eu
diravasymob.eu
vowezacuryr.eu
foqykasisof.eu
nomugacogyk.eu
ganudasajov.eu
mavitacazyw.eu
jecoqedevod.eu
qexanevymyk.eu
kezeceduwov.eu
rylyzevipyw.eu
lykujedofod.eu
tujigevojyj.eu
xugosedaloc.eu
pufotyvecyq.eu
cidaqyfynos.eu
disenybuqyj.eu
vopycyfutoc.eu
fotulybidyq.eu
norijyfohop.eu
gaqofubakeh.eu
mamasufexix.eu
jenerunybem.eu
qebequgyqip.eu
kevybunureh.eu
rycucugisix.eu
lyxilunogem.eu
tulojigakit.eu
xukafinezeg.eu
pujepigeviz.eu
cihyrimymen.eu
digumihurit.eu
vofubimipeg.eu
fodixohofiz.eu
nopolomojen.eu
gatahohalir.eu
marefomecef.eu
jewypojynil.eu
qequroquweb.eu
kemimojitir.eu
rynovaqidef.eu
lyvoxajohul.eu
tucakaqalav.eu
xuxehajexuw.eu
puzydaqybad.eu
cilupakuquk.eu
dikiwewutav.eu
vojomekisuw.eu
fogavewogad.eu
nofexekakuk.eu
gadekewexac.eu
masygekevuq.eu
jepuderymas.eu
qetityluruj.eu
kerowyripac.eu
ryqanylofuq.eu
lymevyrajas.eu
tunyzylazuj.eu
xubukyrecax.eu
puvugulynum.eu
cicidutuwap.eu
dixotuzipuh.eu
volaqutodox.eu
fokenuzohym.eu
nojycutalop.eu
gahuzuzecyg.eu
magijityboz.eu
jefogixuqyn.eu
qedosiputot.eu
kepatixidyg.eu
ryteqipogoz.eu
lyrynixakyn.eu
tuwucopexot.eu
xuqiloxyvyf.eu
pumojopymol.eu
cinafocuryb.eu
divesosisor.eu
vocerocofyf.eu
foxyqosajol.eu
nozubacezyb.eu
galicasevor.eu
makolacynyd.eu
jejajaduwok.eu
qegefavipev.eu
kefypadofiw.eu
rydurevohed.eu
lysumedalik.eu
tupibevecev.eu
xutoxedyniq.eu
puralevuqes.eu
ciqehefitij.eu
dimyfebidec.eu
vonupyfogiq.eu
fobirybakes.eu
novomyfexij.eu
gacovybybec.eu
maxaxyfumim.eu
jelekynurep.eu
qekyhugisih.eu
kejudunogex.eu
ryhipugajim.eu
lygowunezep.eu
tufamugevih.eu
xudevunymex.eu
pupexuguwun.eu
citykimipat.eu
dirugihofug.eu
vowidimajaz.eu
foqotihalun.eu
nomawimecat.eu
ganenihynug.eu
mavyvomuqal.eu
jecuzojitub.eu
qexukoqodar.eu
kezigojohuf.eu
rylodoqakal.eu
lykatojexub.eu
tujeqoqybar.eu
xugynajuquf.eu
pufucaqurak.eu
cidizakisuv.eu
disojawogaw.eu
vopogakakud.eu
fotasawezak.eu
noretekyvuv.eu
gaqyqewymow.eu
mamunekuryd.eu
jeniceripoj.eu
qebolelofyc.eu
kevajerajoq.eu
rycefelelys.eu
lyxesyrecoj.eu
tulyrylynyc.eu
xukuqyruwoq.eu
pujibylityp.eu
cihocytodoh.eu
digalyzohyx.eu
vofejutalom.eu
fodyfuzexyp.eu
nopuputyboh.eu
gaturuzuqyx.eu
marimutitom.eu
jewobuxisyt.eu
qeqaxupogog.eu
kemelixakyz.eu
rynyhipexon.eu
lyvufixyvet.eu
tucipipumig.eu
xuxorixurez.eu
puzomipipin.eu
cilavocofer.eu
dikexosajif.eu
vojykocezel.eu
foguhosecib.eu
nofidocyner.eu
gadoposuwif.eu
masawocipel.eu
jepemadodiv.eu
qetevavahew.eu
keryxadalid.eu
ryqukavecek.eu
lymigadybiv.eu
tunodavuqew.eu
xubateditid.eu
puvewevodek.eu
cicynefogic.eu
dixuvebakeq.eu
voluzefexus.eu
fokikebyvaj.eu
nojogefumuc.eu
gahadyburaq.eu
magetyfisus.eu
jefyqynofaj.eu
qedunygajux.eu
kepicynezam.eu
rytozygyvup.eu
lyrojunynah.eu
tuwaguguwux.eu
xuqesunipam.eu
pumytugofup.eu
cinuqumahag.eu
divinuheluz.eu
vococumecan.eu
foxalihynut.eu
nozejimuqag.eu
galefihituz.eu
makysimodan.eu
jejurijogut.eu
qegiqiqakof.eu
kefobojexyl.eu
rydacoqybob.eu
lyselojumyr.eu
tupyjoqirof.eu
xutufojisyl.eu
purupoqogob.eu
ciqirokajyr.eu
dimomawezod.eu
vonabakyvyk.eu
fobexawumov.eu
novylakuwyw.eu
gacuhawipod.eu
maxifakofyk.eu
jeloperajov.eu
qekorelelyq.eu
kejamerecos.eu
ryhevelynyj.eu
lygyxeruqoc.eu
tufukelityq.eu
xudiherodos.eu
pupodylahej.eu
citapytakic.eu
direwyzexem.eu
vowemytybip.eu
foqyvyzuqeh.eu
nomuxytirix.eu
ganikuzosem.eu
mavogutogip.eu
jecaduxakeh.eu
qexetupezix.eu
kezywuxyven.eu
rylunupumit.eu
lykuvuxureg.eu
tujizipipiz.eu
xugokixofen.eu
pufagipajit.eu
cidediceleg.eu
disytisycil.eu
vopuqicyneb.eu
fotinosuwir.eu
norococitef.eu
gaqozosodul.eu
mamajocahab.eu
jenegodelur.eu
qebysovexaf.eu
kevutodybuk.eu
ryciqavuqav.eu
lyxonadituw.eu
tulacavosad.eu
xukeladoguk.eu
pujejavakav.eu
cihyfafexuw.eu
digusebyvad.eu
vofirefumuj.eu
fodoqebirac.eu
nopabefipuq.eu
gatecebofas.eu
marylefajuj.eu
jewujenezac.eu
qequfygycuq.eu
kemipynunap.eu
rynoryguwuh.eu
lyvamynipox.eu
tucebygodym.eu
xuxyxynahop.eu
puzulugelyh.eu
cilihumecox.eu
dikofuhybym.eu
vojopumuqot.eu
fogaruhityg.eu
nofemumodoz.eu
gadyvuhagyn.eu
masuximakot.eu
jepikijexyg.eu
qetohiqyvoz.eu
keradijumyn.eu
ryqepiqiror.eu
lymewijosyf.eu
tunymoqofol.eu
xubuvojajyb.eu
puvixoqezor.eu
cicokokyvyf.eu
dixagowunol.eu
voledokuwev.eu
fokytowipiw.eu
nojuwakofed.eu
gahunawahik.eu
magivakelev.eu
jefozaryciw.eu
qedakalyned.eu
kepegaruqik.eu
rytydelitec.eu
lyruterodiq.eu
tuwiqelages.eu
xuqonerekij.eu
pumocelexec.eu
cinazetybiq.eu
divejezumes.eu
vocygytirij.eu
foxusyzosex.eu
nozitytogim.eu
galoqyzajep.eu
makanytezih.eu
jejecyxyvex.eu
qegelupumum.eu
kefyjuxiwap.eu
rydufupipug.eu
lysisuxofaz.eu
tuporupajun.eu
xutaquxelat.eu
purebupycug.eu
ciqycicunaz.eu
dimulisuqun.eu
vonujicitat.eu
fobifisoduf.eu
novopicahal.eu
gacarisekub.eu
maxemocexar.eu
jelybodybuf.eu
qekuxovuqal.eu
kejilodirub.eu
ryhohovosar.eu
lygofodagud.eu
tufapovakak.eu
xuderadezuv.eu
pupymavyvow.eu
cituvafumyd.eu
dirixabirok.eu
vowokafopyv.eu
foqahabofoq.eu
nomedefajys.eu
ganepebeloj.eu
mavywefycyc.eu
jecumenunoq.eu
qexiveguwys.eu
kezoxenitoj.eu
rylakegodyc.eu
lykegynahom.eu
tujydygelyp.eu
xugutynyxoh.eu
pufuwygybyx.eu
cidinymuqom.eu
disovyhityp.eu
vopazumosoh.eu
fotekuhagyx.eu
norygumekon.eu
gaquduhexet.eu
mamitumyvig.eu
jenoqujumez.eu
qebonuqirin.eu
kevacijopet.eu
ryceziqofig.eu
lyxyjijajel.eu
tulugiqezib.eu
xukisijycer.eu
pujotiqunif.eu
cihaqokiwel.eu
digenowipib.eu
vofecokoder.eu
fodylowahif.eu
nopujokelek.eu
gatifowyciv.eu
marosokubew.eu
jewararuqid.eu
qeqeqalitek.eu
kemybarodiv.eu
rynucalagew.eu
lyvularekud.eu
tucijalexaj.eu
xuxoferyvuc.eu
puzapelumaq.eu
cileretirus.eu
dikymezosaj.eu
vojubetafuc.eu
fogixezajaq.eu
nofoletezup.eu
gadohyzyvah.eu
masafytunux.eu
jepepyxiwam.eu
qetyrypopup.eu
kerumyxofah.eu
ryqivypahux.eu
lymoxuxelam.eu
tunakupycut.eu
xubehuxunag.eu
puvedupuquz.eu
cicypucitan.eu
dixuwusodut.eu
volimucagog.eu
fokovisekyz.eu
nojaxicyxon.eu
gahekisybyr.eu
magygicumof.eu
jefudidiryl.eu
qedutivosob.eu
kepiwodagyr.eu
rytonovejof.eu
lyravodezyl.eu
tuwezovyvov.eu
xuqykodumyw.eu
pumugoviwod.eu
cinidofopyk.eu
divotabofov.eu
vocoqafajyw.eu
foxanabelod.eu
nozecafycyk.eu
galyzabunoc.eu
makujafiqyq.eu
jejigenitos.eu
qegosegodej.eu
kefatenahic.eu
rydeqegekeq.eu
lysenenyxis.eu
tupycegubej.eu
xutulenuqix.eu
purijygirem.eu
ciqofymosip.eu
dimasyhageh.eu
vonerymekix.eu
fobyqyhezem.eu
novubymyvip.eu
gacucuhumeg.eu
maxilumiriz.eu
jelojujopen.eu
qekafuqafit.eu
kejepujajeg.eu
ryhyruqeliz.eu
lygumujycen.eu
tufibiqunit.eu
xudoxijiwef.eu
pupoliqotul.eu
citahikodab.eu
direfiwahur.eu
vowypikelaf.eu
foqurowyxul.eu
nomimokubab.eu
ganovowuqur.eu
mavaxokitad.eu
jecekorosuk.eu
qexeholagav.eu
kezydorekuw.eu
rylupalyxad.eu
lykiwaryvuk.eu
tujomalumav.eu
xugavariruq.eu
pufexalopas.eu
cidykatafuj.eu
disugezejac.eu
vopudetezuq.eu
fotitezycas.eu
norowetunuj.eu
gaqaneziwoc.eu
mamevetopym.eu
jenyzexodop.eu
qebukypahyh.eu
kevigyxelox.eu
rycodypycym.eu
lyxotyxubop.eu
tulaqypiqyh.eu
xukenyxitox.eu
pujycupodyn.eu
cihuzucagot.eu
digijusekyg.eu
vofogucyxoz.eu
fodasusuvyn.eu
nopetucumot.eu
gatequsiryg.eu
marynicosol.eu
jewucidafyb.eu
qeqilivejor.eu
kemojidezyf.eu
rynafivyvol.eu
lyvesiduneb.eu
tucyroviwir.eu
xuxuqodopef.eu
puzubovafik.eu
cilicofahev.eu
dikolobeliw.eu
vojajofyced.eu
fogefobunik.eu
nofypafiqev.eu
gadurabotiw.eu
masimafoded.eu
jepobanagij.eu
qetoxagekec.eu
keralanyxiq.eu
ryqehegubes.eu
lymyfenumij.eu
tunupegirec.eu
xubirenosiq.eu
puvomegagep.eu
cicavemejih.eu
dixexehyzex.eu
volekymyvum.eu
fokyhyhumap.eu
nojudymiwuh.eu
gahipyhopax.eu
magowymafum.eu
jefamyjejat.eu
qedevuqelug.eu
kepyxujycaz.eu
rytukuqunun.eu
lyrugujiqat.eu
tuwiduqotug.eu
xuqotujodaz.eu
pumawuqahun.eu
cinenikekar.eu
divyviwyxuf.eu
vocuzikubal.eu
foxikiwiqub.eu
nozogikirar.eu
galodiwosuf.eu
makatokagal.eu
jejeqorekuv.eu
qegynolyzow.eu
kefucoruvyd.eu
Signatures
- Modifies WinLogon for persistence 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\userinit = "C:\\Windows\\system32\\userinit.exe,C:\\Users\\Admin\\AppData\\Local\\Temp\\TMPAB7~1.EXE," tmpab7aztpj.exe - Adds Run key to start application 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-3053180483-1881419501-3594244048-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\userinit = "C:\\Users\\Admin\\AppData\\Local\\Temp\\TMPAB7~1.EXE" tmpab7aztpj.exe - Creates a large amount of network flows 1 TTPs
This may indicate a network scan to discover remotely running services.
- Modifies WinLogon 2 TTPs 2 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System = "C:\\Users\\Admin\\AppData\\Local\\Temp\\TMPAB7~1.EXE" tmpab7aztpj.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\7e143571 = "̆[\x03\x02‰ŠPŒWmŒ\x18ÑÒÀï+¥J\x1aJ\x1få8ÿ\x1e_³sÕ„\våm\nŽoåV¹Õ\x18C5ϱŸ\r\vqa\ahŸ\x0fІÉSgçV@ï÷©éV\x17?\x03¸ïiàç“ð±D¿‡»_ßàî‡\bT‘Á+˜>\x1fƒ×n̳٨ö_q\x1f¾¯øp磀A\x7f°Ði\x13Oñ©\u008f\x7fÐÉ\u0090‹" tmpab7aztpj.exe - Drops file in System32 directory 1 IoCs
description ioc Process File opened for modification C:\Windows\SysWOW64\qzdrityijbwqjxssrxrv tmpab7aztpj.exe - System Location Discovery: System Language Discovery 1 TTPs 2 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language tmpab7aztpj.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language tmpab7aztpj.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe 1860 tmpab7aztpj.exe - Suspicious use of AdjustPrivilegeToken 5 IoCs
description pid Process Token: SeSecurityPrivilege 1860 tmpab7aztpj.exe Token: SeSecurityPrivilege 1860 tmpab7aztpj.exe Token: SeSecurityPrivilege 1860 tmpab7aztpj.exe Token: SeSecurityPrivilege 1860 tmpab7aztpj.exe Token: SeSecurityPrivilege 4692 tmpab7aztpj.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\tmpab7aztpj.exe"C:\Users\Admin\AppData\Local\Temp\tmpab7aztpj.exe"1⤵
- Modifies WinLogon for persistence
- Adds Run key to start application
- Modifies WinLogon
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:1860
-
C:\Users\Admin\AppData\Local\Temp\tmpab7aztpj.exeC:\Users\Admin\AppData\Local\Temp\TMPAB7~1.EXE1⤵
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Suspicious use of AdjustPrivilegeToken
PID:4692
Network
MITRE ATT&CK Enterprise v16
Persistence
Boot or Logon Autostart Execution
3Registry Run Keys / Startup Folder
1Winlogon Helper DLL
2Privilege Escalation
Boot or Logon Autostart Execution
3Registry Run Keys / Startup Folder
1Winlogon Helper DLL
2