Analysis
- user interaction
yes - max time kernel
149s - max time network
142s - platform
windows11-ltsc_2024_x64 - resource
win11ltsc2024-20260709-en - resource tags
arch:x64arch:x86image:win11ltsc2024-20260709-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows - submitted
09/08/2026, 03:38
Behavioral task
behavioral1
Sample
33333.exe
Resource
win10v2004-20260513-en
windows10-2004-x64
2 signatures
150 seconds
General
- Target 33333.exe
- Size 2.1MB
- Sample260809-d7ccpagq91
- SHA256 0df063eb06d4fbdf0ffe0398c80e090df370d57770aeaa60cb90f1992d05e5c7
- MD5 110427a4c585fd8db675388edb412572
- SHA1 b69fd3f404a484455d2d4ffdc9e0184f98dfef37
- SHA512 f2d8d2981e5cde8ba99354219ab74c5797c725ccb336285a86c326f434e1fc051400b140db6a3c19c74f62629dcea2d30d945dadb42a72400871e21495e05858
- SSDEEP 49152:eE6jPKehMU71Jl1qmIySp5K6jPKehMU71Jl1qmIySp5D:sOeaW8pROeaW8pl
- TLSH T1EAA533563F6084F4E25DA7F06D5B26170AB97C13E206E2D95D940CEA0DBAD80DDC2CFA
- MD5 SHA1 SHA512 SSDEEP TLSH
Malware Config
Extracted
Family
-
asyncrat
Version
-
false
Mutex
-
g)93@&ncf2*2$231wti%q3$
Attributes
-
delay
0
-
install
false
-
install_file
WindowsHealthService
-
install_folder
$pwnWindowsHealth.exe
aes.plain
Signatures
- Checks SCSI registry key(s) 3 TTPs 3 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000 taskmgr.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\Properties\{b725f130-47ef-101a-a5f1-02608c9eebac}\000A taskmgr.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_WDC&Prod_WDS100T2B0A\4&215468a5&0&000000\FriendlyName taskmgr.exe - Suspicious behavior: EnumeratesProcesses 64 IoCs
pid Process 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe - Suspicious use of AdjustPrivilegeToken 5 IoCs
description pid Process Token: SeDebugPrivilege 3124 33333.exe Token: SeIncBasePriorityPrivilege 3124 33333.exe Token: SeDebugPrivilege 5928 taskmgr.exe Token: SeSystemProfilePrivilege 5928 taskmgr.exe Token: SeCreateGlobalPrivilege 5928 taskmgr.exe - Suspicious use of FindShellTrayWindow 55 IoCs
pid Process 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe - Suspicious use of SendNotifyMessage 55 IoCs
pid Process 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe 5928 taskmgr.exe - Suspicious use of SetWindowsHookEx 1 IoCs
pid Process 5928 taskmgr.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\33333.exe"C:\Users\Admin\AppData\Local\Temp\33333.exe"1⤵
- Suspicious use of AdjustPrivilegeToken
PID:3124
-
C:\Windows\system32\taskmgr.exe"C:\Windows\system32\taskmgr.exe" /41⤵
- Checks SCSI registry key(s)
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
- Suspicious use of SetWindowsHookEx
PID:5928
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k GPSvcGroup1⤵PID:2496
-
C:\Windows\System32\rundll32.exeC:\Windows\System32\rundll32.exe C:\Windows\System32\shell32.dll,SHCreateLocalServerRunDll {9aa46009-3ce0-458a-a354-715610a075e6} -Embedding1⤵PID:5960
-
C:\Users\Admin\AppData\Local\Temp\33333.exe"C:\Users\Admin\AppData\Local\Temp\33333.exe"1⤵PID:3428