6afc8ebfa114550d8a7dcd5c328b2f3e823fdf497559982cf8a70d0f568d3cb9

General

Target
xd.exe
Size 240KB
Sample260809-ww87dsbp2v
SHA256 6afc8ebfa114550d8a7dcd5c328b2f3e823fdf497559982cf8a70d0f568d3cb9
MD5 6ed369641c22beaecf921e30a7a068f7
SHA1 ec2c2cdc72914e5c63f31494b4aed521728d86a5
SHA512 4526f27fa14363ee6b8900e97926225b1d0d492a3c4861257bc4167cce38a1e6496239e9402fbe6d1130e6d373e4fe0660608521802504160d9d14ae66960dbd
SSDEEP 6144:IEhfGkH3dZ4wuQLL9qAeUGKkg58SCpMW90KImQiXnUb1t:r+wdew9D
TLSH
T1AE345C94136A893EC6BD27BED0A105060BF1B227D103E75CBEECA0E66F27311A751B57
MD5 SHA1 SHA512 SSDEEP TLSH

Score

10^/10

defense_evasion persistence

Malware Config

Signatures

Modifies WinLogon for persistence 2 TTPs 1 IoCs

persistence

Winlogon Helper DLL

T1547.004

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\""	xd.exe

Adds Run key to start application 2 TTPs 13 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WindowsInstaller = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\" -startup"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\OneDrive10293 = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\" /setup"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\WINDOWS = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\" --wininit"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_1 = "AWindowsService.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_3 = "windowsx-c.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateX = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\""	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\System3264Wow = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\" --init"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_2 = "taskhost.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_4 = "System.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_5 = "_default64.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_6 = "native.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_7 = "ux-cryptor.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1788976790-1541110888-1636651838-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_8 = "crypt0rsx.exe"	xd.exe

Drops desktop.ini file(s) 4 IoCs

description	ioc	Process
File opened for modification	C:\Users\Admin\Documents\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Public\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	attrib.exe

Hide Artifacts: Hidden Files and Directories 1 TTPs 6 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
1100	cmd.exe
4664	cmd.exe
5084	cmd.exe
1468	cmd.exe
3468	cmd.exe
3216	cmd.exe

Kills process with taskkill 1 IoCs

defense_evasion

pid	Process
2656	taskkill.exe

Suspicious behavior: EnumeratesProcesses 1 IoCs

pid	Process
4856	xd.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	4856	xd.exe
Token: SeDebugPrivilege	2656	taskkill.exe

Suspicious use of WriteProcessMemory 19 IoCs

description	pid	Process	procid_target
PID 4856 wrote to memory of 1100	4856	xd.exe	85
PID 4856 wrote to memory of 3216	4856	xd.exe	86
PID 4856 wrote to memory of 3468	4856	xd.exe	87
PID 4856 wrote to memory of 1468	4856	xd.exe	88
PID 4856 wrote to memory of 4664	4856	xd.exe	89
PID 4856 wrote to memory of 5084	4856	xd.exe	90
PID 4856 wrote to memory of 2656	4856	xd.exe	91
PID 3216 wrote to memory of 3812	3216	cmd.exe	112
PID 1100 wrote to memory of 3808	1100	cmd.exe	113
PID 1468 wrote to memory of 3856	1468	cmd.exe	114
PID 3216 wrote to memory of 2920	3216	cmd.exe	115
PID 1100 wrote to memory of 2900	1100	cmd.exe	116
PID 4664 wrote to memory of 1956	4664	cmd.exe	117
PID 3468 wrote to memory of 2112	3468	cmd.exe	119
PID 5084 wrote to memory of 2520	5084	cmd.exe	121
PID 1468 wrote to memory of 1292	1468	cmd.exe	125
PID 3468 wrote to memory of 2780	3468	cmd.exe	126
PID 5084 wrote to memory of 4352	5084	cmd.exe	127
PID 4664 wrote to memory of 1176	4664	cmd.exe	128

Views/modifies file attributes 1 TTPs 12 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
2900	attrib.exe
3856	attrib.exe
2920	attrib.exe
2520	attrib.exe
1176	attrib.exe
4352	attrib.exe
2112	attrib.exe
3812	attrib.exe
3808	attrib.exe
1956	attrib.exe
2780	attrib.exe
1292	attrib.exe

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe"
1⤵
- Modifies WinLogon for persistence
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:4856
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c F: & attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:1100
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:3808
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2900
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3216
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:3812
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2920
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3468
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:2112
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2780
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:1468
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:3856
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:1292
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\documents"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4664
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:1956
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:1176
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:5084
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:2520
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:4352
- C:\Windows\SYSTEM32\taskkill.exe
  taskkill.exe /im Explorer.exe /f
  2⤵
  - Kills process with taskkill
  - Suspicious use of AdjustPrivilegeToken
  PID:2656

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe" /setup
1⤵
PID:452

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe"
1⤵
PID:1636

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe" --init
1⤵
PID:3036

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe" -startup
1⤵
PID:2296

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe" --wininit
1⤵
PID:1448

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

2

T1547

Registry Run Keys / Startup Folder

1

T1547.001

Winlogon Helper DLL

1

T1547.004

Privilege Escalation

Boot or Logon Autostart Execution

2

T1547

Registry Run Keys / Startup Folder

1

T1547.001

Winlogon Helper DLL

1

T1547.004

Defense Evasion

Hide Artifacts

2

T1564

Hidden Files and Directories

Modify Registry

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

xd.exe.log

Path C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\xd.exe.log
Size 1KB
SHA256 c897436c82fda9abf08b29fe05c42f4e59900116bbaf8bfd5b85ef3c97ab7884
MD5 2d2a235f1b0f4b608c5910673735494b
SHA1 23a63f6529bfdf917886ab8347092238db0423a0
SHA512 10684245497f1a115142d49b85000075eb36f360b59a0501e2f352c9f1d767c447c6c44c53a3fb3699402a15a8017bdbd2edd72d8599fdd4772e9e7cb67f3086
TLSH
T1C031DE712372B1D889163F431C2D2AC007BF4769B660EE0C7598625ED9260175F222F3
MD5 SHA1 SHA512 TLSH

Submit Download

info-Locker.txt

Path C:\Users\Admin\Documents\info-Locker.txt
Size 525B
SHA256 4d0eae0ae34f2639db0d1ad8e42b2317b7c4a551ad25322c0241ce03b04d113d
MD5 e49502bf25d3310eab41fa3659b97446
SHA1 801d501c16042fe27661129dba49745bd4c9b114
SHA512 b0cfe6787609f0a200f8f5675a5f71509368e4921a87d37864c26ef9cf2880cb1bad42be7d4ff0a827516bedcc5a018a6247dc8bb5d756745df0a5be40b0a232
TLSH
T173F00964D80BDC9422512A40FEBDC8964EFEDA3262E8335BF2240C3612C07690557CDC
MD5 SHA1 SHA512 TLSH

Submit Download

info-Locker.txt

Path C:\Users\Admin\Downloads\info-Locker.txt
Size 525B
SHA256 3ea367db7cc871fdd8830b6ae5ebd63f46721a564b2476822943247b5485c81f
MD5 dc3918145bf4a6e97d93af73182a5fe6
SHA1 7bb57c0b31ced7a422ea92cb9abbb8d77734338e
SHA512 7fa2c5e4aa0fd36e512f3fff1bcf123f854487aec6e5962aa748a06acb33b524b89f68cb58424031f6a217eac85cf8a42faf5642b2ceceea07276d59af5bd20f
TLSH
T142F00964C80BDC9462412A40FE7CC89A4EFED63552E8334BF2240C3612C07290557CDC
MD5 SHA1 SHA512 TLSH

Submit Download

memory/4856-0-0x0000000000FA0000-0x0000000000FE2000-memory.dmp

Download

memory/4856-1-0x000000001CD90000-0x000000001CDA0000-memory.dmp

Download

memory/4856-19-0x000000001CD90000-0x000000001CDA0000-memory.dmp

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v16

Replay Monitor

Loading Replay Monitor...

Downloads