Analysis
- max time kernel
178s - max time network
144s - platform
windows11-ltsc_2024_x64 - resource
win11ltsc2024-20260709-en - resource tags
arch:x64arch:x86image:win11ltsc2024-20260709-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows - submitted
10/08/2026, 15:17
Static task
static1
2 signatures
Behavioral task
behavioral1
Sample
4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe
Resource
win10v2004-20260513-en
windows10-2004-x64
6 signatures
150 seconds
Behavioral task
behavioral2
Sample
4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe
Resource
win11ltsc2024-20260709-en
windows11-ltsc_2024-x64
7 signatures
150 seconds
Behavioral task
behavioral3
Sample
$PLUGINSDIR/System.dll
Resource
win10v2004-20260513-en
windows10-2004-x64
3 signatures
150 seconds
Behavioral task
behavioral4
Sample
$PLUGINSDIR/System.dll
Resource
win11ltsc2024-20260709-en
windows11-ltsc_2024-x64
3 signatures
150 seconds
General
- Target 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe
- Size 279KB
- Sample260810-spdkcsbr7w
- SHA256 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551
- MD5 ad3f54dc188882ed692b865923c19e72
- SHA1 7b1adc98fd65ba1221f9bfd1c6088a49ef081a83
- SHA512 3ba320a62208ebfa9905fcaae324335aeaa75bb383252b73b1b87e84eb2f3fa10e2cfc5f73c64aa2c38243500caac41fcd81300dcc4e31f4fd2d723971f33aef
- SSDEEP 6144:Vbfopdha+pV8OJt1FQGYZVkFkMfNj0bKUK3voc:VbIc+p+O71FQJ4N0dSoc
- TLSH T14F54CF2533B5E047E6923A31CE65E1F8A8196EA1ED1AE40733117F0FBD78F92DD49281
- MD5 SHA1 SHA512 SSDEEP TLSH
Score
10/10
Malware Config
Signatures
- Family: Guloader,Cloudeye
A shellcode based downloader first seen in 2020.
- Checks QEMU agent file 2 TTPs 1 IoCs
Checks presence of QEMU agent, possibly to detect virtualization.
description ioc Process File opened (read-only) C:\Program Files\Qemu-ga\qemu-ga.exe 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe - Loads dropped DLL 2 IoCs
pid Process 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe - Suspicious use of NtSetInformationThreadHideFromDebugger 1 IoCs
pid Process 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe - Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
- System Location Discovery: System Language Discovery 1 TTPs 1 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe - Suspicious use of AdjustPrivilegeToken 64 IoCs
description pid Process Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe Token: SeDebugPrivilege 1884 4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe"C:\Users\Admin\AppData\Local\Temp\4d5696c5f59664e09584c457d82e78b2fd7ac681431ee0d5656907d404d34551.exe"1⤵
- Checks QEMU agent file
- Loads dropped DLL
- Suspicious use of NtSetInformationThreadHideFromDebugger
- System Location Discovery: System Language Discovery
- Suspicious use of AdjustPrivilegeToken
PID:1884
Network
MITRE ATT&CK Enterprise v16
Replay Monitor
Loading Replay Monitor...
Downloads
- Path C:\Users\Admin\AppData\Local\Temp\nsd1540.tmp\System.dll
- Size 12KB
- SHA256 8b4c47c4cf5e76ec57dd5a050d5acd832a0d532ee875d7b44f6cdaf68f90d37c
- MD5 9b38a1b07a0ebc5c7e59e63346ecc2db
- SHA1 97332a2ffcf12a3e3f27e7c05213b5d7faa13735
- SHA512 26e77f8e10f6d8693c92bd036b53a3f6e0c523090ef8dfe479815f556ecd2b57fc90ce9f7cceebe70460d464decb27ad1fe240819fd56997764e96506b6a439c
- SSDEEP 192:kjHcQ0qWTlt7wi5Aj/lM0sEWD/wtYbBjpNQybC7y+XZ40QPi:U/Qlt7wiij/lMRv/9V4b4r
- TLSH T1E8427C1297B089F2F151093419667F2A6FBEAC5D17F405A3CFE304C63D212CB9839243
- MD5 SHA1 SHA512 SSDEEP TLSH