9af9f9480b8bacf498010b15915a441ed99c3c4d5b8f55222f868a60438076a1

Analysis

max time kernel
150s
max time network
152s
platform
windows11-ltsc_2024_x64
resource
win11ltsc2024-20260709-en
resource tags

arch:x64arch:x86image:win11ltsc2024-20260709-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows
submitted
15/08/2026, 01:14

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
2026-08-15_b09372933b9283c9202bc05186bf8de8_cobalt-strike_icedid_satacom_stealc.exe
Size 1.8MB
Sample260815-blm6yswdpg
SHA256 9af9f9480b8bacf498010b15915a441ed99c3c4d5b8f55222f868a60438076a1
MD5 b09372933b9283c9202bc05186bf8de8
SHA1 8824c2ca84dd461d0a4c473795aee35b70f17342
SHA512 0bc92629ddffa6069521a20e9fd6ee64c0ac22d5bad00ff40933c7ec13c42984a460c1dcf159f2ee16cf93f5955124f8dc2c43476c33c971901787b05889d9a0
SSDEEP 24576:QunA+mPpmoddCD3CyrRPLOv/jcsgs0qgq2nluzvvWHL1Zg6n/7df9oXf1CjA/:OQD5S0vLtA
TLSH
T1BE857BE5A02D10A5EFCD69F44C7468CBAB70EE6316D1E82911DC178B0C37EEE9980937
MD5 SHA1 SHA512 SSDEEP TLSH

Score

7^/10

defense_evasion persistence

Malware Config

Signatures

Executes dropped EXE 3 IoCs

pid	Process
3640	tmp.exe
3416	tmp.exe
4560	tmp.exe

Adds Run key to start application 2 TTPs 10 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WindowsInstaller = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\tmp.exe\" -startup"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_1 = "AWindowsService.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_2 = "taskhost.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_5 = "_default64.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_8 = "crypt0rsx.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateX = "\"C:\\Users\\Admin\\AppData\\Local\\Temp\\tmp.exe\""	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_3 = "windowsx-c.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_4 = "System.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_6 = "native.exe"	tmp.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-1079202589-886135813-2527035092-1000\Software\Microsoft\Windows\CurrentVersion\Run\WIN32_7 = "ux-cryptor.exe"	tmp.exe

Drops desktop.ini file(s) 4 IoCs

description	ioc	Process
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	attrib.exe
File opened for modification	C:\Users\Public\Desktop\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Documents\desktop.ini	attrib.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	attrib.exe

Hide Artifacts: Hidden Files and Directories 1 TTPs 6 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
4564	cmd.exe
5440	cmd.exe
580	cmd.exe
2128	cmd.exe
1816	cmd.exe
4132	cmd.exe

Kills process with taskkill 1 IoCs

defense_evasion

pid	Process
2968	taskkill.exe

Suspicious behavior: EnumeratesProcesses 2 IoCs

pid	Process
3640	tmp.exe
3640	tmp.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	3640	tmp.exe
Token: SeDebugPrivilege	2968	taskkill.exe

Suspicious use of WriteProcessMemory 20 IoCs

description	pid	Process	procid_target
PID 4280 wrote to memory of 3640	4280	2026-08-15_b09372933b9283c9202bc05186bf8de8_cobalt-strike_icedid_satacom_stealc.exe	89
PID 3640 wrote to memory of 4132	3640	tmp.exe	91
PID 3640 wrote to memory of 1816	3640	tmp.exe	92
PID 3640 wrote to memory of 2128	3640	tmp.exe	93
PID 3640 wrote to memory of 580	3640	tmp.exe	94
PID 3640 wrote to memory of 5440	3640	tmp.exe	95
PID 3640 wrote to memory of 4564	3640	tmp.exe	96
PID 3640 wrote to memory of 2968	3640	tmp.exe	97
PID 2128 wrote to memory of 3472	2128	cmd.exe	115
PID 4132 wrote to memory of 4936	4132	cmd.exe	116
PID 580 wrote to memory of 5844	580	cmd.exe	117
PID 5440 wrote to memory of 1184	5440	cmd.exe	118
PID 5440 wrote to memory of 4676	5440	cmd.exe	119
PID 580 wrote to memory of 2180	580	cmd.exe	120
PID 4132 wrote to memory of 5984	4132	cmd.exe	121
PID 2128 wrote to memory of 1420	2128	cmd.exe	122
PID 4564 wrote to memory of 1824	4564	cmd.exe	123
PID 1816 wrote to memory of 6008	1816	cmd.exe	124
PID 4564 wrote to memory of 3776	4564	cmd.exe	128
PID 1816 wrote to memory of 3876	1816	cmd.exe	129

Views/modifies file attributes 1 TTPs 12 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
1184	attrib.exe
5844	attrib.exe
3472	attrib.exe
1420	attrib.exe
5984	attrib.exe
2180	attrib.exe
4676	attrib.exe
6008	attrib.exe
4936	attrib.exe
1824	attrib.exe
3776	attrib.exe
3876	attrib.exe

C:\Users\Admin\AppData\Local\Temp\2026-08-15_b09372933b9283c9202bc05186bf8de8_cobalt-strike_icedid_satacom_stealc.exe
"C:\Users\Admin\AppData\Local\Temp\2026-08-15_b09372933b9283c9202bc05186bf8de8_cobalt-strike_icedid_satacom_stealc.exe"
1⤵
- Suspicious use of WriteProcessMemory
PID:4280
- C:\Users\Admin\AppData\Local\Temp\tmp.exe
  "C:\Users\Admin\AppData\Local\Temp\tmp.exe"
  2⤵
  - Executes dropped EXE
  - Adds Run key to start application
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  - Suspicious use of WriteProcessMemory
  PID:3640
- - C:\Windows\SYSTEM32\cmd.exe
    cmd.exe /c F: & attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR ( главный загрузчик материнки) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
    3⤵
    - Hide Artifacts: Hidden Files and Directories
    - Suspicious use of WriteProcessMemory
    PID:4132
  - - C:\Windows\system32\attrib.exe
      attrib +h +s +r +i /D
      4⤵
      Views/modifies file attributes
      PID:4936
  - - C:\Windows\system32\attrib.exe
      attrib -h +s +r info-Locker.txt
      4⤵
      Views/modifies file attributes
      PID:5984
- - C:\Windows\SYSTEM32\cmd.exe
    cmd.exe /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR ( главный загрузчик материнки) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
    3⤵
    - Hide Artifacts: Hidden Files and Directories
    - Suspicious use of WriteProcessMemory
    PID:1816
  - - C:\Windows\system32\attrib.exe
      attrib +h +s +r +i /D
      4⤵
      Drops desktop.ini file(s)
      Views/modifies file attributes
      PID:6008
  - - C:\Windows\system32\attrib.exe
      attrib -h +s +r info-Locker.txt
      4⤵
      Views/modifies file attributes
      PID:3876
- - C:\Windows\SYSTEM32\cmd.exe
    cmd.exe /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR ( главный загрузчик материнки) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
    3⤵
    - Hide Artifacts: Hidden Files and Directories
    - Suspicious use of WriteProcessMemory
    PID:2128
  - - C:\Windows\system32\attrib.exe
      attrib +h +s +r +i /D
      4⤵
      Drops desktop.ini file(s)
      Views/modifies file attributes
      PID:3472
  - - C:\Windows\system32\attrib.exe
      attrib -h +s +r info-Locker.txt
      4⤵
      Views/modifies file attributes
      PID:1420
- - C:\Windows\SYSTEM32\cmd.exe
    cmd.exe /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR ( главный загрузчик материнки) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
    3⤵
    - Hide Artifacts: Hidden Files and Directories
    - Suspicious use of WriteProcessMemory
    PID:580
  - - C:\Windows\system32\attrib.exe
      attrib +h +s +r +i /D
      4⤵
      Drops desktop.ini file(s)
      Views/modifies file attributes
      PID:5844
  - - C:\Windows\system32\attrib.exe
      attrib -h +s +r info-Locker.txt
      4⤵
      Views/modifies file attributes
      PID:2180
- - C:\Windows\SYSTEM32\cmd.exe
    cmd.exe /c cd "%userprofile%\documents"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR ( главный загрузчик материнки) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
    3⤵
    - Hide Artifacts: Hidden Files and Directories
    - Suspicious use of WriteProcessMemory
    PID:5440
  - - C:\Windows\system32\attrib.exe
      attrib +h +s +r +i /D
      4⤵
      Drops desktop.ini file(s)
      Views/modifies file attributes
      PID:1184
  - - C:\Windows\system32\attrib.exe
      attrib -h +s +r info-Locker.txt
      4⤵
      Views/modifies file attributes
      PID:4676
- - C:\Windows\SYSTEM32\cmd.exe
    cmd.exe /c cd "%userprofile%"&attrib +h +s +r +i /D & echo [%RANDOM%] Упс! Вы подверглись масштабной хакерской атаке и теперь Ваш компьютер заблокирован, а все имеющиеся диски и файлы на них зашифрованы хакерской группировкой. Любые действия, связанные с попыткой обмануть систему нанесут непоправимый вред Вашему компьютеру и приведут к потере всех важных файлов без возможности восстановления. При попытке снять блокировку MBR ( главный загрузчик материнки) будет снесён и будет подана рекурсивная нагрузка на ваш процессор, что приведёт к его неисправности. У вас есть 48 часов с момента запуска чтобы ввести код 1>info-Locker.txt & attrib -h +s +r info-Locker.txt
    3⤵
    - Hide Artifacts: Hidden Files and Directories
    - Suspicious use of WriteProcessMemory
    PID:4564
  - - C:\Windows\system32\attrib.exe
      attrib +h +s +r +i /D
      4⤵
      Views/modifies file attributes
      PID:1824
  - - C:\Windows\system32\attrib.exe
      attrib -h +s +r info-Locker.txt
      4⤵
      Views/modifies file attributes
      PID:3776
- - C:\Windows\SYSTEM32\taskkill.exe
    taskkill.exe /im Explorer.exe /f
    3⤵
    - Kills process with taskkill
    - Suspicious use of AdjustPrivilegeToken
    PID:2968

C:\Users\Admin\AppData\Local\Temp\tmp.exe
"C:\Users\Admin\AppData\Local\Temp\tmp.exe" -startup
1⤵
- Executes dropped EXE
PID:3416

C:\Users\Admin\AppData\Local\Temp\tmp.exe
"C:\Users\Admin\AppData\Local\Temp\tmp.exe"
1⤵
- Executes dropped EXE
PID:4560

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Hide Artifacts

T1564

Hidden Files and Directories

T1564.001

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

tmp.exe

Path C:\Users\Admin\AppData\Local\Temp\tmp.exe
Size 211KB
SHA256 1a1bf123643e6fd3e8e51deddac7ff90e5e11d896a1e08380fe49c160c2d4ac4
MD5 151c4252220c1fc1dbfb8ac935e25f5c
SHA1 30a885b24aa90925e4e71566a108a23c5d32ac08
SHA512 3c75fdc07de5b7affc1bc2e6408de7fd227a52c690b0d9d2971dd83d3f6f86247473de784acf49b17886e45fc7c05bc0ca4ba06f755c82137867d88ab3d40115
SSDEEP 6144:PEhfGkHBdZNnRtjUdx9aygCSCpMW90KImQijnfbWL:U++dfj
TLSH
T1EC244D98136AC93DC1BE27BED0A605060BF5B217D603E74CAFF8A0E66D37311A715A47
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

info-Locker.txt

Path C:\Users\Admin\Desktop\info-Locker.txt
Size 558B
SHA256 aa91a9e646b3957deed06907dabf60200287aa426abd99a2df2be54ce8c9876f
MD5 b1c06214e065ce47195ba54ff27cf750
SHA1 8301fa309e10280651d7dfdacdcc4c0f7af2c002
SHA512 1cc17e5f26000919a16761cd69a53a182928c4d3005812ee2f8d9400fa98855d3cedfd44ad0caa6f79dee2d2ae52e1ac5124234c28775018a21e7d8759461593
TLSH
T144F0010188579C8825445D04FF7C8C544EBEE22A8285325BF6240C7400C0B0604938D8
MD5 SHA1 SHA512 TLSH

Submit Download

info-Locker.txt

Path C:\Users\Public\Desktop\info-Locker.txt
Size 558B
SHA256 6edfe90ef3671c63e71ca2c27cae5e79fef80083a2a57fcc7aa9dbf0cdf57742
MD5 95d8444d3f7c590cde6411fcb13d7f78
SHA1 dfbbda8fba61e86a481328feef486840f7ff6c48
SHA512 4ac1b3a81a0758d6934fd5eeeca5619c583889b78919a2c7f3f2c1aaca96a72612f59a047890c76df72d8139b2e3fe89b8f8c3cde00e2306f19191e724df7d54
TLSH
T15AF0010188579C8421484D14FF7C8C544EBEE2368281365BFA240C7800C0B0604A38D8
MD5 SHA1 SHA512 TLSH

Submit Download

memory/3640-16-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-5-0x0000000000B30000-0x0000000000B6C000-memory.dmp

Download

memory/3640-8-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-9-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-10-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-12-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-17-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-6-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-15-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-7-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-4-0x00007FFF17CEF000-0x00007FFF17CF0000-memory.dmp

Download

memory/3640-32-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-33-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-34-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-35-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-36-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download

memory/3640-37-0x00007FFF17B60000-0x00007FFF18504000-memory.dmp

Download