File name: | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe |
Full analysis: | https://app.any.run/tasks/d1296a91-3e50-4015-a0cd-d0807b2e881e |
Verdict: | Malicious activity |
Threats: | GandCrab is probably one of the most famous Ransomware. A Ransomware is a malware that asks the victim to pay money in order to restore access to encrypted files. If the user does not cooperate the files are forever lost. |
Analysis date: | November 14, 2018, 10:46:28 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MIME: | application/x-dosexec |
File info: | PE32 executable (GUI) Intel 80386, for MS Windows, Nullsoft Installer self-extracting archive |
MD5: | D725888D36BFF46D6CFF16EBABC2A096 |
SHA1: | A92309C26A7356553E205CD62255DFCB82E70C9E |
SHA256: | 0352040E7E7243B01C31956923ACE254D08B98CBF9E956D9FB3726031F5647AF |
SSDEEP: | 12288:ohchLiuQbVB0eH8/7KR/5eBJXwQ81W62F5ct:ohcpirbVB/Hs+AJJ6yat |
.exe | | | NSIS - Nullsoft Scriptable Install System (91.9) |
---|---|---|
.exe | | | Win32 Executable MS Visual C++ (generic) (3.3) |
.exe | | | Win64 Executable (generic) (3) |
.dll | | | Win32 Dynamic Link Library (generic) (0.7) |
.exe | | | Win32 Executable (generic) (0.4) |
MachineType: | Intel 386 or later, and compatibles |
---|---|
TimeStamp: | 2013:05:20 01:53:57+02:00 |
PEType: | PE32 |
LinkerVersion: | 6 |
CodeSize: | 23552 |
InitializedDataSize: | 263168 |
UninitializedDataSize: | 8192 |
EntryPoint: | 0x324d |
OSVersion: | 4 |
ImageVersion: | 6 |
SubsystemVersion: | 4 |
Subsystem: | Windows GUI |
Architecture: | IMAGE_FILE_MACHINE_I386 |
---|---|
Subsystem: | IMAGE_SUBSYSTEM_WINDOWS_GUI |
Compilation Date: | 19-May-2013 23:53:57 |
Detected languages: |
|
Magic number: | MZ |
---|---|
Bytes on last page of file: | 0x0090 |
Pages in file: | 0x0003 |
Relocations: | 0x0000 |
Size of header: | 0x0004 |
Min extra paragraphs: | 0x0000 |
Max extra paragraphs: | 0xFFFF |
Initial SS value: | 0x0000 |
Initial SP value: | 0x00B8 |
Checksum: | 0x0000 |
Initial IP value: | 0x0000 |
Initial CS value: | 0x0000 |
Overlay number: | 0x0000 |
OEM identifier: | 0x0000 |
OEM information: | 0x0000 |
Address of NE header: | 0x000000C8 |
Signature: | PE |
---|---|
Machine: | IMAGE_FILE_MACHINE_I386 |
Number of sections: | 5 |
Time date stamp: | 19-May-2013 23:53:57 |
Pointer to Symbol Table: | 0x00000000 |
Number of symbols: | 0 |
Size of Optional Header: | 0x00E0 |
Characteristics: |
|
Name | Virtual Address | Virtual Size | Raw Size | Charateristics | Entropy |
---|---|---|---|---|---|
.text | 0x00001000 | 0x00005BF0 | 0x00005C00 | IMAGE_SCN_CNT_CODE, IMAGE_SCN_MEM_EXECUTE, IMAGE_SCN_MEM_READ | 6.50127 |
.rdata | 0x00007000 | 0x000011CE | 0x00001200 | IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_MEM_READ | 5.23598 |
.data | 0x00009000 | 0x0003DFD8 | 0x00000400 | IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_MEM_READ, IMAGE_SCN_MEM_WRITE | 4.92749 |
.ndata | 0x00047000 | 0x00042000 | 0x00000000 | IMAGE_SCN_CNT_UNINITIALIZED_DATA, IMAGE_SCN_MEM_READ, IMAGE_SCN_MEM_WRITE | 0 |
.rsrc | 0x00089000 | 0x00001078 | 0x00001200 | IMAGE_SCN_CNT_INITIALIZED_DATA, IMAGE_SCN_MEM_READ | 4.19277 |
Title | Entropy | Size | Codepage | Language | Type |
---|---|---|---|---|---|
1 | 5.20315 | 715 | UNKNOWN | English - United States | RT_MANIFEST |
103 | 2.16096 | 20 | UNKNOWN | English - United States | RT_GROUP_ICON |
104 | 2.6935 | 316 | UNKNOWN | English - United States | RT_DIALOG |
105 | 2.66174 | 256 | UNKNOWN | English - United States | RT_DIALOG |
106 | 2.88094 | 284 | UNKNOWN | English - United States | RT_DIALOG |
110 | 3.22336 | 872 | UNKNOWN | English - United States | RT_BITMAP |
111 | 2.48825 | 96 | UNKNOWN | English - United States | RT_DIALOG |
ADVAPI32.dll |
COMCTL32.dll |
GDI32.dll |
KERNEL32.dll |
SHELL32.dll |
USER32.dll |
VERSION.dll |
ole32.dll |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
1744 | "C:\Users\admin\AppData\Local\Temp\Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe" | C:\Users\admin\AppData\Local\Temp\Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | explorer.exe | |
User: admin Integrity Level: MEDIUM Exit code: 0 | ||||
2172 | "C:\Users\admin\AppData\Local\Temp\Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe" | C:\Users\admin\AppData\Local\Temp\Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | |
User: admin Integrity Level: MEDIUM | ||||
3888 | "C:\Windows\system32\wbem\wmic.exe" shadowcopy delete | C:\Windows\system32\wbem\wmic.exe | — | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: WMI Commandline Utility Exit code: 2147749908 Version: 6.1.7600.16385 (win7_rtm.090713-1255) |
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASAPI32 |
Operation: | write | Name: | EnableFileTracing |
Value: 0 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASAPI32 |
Operation: | write | Name: | EnableConsoleTracing |
Value: 0 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASAPI32 |
Operation: | write | Name: | FileTracingMask |
Value: 4294901760 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASAPI32 |
Operation: | write | Name: | ConsoleTracingMask |
Value: 4294901760 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASAPI32 |
Operation: | write | Name: | MaxFileSize |
Value: 1048576 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASAPI32 |
Operation: | write | Name: | FileDirectory |
Value: %windir%\tracing | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASMANCS |
Operation: | write | Name: | EnableFileTracing |
Value: 0 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASMANCS |
Operation: | write | Name: | EnableConsoleTracing |
Value: 0 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASMANCS |
Operation: | write | Name: | FileTracingMask |
Value: 4294901760 | |||
(PID) Process: | (2172) Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing\Bewerbung und Lebenslauf - Miriam Tauber 10_RASMANCS |
Operation: | write | Name: | ConsoleTracingMask |
Value: 4294901760 |
PID | Process | Filename | Type | |
---|---|---|---|---|
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\nsh9A48.tmp | — | |
MD5:— | SHA256:— | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\KNTWWDHg_normal.jpg | image | |
MD5:7CACACD1EB5A46BDD21EF399288D54A3 | SHA256:A9C56DBD198DBD69B44E5092DBAB8A2948EFFECC863343F8D3801F980D654AA2 | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\arts.jpg | image | |
MD5:CB06D4D4E212580DEB80292738C13CFD | SHA256:4A129CDE05068AD74AA9AC8060B0DB88A6C4D98E353A4F52E63E41873F110C99 | |||
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\.oracle_jre_usage\90737d32e3abaa4.timestamp | — | |
MD5:— | SHA256:— | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\050318stormy1_167x94.jpg | image | |
MD5:F98D62B23B22A0E841564F45AF2537D8 | SHA256:94097A63843DCB1581C8299635D198A06D9E02398E8DB3789EC59E001E686D2D | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\rartgN40_bigger.jpg | image | |
MD5:811580DA10F696D2EE799BEA163E565D | SHA256:DD401EDE6F00A99D7EFCBC55548AD73E98D168325874325A705D0C36A554B700 | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\VAQ99jSq_bigger.jpg | image | |
MD5:00BF09066F79DC9078F42C5A255B19E1 | SHA256:5B92C0EAC88C64177737EDF1DBB39111424E50003386B9E7775CCADCD1EC8281 | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\Sargassum.cab | binary | |
MD5:86F04E13BEF811D841CFCEB816980CE2 | SHA256:693DA4742060E2147E9316916FC35FF8BCE8968A56212BCFB41A7D597686C950 | |||
1744 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Local\Temp\opinion.jpg | image | |
MD5:E4EC218E523092CAFDBDBE251F093FB1 | SHA256:5360F29D7BC8AF8610791CFDCFDFD459643414BC3405D4CDDAFBC01B6E27475F | |||
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | C:\Users\admin\AppData\Roaming\Microsoft\SystemCertificates\My\Certificates\E02357FC7708441D4B0BE5F371F4B28961870F70 | binary | |
MD5:DA6C793FB0533AF0139A6D76C9956547 | SHA256:BCEC4BFFD8EE03E0FDF1C1577EF4635AC08DB1F94CF07B0C406A6B3A171E9E1D |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | — | 52.29.192.136:80 | http://www.macartegrise.eu/ | DE | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | — | 92.53.96.201:80 | http://perovaphoto.ru/ | RU | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | — | 77.104.171.238:80 | http://www.fabbfoundation.gm/ | US | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | 500 | 178.33.233.202:80 | http://www.poketeg.com/ | FR | html | 665 b | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | — | 146.66.72.87:80 | http://www.perfectfunnelblueprint.com/ | US | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | — | 87.236.16.31:80 | http://asl-company.ru/ | RU | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | GET | — | 87.236.16.60:80 | http://pp-panda74.ru/ | RU | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | POST | — | 87.236.16.31:80 | http://asl-company.ru/content/pictures/imeseses.jpg | RU | — | — | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | POST | 500 | 178.33.233.202:80 | http://www.poketeg.com/wp-content/pics/imkesodamo.bmp | FR | html | 665 b | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | POST | 404 | 92.53.96.201:80 | http://perovaphoto.ru/content/images/fukazuheso.gif | RU | html | 1.02 Kb | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 217.160.0.234:80 | www.billerimpex.com | 1&1 Internet SE | DE | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 217.160.0.234:443 | www.billerimpex.com | 1&1 Internet SE | DE | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 87.236.16.31:80 | asl-company.ru | Beget Ltd | RU | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 92.53.96.201:80 | perovaphoto.ru | TimeWeb Ltd. | RU | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 178.33.233.202:80 | www.poketeg.com | OVH SAS | FR | suspicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 77.104.171.238:80 | www.fabbfoundation.gm | SoftLayer Technologies Inc. | US | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 52.29.192.136:80 | www.macartegrise.eu | Amazon.com, Inc. | DE | whitelisted |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 69.73.180.151:80 | www.wash-wear.com | Global Net Access, LLC | US | malicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 173.247.242.133:80 | cevent.net | InMotion Hosting, Inc. | US | suspicious |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | 146.66.72.87:80 | www.perfectfunnelblueprint.com | — | US | malicious |
Domain | IP | Reputation |
---|---|---|
www.billerimpex.com |
| whitelisted |
www.macartegrise.eu |
| malicious |
www.poketeg.com |
| malicious |
perovaphoto.ru |
| malicious |
asl-company.ru |
| malicious |
www.fabbfoundation.gm |
| malicious |
www.perfectfunnelblueprint.com |
| unknown |
www.wash-wear.com |
| malicious |
pp-panda74.ru |
| malicious |
cevent.net |
| malicious |
PID | Process | Class | Message |
---|---|---|---|
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | ET TROJAN [eSentire] Win32/GandCrab v4/5 Ransomware CnC Activity |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | MALWARE [PTsecurity] Win32/GandCrab Ransomware CnC Activity |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | MALWARE [PTsecurity] Win32/GandCrab Ransomware CnC Activity |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | ET POLICY Data POST to an image file (gif) |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | MALWARE [PTsecurity] Win32/GandCrab Ransomware CnC Activity |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | ET POLICY Data POST to an image file (jpg) |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | ET TROJAN [eSentire] Win32/GandCrab v4/5 Ransomware CnC Activity |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | MALWARE [PTsecurity] Win32/GandCrab Ransomware CnC Activity |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | ET POLICY Data POST to an image file (gif) |
2172 | Bewerbung und Lebenslauf - Miriam Tauber 10.09.2018.exe | A Network Trojan was detected | MALWARE [PTsecurity] Win32/GandCrab Ransomware CnC Activity |