Requesting Explanation of Suspicious Behavior

[DJStompZone]

First off, thank you for providing this tool; it’s a promising solution for audio mastering.

However, during a recent analysis of your Windows binary, I observed some potentially concerning behaviors. I’d like to bring these to your attention and request clarification to ensure the application is functioning as intended.

The binary in question is: v1.1.0/aimastering-windows-386.exe

Observed Behaviors:

1. Network Communication:

   • A connection was observed to 23.198.171.50:443. This IP is registered to Akamai, a widely used CDN. However, without further context, Akamai’s infrastructure could host anything, including potentially questionable resources. This raises concerns about the purpose of this connection.

2. File System and Registry Activity:

   • System-critical files and registry keys, such as kernel32.dll and HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa\FipsAlgorithmPolicy, were accessed. These actions might suggest privilege escalation or deeper system interaction than what an audio mastering tool typically requires.

3. Process Management:

   • Processes such as wuapihost.exe were created and terminated. This behavior might interfere with system stability or indicate functionality beyond the tool’s stated purpose.

Request for Clarification:

I request that you kindly provide insight into the following:

• The necessity of the connection to 23.198.171.50 and what data is exchanged.
• The justification for accessing system-critical files, registry keys, and managing processes.

Reference:

Further details of the observed behaviors are available on VirusTotal:
0db232d4ab39fea9a4cd06e4e1df92bc98886f1ded1768cdce81ce708d06b95e/behavior

Thank you for reviewing this. I look forward to your response to clarify these behaviors.

Respectfully,

DJ Magar
Analyst @ StompZone

---

まずはこのツールをご提供いただきありがとうございます。音声マスタリングの有望なソリューションであると感じています。

しかし、貴社のWindowsバイナリを最近分析した際に、いくつか懸念される動作が確認されました。このツールが意図した通りに機能していることを確認するために、これらの点についてご説明いただければ幸いです。

対象のバイナリは以下の通りです：
v1.1.0/aimastering-windows-386.exe

観察された動作:

1. ネットワーク通信:

   • 23.198.171.50:443 への接続が確認されました。このIPアドレスは広く利用されているCDNのAkamaiに登録されています。ただし、詳細な説明がない場合、Akamaiのインフラは疑わしいリソースをホストする可能性もあるため、この接続の目的についての説明が必要です。

2. ファイルシステムおよびレジストリアクティビティ:

   • kernel32.dll や HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Lsa\FipsAlgorithmPolicy などのシステムクリティカルなファイルやレジストリキーへのアクセスが確認されました。これらの動作は、音声マスタリングツールとしては必要以上の特権の昇格やシステムへの深い関与を示唆しています。

3. プロセス管理:

   • wuapihost.exe のようなプロセスが作成および終了されていました。この動作はシステムの安定性に影響を及ぼす可能性があり、ツールの目的を超えた機能を示している可能性があります。

説明をお願いしたい点:
以下の点についてご説明いただけますでしょうか：

• 23.198.171.50:443 への接続の必要性と、交換されるデータの内容。
• システムクリティカルなファイルやレジストリキーへのアクセス、プロセス管理が必要な理由。

参考情報:

観察された動作の詳細は以下のリンクで確認できます：
0db232d4ab39fea9a4cd06e4e1df92bc98886f1ded1768cdce81ce708d06b95e/behavior

お忙しいところ恐れ入りますが、これらの動作についてのご回答をお待ちしております。

敬具

DJ Magar
アナリスト @ StompZone

追伸:

私は日本語のネイティブスピーカーではないため、誤りがあればご容赦ください。