Malicious Office (OLE) — malware analysis report

Static analysis result for SHA-256 389ef69d3069542f…

MALICIOUS

Office (OLE)

70.5 KB Created: 2000-04-20 18:51:00 Authoring application: Microsoft Word 8.0 First seen: 2012-06-14
MD5: 493849085ef91bf1af96e7666772817c SHA-1: 477d6672c6e89ca3dc51d0209368bcb1df66ee36 SHA-256: 389ef69d3069542ff5525dd634316bcd48f10ade604099586d52a80da69ca702
180 Risk Score

Malware Insights

MITRE ATT&CK
T1059.005 Visual Basic T1566.001 Spearphishing Attachment

The sample is a Microsoft Word document containing a high-severity heuristic indicating the presence of VBA macros, specifically a Document_Open macro. The ClamAV detection 'Doc.Trojan.Proverb-1' further confirms its malicious nature. The VBA macro code, though partially truncated and obfuscated with Russian proverbs, is designed to execute upon opening the document, suggesting it acts as a downloader or initial execution vector for further malicious activity.

Heuristics 3

  • ClamAV: Doc.Trojan.Proverb-1 critical CLAMAV_DETECTION
    ClamAV detected this file as malware: Doc.Trojan.Proverb-1
  • VBA macros detected medium 1 related finding OLE_VBA_MACROS
    Document contains VBA macro code
  • Document_Open macro high OLE_VBA_DOCOPEN
    Document_Open macro

Extracted artifacts 1

Files carved from inside the sample during analysis.

FilenameKindSourceSize
macros.bas vba-macro oletools.olevba.extract_macros (decoded VBA source) 92928 bytes
SHA-256: c9a9210049209b61e3cdefcd838f287d562ac6f4e67c96b975555766d6bdf2c8
Detection
ClamAV: Doc.Trojan.Proverb-1
Obfuscation or payload: unlikely
Preview script
First 1,000 lines of the extracted script
Attribute VB_Name = "ThisDocument"
Attribute VB_Base = "1Normal.ThisDocument"
Attribute VB_Creatable = False
Attribute VB_PredeclaredId = True
Attribute VB_Exposed = True
Attribute VB_TemplateDerived = True
Attribute VB_Customizable = True
'Macro Virus Inoculation - Module d'immunisation. The following 2 lines must not be altered or moved. Ne pas modifier ou supprimer les deux lignes qui suivent.'
'Inoculated - Immunisé'
'Anti-Smyser'
'Ëþáèøü êàòàòüñÿ - ïîëåçàé â êóçîâ.
'Hà áåçpûáüå è ñëîíà èç ìóõè ñäåëàåøü.
'Hà áåçáàáüå è ðûáó ðàêîì.
'Hà áåçïòè÷üå è æîïà ñîëîâåé.
'Hà áåçðûáüå è ñàì ðàêîì ñòàíåøü.
'Hà âîðå è øàïêà ãëàçà êîëåò.
'Hà ãîëîì òåëå - çäîðîâûé äóõ.
'Hà íåò íè òóäà íè ñóäà íåò.
'Hà ïîæàðå è õðåí - âîäîïðîâîä.
'Hà Ðîäèíå õîðîøî, à äîìà ëó÷øå!
'Hà õàëÿâó è "ÐÀÌÀ" - ñëèâî÷íîå ìàñëî.
'Hà õàëÿâó è çâåðü áåæèò.
'Hà ÷óæîé ëîáîê íå ðàçåâàé ðîòîê!
'Hà ÷óæóþ êðîâàòü ðîò íå ðàçåâàòü!
'Hàãëîñòü - âòîðîå ñ÷àñòüå.
'Hàçâàëñÿ ãðóçäåì, îáîñðàëñÿ è ñòîé.
'Hàçâàëñÿ êëèçìîé - ïîëåçàé â æîïó.
'Hàêîñÿ -ê, âûêópè!
'Hàðîäó ñîáðàëîñü - ÿáëîêó ïëþíóòü íåãäå!
'Hå pîé ÿìó äpóãîìó, ÷òîáû îí íå èñïîëüçîâàë åå êàê îêîï.
'Hå âîäêîé åäèíîé ïüÿí ÷åëîâåê!
'Hå âñå òî çîëîòî, ÷òî ïëîõî ëåæèò.
'Hå âñå òî ñîëíûøêî, ÷òî âñòàåò.
'Hå ãîâîðè ãîï, êîëè ðîæà êðèâà.
'Hå äàâøè - êðåïèñü, à äàâøè - äåðæèñü!
'Hå èìåé ñòî äðóçåé, à èìåé âñåõ âðàãîâ!
'Hå èìåé ñòî äðóçåé, à èìåé íàãëóþ ðîæó.
'Hå èìåé ñòî ðóáëåé, à èìåé ñòî áàêñîâ!
'Hå íûòüåì, òàê êàêàíüåì!
'Hå îòêëàäûâàé íà çàâòpà òî, ÷òî ìîæíî âûïèòü ñåãîäíÿ.
'Hå îòêëàäûâàé íà çàâòðà òó, ÷òî ìîæåøü óæå ñåãîäíÿ!
'Hå ïåé èç êîëîäöà - ïðèãîäèòñÿ ïëþíóòü.
'Hå ïåíÿé íà çåðêàëî, êîëè ÿéöà ìåøàþò.
'Hå ïåíÿé íà çåðêàëî, ïîêà íå ïåðåïðûãíåøü.
'Hå ïëþé â êàëîøó - ïðèãîäèòñÿ â íåå ñàäèòüñÿ!
'Hå ïëþé â êîëîäåö - âûëåòèò íå ïîéìàåøü.
'Hå ïëþé â êîëîäåö - ñàì òóäà ïîïàäåøü.
'Hå ïëþé â êîëîäåö - òàì æå íèêîãî íåò...
'Hå ïîæåëàé áëèæíåìó æåíû ñâîåé.
'Hå ïîìèíàéòå Ãîñïîäà... âñóíåì!
'Hå ñëåäè çà õâîñòîì, à òî íå çàìåòèøü ðîãîâ...
'Hå ñïåøè, à òî óñïååøü!
'Hå ñóé ñâîé âçíîñ íå â ñâîå äåëî!
'Hå òàê ñòðàøåí ÷åðò, êàê åãî ìàëþòêà!
'Hå òÿíè ðåçèíó çà õâîñò â äîëãèé ÿùèê.
'Hå óâåðåí - íå òîðìîçè!
'Hå ÿéöà êðàñÿò ÷åëîâåêà, à ÷åëîâåê ÿéöà!
'Håò ïîâåñòè ïå÷àëüíåå íà ñâåòå, ÷åì ïîâåñòü î ìèíüåòå â òóàëåòå.
'Håò ïîâåñòè ïå÷àëüíåå íà ñâåòå,÷åì ïîâåñòü î çàêëèíèâøåì RESETe...
'Hå÷à íà çåðêàëî ïåíÿòü - êîëè!
'Hå÷åãî çåðêàëî ïèíàòü, êîëè ðîæà êðèâà.
'Hè ïóêà, íè ï¸ðà!
'À çîìáè çäåñü òèõèå
'À íå ïîéòè ëè ìíå íà ðàáîòó,- ïîäóìàë ÿ. È íå ïîøåë.
'À ñóïðóæåñêèé äîëã îòäàé Ðóáëÿìè
'À ñ÷àñòüå áûëî òàê âîçìîæíî.... è òàê âîçìîæíî...è âîò òàê...
'Àëêîãîëü â ìàëûõ äîçàõ áåçâðåäåí â ëþáîì êîëè÷åñòâå!
'Àìåðèêàíöû - ìû èç íåãðîâ çâåçä íå äåëàåì
'Áàáà ñ âîçó - âûëåòèò - íå ïîéìàåøü.
'Áàáà ñ âîçó - êoáûëà â êópñå äåëà.
'Áàáà ñ âîçó - ïîòåõå ÷àñ.
'Áàáà ñ âîçó, è âîëêè ñûòû!
'Áàçàð êîïåéêó ëþáèò
'Áåäó íàCLICKàë... (èç Windows'95)
'Áåç póáàøêè áëèæå ê òåëó.
'Áåç ïðóäà íå âûòàùèøü è ðûáêó èç íåãî.
'Áåç òðóäà íå çàñóíåøü è òóäà.
'Áåðåãè åãî êàê çåíèöó - âî êàê.
'Áåðåãè ÷åñòü ñìîëîäó - ïîëþáèøü è êîçëà!
'Áåðåãè ÷åñòü ñìîëîäó, êîëè ðîæà êðèâà.
'Áëèæå ê òåëó!
'Áîëüøîìó êîðàáëþ - áîëüøàÿ òîðïåäà.
'Áîðîòüñÿ è èñêàòü, íàéòè è ïåðåïðÿòàòü!
'Áðîíåòåìêèí "Ïîíîñåö".
'Áóäåøü ìíîãî æèòü - ñêîðî ñîñòàðèøüñÿ
'Áóäåøü òèøå - äîëüøå áóäåøü
'Áûñòðåå, ãëóáæå, íåæíåå.
'Â ãàðåìàõ íåò ïëîõèõ òàíöîðîâ
'Â ãîñòÿõ õîðîøî, à äîìà ïëîõî.
'Â ãîñòÿõ õîðîøî, à äîìà ó ìåíÿ íåòó.
'Â æåíñêèé ìîíàñòûðü ñî ñâîèì óñòàëûì íå õîäÿò
'Â êîíöå êîíöîâ, ñðåäè êîíöîâ, íàéäåøü êîíåö òû íàêîíåö.
'Â òåìíîòå âñå êîøêè ñåðþò.
'Â ÷óæîå ÎÀÎ ñî ñâîèì óñòàâîì íå õîäÿò.
'Âåê âêëàäà íå âèäàòü.
'Âåðà ìîæåò äâèãàòü ãîðû, îíà - êîëîññàëüíàÿ áàáà.
'Âçÿëñÿ çà ãóæ - íå çàáóäü ñõîäèòü â äóø
'Âèäåòü âàñ - îäíî óäîâîëüñòâèå, à íå âèäåòü - äðóãîå
'Âèäíî ïòèöó ïî ïîìåòó
'Âèíî, äåâî÷êè, íî÷íàÿ Ìîñêâà, ìèëèöèÿ, äðàêè, ðàçáèòûå àâòîìîáèëè, ðàçîð¸ííûå ãí¸çäà ëþáâè
'Âîäêà "Áóðàòèíî" - ïî÷óâñòâóéòå ñåáÿ äðîâàìè
'Âîçüìè êîíÿ çà ðîãà!
'Âîëêîâ áîÿòüñÿ - â ëåñó íå åáàòüñÿ!
'Âðåìÿ ëå÷èò, íî äîêòîð - áûñòðåå.
'âñå ãåíèàëüíîå - ïðîñòûíü
'Â
... (truncated)