PDF static analysis report

Static analysis result for SHA-256 492e25ac31b919a3…

SUSPICIOUS

PDF

505.4 KB First seen: 2026-05-08
MD5: 867c7831fb226f7fd2970ce8ca3e34f2 SHA-1: 836306f43138ae071acf2ce41f3ce4db0e2dd585 SHA-256: 492e25ac31b919a3ee6074e933a0c48bf9f1493416e8f1f79a57f8a3908f2153
44 Risk Score

Malware Insights

MITRE ATT&CK
T1557.001 Man-in-the-Middle: Drive-by Compromise

The PDF was flagged by an ML classifier as malicious with a high score. Static analysis also identified an embedded file within the PDF structure. The encrypted nature of the PDF prevents deeper static analysis of its contents. The embedded file is the primary indicator of malicious intent, suggesting it is a payload or a component of a larger attack chain.

Machine Learning

  • Nyx PDF Classifier malicious score 0.9942

Heuristics 4

  • Embedded file low PDF_EMBEDDED
    PDF embeds a file attachment — could carry an executable or another weaponised document as a nested payload
  • Encrypted PDF (string and stream contents are opaque to static scan) info PDF_ENCRYPTED
    PDF declares /Encrypt — string objects and stream contents are encrypted with the standard security handler (RC4 or AES). On its own this is informational; legitimate encrypted documents include signed contracts, billing statements, and rights-managed material. Static heuristics cannot inspect encrypted payload bytes.
  • Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGE
    One or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.
  • Embedded URL info EMBEDDED_URL
    One or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.
    URL http://www.monotype.comMonotype In PDF document text
    • http://ocsp.verisign.com0In PDF document text
    • http://ns.adobe.com/xdp/In PDF document text
    • http://www.xfa.org/schema/xci/2.6/In PDF document text
    • http://www.xfa.org/schema/xci/2.8/In PDF document text
    • http://www.xfa.org/schema/xfa-template/2.6/In PDF document text
    • http://www.w3.org/1999/xhtmlIn PDF document text
    • http://www.xfa.org/schema/xfa-data/1.0/In PDF document text
    • http://get.adobe.com/de/reader/In PDF document text
    • http://www.xfa.org/schema/xfa-locale-set/2.7/In PDF document text
    • http://www.xfa.org/schema/xfa-locale-set/2.6/In PDF document text
    • http://ns.adobe.com/xtd/In PDF document text
    • http://www.w3.org/1999/02/22-rdf-syntax-ns#In PDF document text
    • http://ns.adobe.com/xap/1.0/In PDF document text
    • http://ns.adobe.com/xap/1.0/mm/In PDF document text
    • http://purl.org/dc/elements/1.1/In PDF document text
    • http://ns.adobe.com/pdf/1.3/In PDF document text
    • http://ns.adobe.com/xfa/promoted-desc/In PDF document text
    • http://ns.adobe.com/xfdf/In PDF document text
    • http://cgi.adobe.com/special/acrobat/updateIn PDF document text
    • http://www.iec.chIn PDF document text
    • https://www.verisign.com/rpaIn PDF document text
    • http://ocsp.verisign.com/ocsp/status0In PDF document text
    • https://www.verisign.com/rpa0In PDF document text
    • http://crl.microsoft.com/pki/crl/products/CodeSignPCA.crl0In PDF document text
    • http://www.microsoft.com/typographyIn PDF document text
    • http://www.monotype.com/html/mtname/ms_arial.htmlhttp://www.monotype.com/html/mtname/ms_welcome.htmlhttp://www.monotype.com/html/type/license.htmlIn PDF document text
    • http://crl.verisign.com/tss-ca.crl0In PDF document text
    • http://crl.verisign.com/ThawteTimestampingCA.crl0In PDF document text
    • https://www.verisign.com/rpa01In PDF document text
    • http://crl.verisign.com/pca3.crl0In PDF document text
    • http://CSC3-2004-crl.verisign.com/CSC3-2004.crl0DIn PDF document text
    • http://CSC3-2004-aia.verisign.com/CSC3-2004-aia.cer0In PDF document text
    • http://www.adobe.com/typehttp://www.adobe.com/type/legal.htmlIn PDF document text

Related samples 8

Ranked by shared artifacts, heuristics, extracted URLs, CVEs, and signatures.

Full JSON: related samples API

Extracted artifacts 23

Files carved from inside the sample during analysis.

FilenameKindSourceSize
embedded_file_obj0012.bin pdf-embedded-file PDF EmbeddedFile object 12 at offset 0x2275 163 bytes
SHA-256: 9b6bb00087b203a516f4be7760199289fa41e924eb64655205b3dfe586289ada
embedded_file_obj0013.bin pdf-embedded-file PDF EmbeddedFile object 13 at offset 0x2366 2414 bytes
SHA-256: 8b417a985dfd5e7755d61f8bd451787f0cf1f07b848bf6a1192d5884b0d3b18c
embedded_file_obj0014.bin pdf-embedded-file PDF EmbeddedFile object 14 at offset 0x277C 72014 bytes
SHA-256: d4f1c8ac9e02863c6352f6dc959d29711b637cac656e522744f7896e6a25114c
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact contains 2 long base64-like blob(s).
embedded_file_obj0015.bin pdf-embedded-file PDF EmbeddedFile object 15 at offset 0x8978 2920 bytes
SHA-256: ed21c449ec1f230da95997e24740e9ead7fb874c64926ff9a1130dcfe72d193a
embedded_file_obj0016.bin pdf-embedded-file PDF EmbeddedFile object 16 at offset 0x8CF5 200 bytes
SHA-256: 48eba206f21018909bc5308626d34dfcb669a58b2cfc1e73e2f00f83f5079f38
embedded_file_obj0017.bin pdf-embedded-file PDF EmbeddedFile object 17 at offset 0x8DED 121 bytes
SHA-256: 90938f9e3cdf6db2eeee31ed7c949f3b0952b799b670df73d2e56d31bfcc8d34
embedded_file_obj0018.bin pdf-embedded-file PDF EmbeddedFile object 18 at offset 0x8EAB 1696 bytes
SHA-256: 3bda5f81fee9717fbb92a510ca6bb7e55ac87bae4bfa834b0e372c6d00eb1de6
embedded_file_obj0019.bin pdf-embedded-file PDF EmbeddedFile object 19 at offset 0x91A8 80 bytes
SHA-256: 2ebdd7efeaa1190ff6bad8cbd649b313e3969564018f204e7385b97c2fab1e19
javascript_obj0039_000.js pdf-javascript-stream PDF /JS object 39 at offset 0x7E111 3792 bytes
SHA-256: 42532e6508d5c2db0ab8c8dfcd630c448464119f6e0ad9b9d96e038b45e726fc
Preview script
First 1,000 lines of the extracted script
if (typeof(this.ADBE) == "undefined")
   this.ADBE = new Object();
ADBE.LANGUAGE = "ENU";
ADBE.Viewer_string_Title = "Adobe Acrobat";
ADBE.Viewer_string_Update_Desc = "Adobe Interactive Forms - Update";
ADBE.Viewer_string_Update_Reader_Desc = "Adobe Reader 7.0.5";
ADBE.Reader_string_Need_New_Version_Msg = "Diese PDF-Datei erfordert einen h�here Version von Adobe Reader. Dr�cken Sie OK, um die neueste Version herunterzuladen, oder wenden Sie sich an Ihren Systemadministrator.";
ADBE.Viewer_Form_string_Reader_601 = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Reader erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Klicken Sie auf OK, um ein Online-Update zu initiieren, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Reader_Older = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Reader erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Klicken Sie auf OK, um Informationen �ber Online-Downloads abzurufen, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Viewer_601 = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Acrobat erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Klicken Sie auf OK, um ein Online-Update zu initiieren, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Viewer_60 = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Acrobat erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Weitere Informationen erhalten Sie, wenn Sie die folgende Internetadresse aufrufen (indem Sie die URL durch Dr�cken von STRG+C [Win] oder Befehlstaste+C [Mac] kopieren und in die Adressleiste Ihres Browsers einf�gen). Sie k�nnen sich auch an Ihren Systemadministrator wenden.";
ADBE.Viewer_Form_string_Viewer_Older = "F�r diese PDF-Datei ist eine neuere Version von Adobe Acrobat erforderlich. Kopieren Sie diese URL, und f�gen Sie sie in Ihren Browser ein, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Reader_5x = "Dieses PDF-Formular kann nur in einer neueren Adobe Reader-Version verwendet werden. In einer �lteren Version wird das Formular zwar angezeigt, doch es funktioniert m�glicherweise nicht einwandfrei. Einige Formularelemente werden u. U. �berhaupt nicht angezeigt. Wenn eine Internetverbindung zur Verf�gung steht, klicken Sie auf OK, um in Ihrem Browser eine Web-Seite zu �ffnen, auf der die aktuelle Version erh�ltlich ist.";
ADBE.Viewer_Form_string_Reader_6_7x = "Dieses PDF-Formular kann nur in einer neueren Adobe Reader-Version verwendet werden. In einer �lteren Version wird das Formular zwar angezeigt, doch es funktioniert m�glicherweise nicht einwandfrei. Einige Formularelemente werden u. U. �berhaupt nicht angezeigt. Wenn eine Internetverbindung zur Verf�gung steht, klicken Sie auf OK, um die aktuelle Version herunterzuladen und zu installieren";
ADBE.Viewer_Form_string_Viewer = "Dieses PDF-Formular kann nur in einer neueren Adobe Acrobat-Version verwendet werden. In einer �lteren Version wird das Formular zwar angezeigt, funktioniert jedoch m�glicherweise nicht einwandfrei. Einige Formularelemente werden u. U. �berhaupt nicht angezeigt. Wenn eine Internetverbindung zur Verf�gung steht, klicken Sie auf OK, um die aktuelle Version herunterzuladen und zu installieren.";
javascript_obj0040_001.js pdf-javascript-stream PDF /JS object 40 at offset 0x7E4CB 902 bytes
SHA-256: 1b2ec98752b966f601d5223a750559cf13d562ac5e5c6d1fcc7217835b01f5fd
Preview script
First 1,000 lines of the extracted script
if (typeof(ADBE.Reader_Value_Asked) == "undefined")
   ADBE.Reader_Value_Asked = false;
if (typeof(ADBE.Viewer_Value_Asked) == "undefined")
   ADBE.Viewer_Value_Asked = false;
if (typeof(ADBE.Reader_Need_Version) == "undefined" || ADBE.Reader_Need_Version < 8.1)
{
   ADBE.Reader_Need_Version = 8.1;
   ADBE.Reader_Value_New_Version_URL = "http://cgi.adobe.com/special/acrobat/update";
   ADBE.SYSINFO = "?p=" + app.platform + "&v=" + app.viewerVersion + "&l=" + app.language + "&c=" + app.viewerType + "&r=" + ADBE.Reader_Need_Version;
}
if (typeof(ADBE.Viewer_Need_Version) == "undefined" || ADBE.Viewer_Need_Version < 8.1)
{
   ADBE.Viewer_Need_Version = 8.1;
   ADBE.Viewer_Value_New_Version_URL = "http://cgi.adobe.com/special/acrobat/update";
   ADBE.SYSINFO = "?p=" + app.platform + "&v=" + app.viewerVersion + "&l=" + app.language + "&c=" + app.viewerType + "&r=" + ADBE.Viewer_Need_Version;
}
javascript_obj0041_002.js pdf-javascript-stream PDF /JS object 41 at offset 0x7E623 1313 bytes
SHA-256: f94e41f586bf3f20bc1deeac4bfbda388a61db43f25fbd6304ba73f5653368cf
Preview script
First 1,000 lines of the extracted script
if (typeof(xfa_installed) == "undefined" || typeof(xfa_version) == "undefined" || xfa_version < 2.6)
{
   if (app.viewerType == "Reader")
   {
      if (ADBE.Reader_Value_Asked != true)
      {
         if (app.viewerVersion < 8.0)
         {
            if (app.alert(ADBE.Reader_string_Need_New_Version_Msg, 1, 1) == 1)
               this.getURL(ADBE.Reader_Value_New_Version_URL + ADBE.SYSINFO, false);
            ADBE.Reader_Value_Asked = true;
         }
         else if (app.alert(ADBE.Viewer_Form_string_Viewer, 1, 1) == 1)
            app.findComponent({cType:"Plugin", cName:"XFA", cVer:"2.6"});
      }
   }
   else
   {
      if (ADBE.Viewer_Value_Asked != true)
      {
         if (app.viewerVersion < 7.0)
            app.response({cQuestion: ADBE.Viewer_Form_string_Viewer_Older, cDefault: ADBE.Viewer_Value_New_Version_URL + ADBE.SYSINFO, cTitle: ADBE.Viewer_string_Title});
		   else if (app.viewerVersion < 8.0)
         {
            if (app.alert(ADBE.Viewer_Form_string_Viewer, 1, 1) == 1)
               app.launchURL(ADBE.Viewer_Value_New_Version_URL + ADBE.SYSINFO, true);
         }
         else if (app.alert(ADBE.Viewer_Form_string_Viewer, 1, 1) == 1)
            app.findComponent({cType:"Plugin", cName:"XFA", cVer:"2.6"});
         ADBE.Viewer_Value_Asked = true;
      }
   }
}
xfa_image_rawvalue_000.tif pdf-xfa-image-tiff XFA image/rawValue TIFF payload near offset 0xA9C0 17350 bytes
SHA-256: ca9594e5acb74fd54230c1f0e6d1ea53619d226882e1be98d1ea6e6bb4a09f48
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact entropy is 7.76, consistent with packed or encrypted content.
stream_010_off0000a0bf.bin decompressed-pdf-stream PDF FlateDecoded stream at offset 0xA0BF 352198 bytes
SHA-256: 1e8564d3d89047875dccaa98279599de9d7ddf77240906041f1156ba8edf3315
stream_011_off0003b65c.bin decompressed-pdf-stream PDF FlateDecoded stream at offset 0x3B65C 367087 bytes
SHA-256: b8e2518b116c26bab0e9f8c1672daf405dedad561157502b657e9005be2029aa
font_01_sfnt_off0006de74.bin pdf-font-stream PDF embedded font (sfnt) at offset 0x6DE74 95975 bytes
SHA-256: c29e5b1537bee8c88b3ffca56c5f24a45ec8da374cf9d4c0b4a78d04fc230949
embedded_file_obj0001_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 1 at offset 0xFCA; filter decode failed 176 bytes
SHA-256: b594d670041aca6632806526f95b0a6649ece9ced12c093613ce5f9d20bc2496
embedded_file_obj0002_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 2 at offset 0x10D3; filter decode failed 976 bytes
SHA-256: efd701e4454679d776b34ca79e41e93409619ea82bf0b84b30497fdf4ef6a1b4
embedded_file_obj0003_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 3 at offset 0x14FE; filter decode failed 26864 bytes
SHA-256: cecfc7c2080babf3e40b1e8a7de076f620852da2c39bd1334fce642e87d05add
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact entropy is 7.99, consistent with packed or encrypted content.
embedded_file_obj0004_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 4 at offset 0x7E47; filter decode failed 832 bytes
SHA-256: 090c73a2f919172345197cc3bc2ed5e97380532235de3ad07e02ba4153ad62a6
embedded_file_obj0005_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 5 at offset 0x81E0; filter decode failed 176 bytes
SHA-256: 4360efe198cafa32615d1c485115906dab2b617eac010cdb4476819c9a5c8d7b
embedded_file_obj0006_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 6 at offset 0x82E9; filter decode failed 128 bytes
SHA-256: 2c0de84c91d983c67fd5382ae27d5a90f65b79de452581d3d74665da1b34a94c
embedded_file_obj0007_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 7 at offset 0x83C2; filter decode failed 704 bytes
SHA-256: c781061f8094c37cfd1737b711f88036f244eccdbdb2234d2906335431e9d19e
embedded_file_obj0008_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 8 at offset 0x86DB; filter decode failed 112 bytes
SHA-256: a0de1e2735973dd21e407da92416f45933631d09f15a9004ef781dd4b643164f

Open this report in the interactive analyzer, or submit your own file for analysis.