Malicious Office (OOXML) — malware analysis report

Static analysis result for SHA-256 5c75eb5f4eb754da…

MALICIOUS

Office (OOXML)

94.6 KB Created: 2006-09-16 00:00:00 UTC Authoring application: Microsoft Excel 16.0300 First seen: 2021-04-25
MD5: b7afb8f079dd899a90f65e2c47c4af11 SHA-1: 8da9dede287cd56f3c165bc1e9229e7fb9660651 SHA-256: 5c75eb5f4eb754da65fa66a9dba604abed48c31604e487bfe93e2a29611bbb34
60 Risk Score

Heuristics 1

  • Excel 4.0 macro sheet (1 sheet(s)) critical OOXML_XLM_MACROSHEET
    Spreadsheet contains an Excel 4.0 (XLM) macro sheet — XLM was a major Office malware vector during 2020-2022 and evaded many VBA-focused controls before Microsoft tightened XLM defaults. Even legitimate XLM use is rare in modern workbooks. The macro sheet is stored as XLSB/BIFF12 binary content, which many XML-only OOXML scanners miss.

Extracted artifacts 1

Files carved from inside the sample during analysis.

FilenameKindSourceSize
xlm_sheet_00.bin xlm-macrosheet OOXML XLM macro sheet: xl/macrosheets/intlsheet1.bin 9817 bytes
SHA-256: 1d86b3b52f2ca77e486b256d7c7d5bcd39881af7c02f6edc2a9373cc9635903a
Preview script
First 1,000 lines of the extracted script
�  �  �   @      ��������    �      5   (   .   �  %      ��                  & �  �             @   d d         � $                                    �  �  %      ��    & �  m     ,     �  <     �?  m         �  �  %      ��    &           ,        (   (    Q(           . . \ g h n r o p e . r u e          . . \ g h n r o p e . r u e     %      ��    &           ,        (   .   
� (          �        �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �      �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �  D!   &�D    (�    1  D"   &� B n       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �      %      ��    &           ,        (   .   
� (          �        �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �      �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �  D!   &�D    (�    2  D"   &� B n       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �        -             .           %      ��    &           ,        (   .   
� (          �        �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �      �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �  D!   &�D    (�    3  D"   &� B n       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �        -             .           %      ��    &           ,        (   .     -             .           %      ��    &           ,        (   .   
� (          �        �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �      �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �  D!   &�D    (�    5  D"   &� B n       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �       �XPA   �����A   pF�
�A    8 o�A   �㮅1BB �        -             .           %      ��    &           ,        (   .     -             .           %      ��    &           ,        (   .   
 (              B 6       -             .       	   %      ��    &           ,        (   .     -          @  .       
   %      ��    &           ,        (   .     .           %      ��    &           ,        (   .   
e(          R   Z  H   ,�Z  H   *� Z  �    � Z  �    � Z  �    � Z  �    � Z  H   +� :      &�B `�      .           %      ��    &           ,        (   .   
e(          R   Z  I   ,�Z  I   *� Z  �    � Z  �    � Z  �    � Z  �    � Z  I   +� :      &�B `�      .       
   %      ��    &           ,        (   .   
e(          R   Z  J   ,�Z  J   *� Z  �    � Z  �    � Z  �    � Z  �    � Z  J   +� :      &�B `�      .       	   %      ��    &           ,        (   .   
e(          R   Z  K   ,�Z  K   *� Z  �    � Z  �    � Z  �    � Z  �    � Z  K   +� :      &�B `�      .           %      ��    &           ,        (   .   
e(          R   Z  L   ,�Z  L   *� Z  �    � Z  �    � Z  �    � Z  �    � Z  L   +� :      &�B `�      .           %      ��    &   !       ,        (   .   
Y(          F   Z  G   %�Z  H   %� Z  I   %� Z  J   %� Z  K   %� Z  L   %� $    &�B `�      .           %      ��    &   "       ,        (   .   
� *                  A?  ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  Z      &�   n  Z      &�   A  :      &�:  Q   %�:      &�Z      (�   1        B �  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  Z      &�   n  Z      &�   A  :      &�:  Q   %�:      &�Z      (�   2        B �        .           %      ��    &   #       ,        (   .   
O(          <   Z  G   (�Z  H   (� Z  I   (� Z  J   (� Z  K   (� $    &�B `�    %      ��    &   $       ,        (   .   
� (          �   Z  G   $�Z  H   $� Z  I   $� Z  J   $� Z  K   $� Z  L   $� Z  M   $� Z  N   $� Z  O   $� Z  P   $� Z  Q   $� Z  R   $� Z  S   $� Z  T   $� Z  U   $� Z  V   $� Z  W   $� $    &�B `�    %      ��    &   &       ,        (   .   
� *          �       A?  ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  D    %�   n  D    %�   A  :      &�:  Q   %�:      &�Z      (�   3        B �  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/      %      ��    &   '       ,        (   .   
O(          <   Z  G   (�Z  H   (� Z  I   (� Z  J   (� Z  K   (� $    %�B `�    %      ��    &   (       ,        (   .   
� (          �   Z  G   $�Z  H   $� Z  I   $� Z  J   $� Z  K   $� Z  L   $� Z  M   $� Z  N   $� Z  O   $� Z  P   $� Z  Q   $� Z  R   $� Z  S   $� Z  T   $� Z  U   $� Z  V   $� Z  W   $� $    %�B `�    %      ��    &   *       ,        (   .   
� *          �       A?  ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  Z      &�   n  Z      &�   A  :      &�:  Q   %�:      &�Z      (�   5        B �      %      ��    &   /       ,        (   .   
j(          W   $!   &�Z      -�Z      -� Z      -� Z      -� Z      -� Z      -� Z      -�    2    Al     
�
*                  A?  ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  :      (�B �  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/  A?   ; A�        � A ��A/      %      ��    &   0       ,        (   (   
� (          �   $"   &�Z      .�Z      .� Z      .� Z      .� Z      .� Z      .� Z      .� Z      .� Z      .� Z      .� Z      .� Z      .� Z  !   .� Z  "   .� Al     %      ��    &   5       ,        (   (   
 (              $    *�B �     �  � B                                                                  �  ��� 0ffffff�?ffffff�?      �?      �?333333�?333333�?� .	   d   X   X                         r I d 2 �    �������������������������  %      ��                  & �