PDF static analysis report

Static analysis result for SHA-256 660335bdc7a9b31a…

SUSPICIOUS

PDF

506.0 KB First seen: 2026-05-09
MD5: a2c86c481e5ccdda0c1f366650e251be SHA-1: 063088b055c7a58d5882115135c6ca6fa24348cd SHA-256: 660335bdc7a9b31a67b9bba87df22d4f438b895734d96022a7e242affc3143e0
44 Risk Score

Malware Insights

MITRE ATT&CK
T1059.007 JavaScript T1566.001 Spearphishing Attachment

The PDF contains JavaScript that displays a fake error message to the user, claiming a newer version of Adobe Reader or Acrobat is required. This message prompts the user to visit a specific URL to download an update, which is a common social engineering tactic to deliver malware. The ML classifier also strongly indicated maliciousness.

Machine Learning

  • Nyx PDF Classifier malicious score 0.9933

Heuristics 4

  • Embedded file low PDF_EMBEDDED
    PDF embeds a file attachment — could carry an executable or another weaponised document as a nested payload
  • Encrypted PDF (string and stream contents are opaque to static scan) info PDF_ENCRYPTED
    PDF declares /Encrypt — string objects and stream contents are encrypted with the standard security handler (RC4 or AES). On its own this is informational; legitimate encrypted documents include signed contracts, billing statements, and rights-managed material. Static heuristics cannot inspect encrypted payload bytes.
  • Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGE
    One or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.
  • Embedded URL info EMBEDDED_URL
    One or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.
    URL http://www.monotype.comMonotype In PDF document text
    • http://ocsp.verisign.com0In PDF document text
    • http://ns.adobe.com/xdp/In PDF document text
    • http://www.xfa.org/schema/xci/2.6/In PDF document text
    • http://www.xfa.org/schema/xci/2.8/In PDF document text
    • http://www.xfa.org/schema/xfa-template/2.6/In PDF document text
    • http://www.w3.org/1999/xhtmlIn PDF document text
    • http://www.xfa.org/schema/xfa-data/1.0/In PDF document text
    • http://get.adobe.com/de/reader/In PDF document text
    • http://www.xfa.org/schema/xfa-locale-set/2.7/In PDF document text
    • http://www.xfa.org/schema/xfa-locale-set/2.6/In PDF document text
    • http://ns.adobe.com/xtd/In PDF document text
    • http://www.w3.org/1999/02/22-rdf-syntax-ns#In PDF document text
    • http://ns.adobe.com/xap/1.0/In PDF document text
    • http://ns.adobe.com/xap/1.0/mm/In PDF document text
    • http://purl.org/dc/elements/1.1/In PDF document text
    • http://ns.adobe.com/pdf/1.3/In PDF document text
    • http://ns.adobe.com/xfa/promoted-desc/In PDF document text
    • http://ns.adobe.com/xfdf/In PDF document text
    • http://cgi.adobe.com/special/acrobat/updateIn PDF document text
    • http://www.iec.chIn PDF document text
    • https://www.verisign.com/rpaIn PDF document text
    • http://ocsp.verisign.com/ocsp/status0In PDF document text
    • https://www.verisign.com/rpa0In PDF document text
    • http://crl.microsoft.com/pki/crl/products/CodeSignPCA.crl0In PDF document text
    • http://www.microsoft.com/typographyIn PDF document text
    • http://www.monotype.com/html/mtname/ms_arial.htmlhttp://www.monotype.com/html/mtname/ms_welcome.htmlhttp://www.monotype.com/html/type/license.htmlIn PDF document text
    • http://crl.verisign.com/tss-ca.crl0In PDF document text
    • http://crl.verisign.com/ThawteTimestampingCA.crl0In PDF document text
    • https://www.verisign.com/rpa01In PDF document text
    • http://crl.verisign.com/pca3.crl0In PDF document text
    • http://CSC3-2004-crl.verisign.com/CSC3-2004.crl0DIn PDF document text
    • http://CSC3-2004-aia.verisign.com/CSC3-2004-aia.cer0In PDF document text
    • http://www.adobe.com/typehttp://www.adobe.com/type/legal.htmlIn PDF document text

Related samples 8

Ranked by shared artifacts, heuristics, extracted URLs, CVEs, and signatures.

Full JSON: related samples API

Extracted artifacts 23

Files carved from inside the sample during analysis.

FilenameKindSourceSize
embedded_file_obj0012.bin pdf-embedded-file PDF EmbeddedFile object 12 at offset 0x2291 163 bytes
SHA-256: 1867fce6f7a61b456d212c31ffd52c0481102c7b5875ee9f276bbda806a3f139
embedded_file_obj0013.bin pdf-embedded-file PDF EmbeddedFile object 13 at offset 0x2382 2204 bytes
SHA-256: 43c4b5f03cf351882dbdac7a9c3b2bea32156ec33cc4fab62ec8f81ec4bdf16b
embedded_file_obj0014.bin pdf-embedded-file PDF EmbeddedFile object 14 at offset 0x2757 80310 bytes
SHA-256: 51cb4286bbc44bf51ea5da8d22714f8a9e929e04091daee1ba0b47aabe0cc6cb
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact contains 2 long base64-like blob(s).
embedded_file_obj0015.bin pdf-embedded-file PDF EmbeddedFile object 15 at offset 0x8A48 2920 bytes
SHA-256: ed21c449ec1f230da95997e24740e9ead7fb874c64926ff9a1130dcfe72d193a
embedded_file_obj0016.bin pdf-embedded-file PDF EmbeddedFile object 16 at offset 0x8DC5 200 bytes
SHA-256: 48eba206f21018909bc5308626d34dfcb669a58b2cfc1e73e2f00f83f5079f38
embedded_file_obj0017.bin pdf-embedded-file PDF EmbeddedFile object 17 at offset 0x8EBD 121 bytes
SHA-256: 90938f9e3cdf6db2eeee31ed7c949f3b0952b799b670df73d2e56d31bfcc8d34
embedded_file_obj0018.bin pdf-embedded-file PDF EmbeddedFile object 18 at offset 0x8F7B 1704 bytes
SHA-256: 75c0924b3799c35d48ab0906731d862684ded9397460cb6e5f882a6bb014a95e
embedded_file_obj0019.bin pdf-embedded-file PDF EmbeddedFile object 19 at offset 0x927D 80 bytes
SHA-256: 2ebdd7efeaa1190ff6bad8cbd649b313e3969564018f204e7385b97c2fab1e19
javascript_obj0039_000.js pdf-javascript-stream PDF /JS object 39 at offset 0x7E1E6 3792 bytes
SHA-256: 42532e6508d5c2db0ab8c8dfcd630c448464119f6e0ad9b9d96e038b45e726fc
Preview script
First 1,000 lines of the extracted script
if (typeof(this.ADBE) == "undefined")
   this.ADBE = new Object();
ADBE.LANGUAGE = "ENU";
ADBE.Viewer_string_Title = "Adobe Acrobat";
ADBE.Viewer_string_Update_Desc = "Adobe Interactive Forms - Update";
ADBE.Viewer_string_Update_Reader_Desc = "Adobe Reader 7.0.5";
ADBE.Reader_string_Need_New_Version_Msg = "Diese PDF-Datei erfordert einen h�here Version von Adobe Reader. Dr�cken Sie OK, um die neueste Version herunterzuladen, oder wenden Sie sich an Ihren Systemadministrator.";
ADBE.Viewer_Form_string_Reader_601 = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Reader erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Klicken Sie auf OK, um ein Online-Update zu initiieren, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Reader_Older = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Reader erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Klicken Sie auf OK, um Informationen �ber Online-Downloads abzurufen, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Viewer_601 = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Acrobat erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Klicken Sie auf OK, um ein Online-Update zu initiieren, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Viewer_60 = "F�r dieses PDF-Formular ist eine neuere Version von Adobe Acrobat erforderlich. Selbst wenn das Formular ordnungsgem�� zu funktionieren scheint, funktionieren einige Elemente m�glicherweise nicht einwandfrei oder werden �berhaupt nicht angezeigt. Weitere Informationen erhalten Sie, wenn Sie die folgende Internetadresse aufrufen (indem Sie die URL durch Dr�cken von STRG+C [Win] oder Befehlstaste+C [Mac] kopieren und in die Adressleiste Ihres Browsers einf�gen). Sie k�nnen sich auch an Ihren Systemadministrator wenden.";
ADBE.Viewer_Form_string_Viewer_Older = "F�r diese PDF-Datei ist eine neuere Version von Adobe Acrobat erforderlich. Kopieren Sie diese URL, und f�gen Sie sie in Ihren Browser ein, oder wenden Sie sich an den Systemadministrator.";
ADBE.Viewer_Form_string_Reader_5x = "Dieses PDF-Formular kann nur in einer neueren Adobe Reader-Version verwendet werden. In einer �lteren Version wird das Formular zwar angezeigt, doch es funktioniert m�glicherweise nicht einwandfrei. Einige Formularelemente werden u. U. �berhaupt nicht angezeigt. Wenn eine Internetverbindung zur Verf�gung steht, klicken Sie auf OK, um in Ihrem Browser eine Web-Seite zu �ffnen, auf der die aktuelle Version erh�ltlich ist.";
ADBE.Viewer_Form_string_Reader_6_7x = "Dieses PDF-Formular kann nur in einer neueren Adobe Reader-Version verwendet werden. In einer �lteren Version wird das Formular zwar angezeigt, doch es funktioniert m�glicherweise nicht einwandfrei. Einige Formularelemente werden u. U. �berhaupt nicht angezeigt. Wenn eine Internetverbindung zur Verf�gung steht, klicken Sie auf OK, um die aktuelle Version herunterzuladen und zu installieren";
ADBE.Viewer_Form_string_Viewer = "Dieses PDF-Formular kann nur in einer neueren Adobe Acrobat-Version verwendet werden. In einer �lteren Version wird das Formular zwar angezeigt, funktioniert jedoch m�glicherweise nicht einwandfrei. Einige Formularelemente werden u. U. �berhaupt nicht angezeigt. Wenn eine Internetverbindung zur Verf�gung steht, klicken Sie auf OK, um die aktuelle Version herunterzuladen und zu installieren.";
javascript_obj0040_001.js pdf-javascript-stream PDF /JS object 40 at offset 0x7E5A0 902 bytes
SHA-256: 1b2ec98752b966f601d5223a750559cf13d562ac5e5c6d1fcc7217835b01f5fd
Preview script
First 1,000 lines of the extracted script
if (typeof(ADBE.Reader_Value_Asked) == "undefined")
   ADBE.Reader_Value_Asked = false;
if (typeof(ADBE.Viewer_Value_Asked) == "undefined")
   ADBE.Viewer_Value_Asked = false;
if (typeof(ADBE.Reader_Need_Version) == "undefined" || ADBE.Reader_Need_Version < 8.1)
{
   ADBE.Reader_Need_Version = 8.1;
   ADBE.Reader_Value_New_Version_URL = "http://cgi.adobe.com/special/acrobat/update";
   ADBE.SYSINFO = "?p=" + app.platform + "&v=" + app.viewerVersion + "&l=" + app.language + "&c=" + app.viewerType + "&r=" + ADBE.Reader_Need_Version;
}
if (typeof(ADBE.Viewer_Need_Version) == "undefined" || ADBE.Viewer_Need_Version < 8.1)
{
   ADBE.Viewer_Need_Version = 8.1;
   ADBE.Viewer_Value_New_Version_URL = "http://cgi.adobe.com/special/acrobat/update";
   ADBE.SYSINFO = "?p=" + app.platform + "&v=" + app.viewerVersion + "&l=" + app.language + "&c=" + app.viewerType + "&r=" + ADBE.Viewer_Need_Version;
}
javascript_obj0041_002.js pdf-javascript-stream PDF /JS object 41 at offset 0x7E6F8 1313 bytes
SHA-256: f94e41f586bf3f20bc1deeac4bfbda388a61db43f25fbd6304ba73f5653368cf
Preview script
First 1,000 lines of the extracted script
if (typeof(xfa_installed) == "undefined" || typeof(xfa_version) == "undefined" || xfa_version < 2.6)
{
   if (app.viewerType == "Reader")
   {
      if (ADBE.Reader_Value_Asked != true)
      {
         if (app.viewerVersion < 8.0)
         {
            if (app.alert(ADBE.Reader_string_Need_New_Version_Msg, 1, 1) == 1)
               this.getURL(ADBE.Reader_Value_New_Version_URL + ADBE.SYSINFO, false);
            ADBE.Reader_Value_Asked = true;
         }
         else if (app.alert(ADBE.Viewer_Form_string_Viewer, 1, 1) == 1)
            app.findComponent({cType:"Plugin", cName:"XFA", cVer:"2.6"});
      }
   }
   else
   {
      if (ADBE.Viewer_Value_Asked != true)
      {
         if (app.viewerVersion < 7.0)
            app.response({cQuestion: ADBE.Viewer_Form_string_Viewer_Older, cDefault: ADBE.Viewer_Value_New_Version_URL + ADBE.SYSINFO, cTitle: ADBE.Viewer_string_Title});
		   else if (app.viewerVersion < 8.0)
         {
            if (app.alert(ADBE.Viewer_Form_string_Viewer, 1, 1) == 1)
               app.launchURL(ADBE.Viewer_Value_New_Version_URL + ADBE.SYSINFO, true);
         }
         else if (app.alert(ADBE.Viewer_Form_string_Viewer, 1, 1) == 1)
            app.findComponent({cType:"Plugin", cName:"XFA", cVer:"2.6"});
         ADBE.Viewer_Value_Asked = true;
      }
   }
}
xfa_image_rawvalue_000.tif pdf-xfa-image-tiff XFA image/rawValue TIFF payload near offset 0xC97B 17350 bytes
SHA-256: ca9594e5acb74fd54230c1f0e6d1ea53619d226882e1be98d1ea6e6bb4a09f48
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact entropy is 7.76, consistent with packed or encrypted content.
stream_010_off0000a194.bin decompressed-pdf-stream PDF FlateDecoded stream at offset 0xA194 352198 bytes
SHA-256: 1e8564d3d89047875dccaa98279599de9d7ddf77240906041f1156ba8edf3315
stream_011_off0003b731.bin decompressed-pdf-stream PDF FlateDecoded stream at offset 0x3B731 367087 bytes
SHA-256: b8e2518b116c26bab0e9f8c1672daf405dedad561157502b657e9005be2029aa
font_01_sfnt_off0006df49.bin pdf-font-stream PDF embedded font (sfnt) at offset 0x6DF49 95975 bytes
SHA-256: c29e5b1537bee8c88b3ffca56c5f24a45ec8da374cf9d4c0b4a78d04fc230949
embedded_file_obj0001_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 1 at offset 0xFCA; filter decode failed 176 bytes
SHA-256: 1d16f762128436a7b2c205772753cdeb465683b029abf1c5d0b04c0616177efa
embedded_file_obj0002_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 2 at offset 0x10D3; filter decode failed 912 bytes
SHA-256: ce03e791563dda3036ee1a00858bffb1245b0aadb2e4ca7409431224304c6e8d
embedded_file_obj0003_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 3 at offset 0x14BE; filter decode failed 27568 bytes
SHA-256: c6e3e3c71e5e36872b653a6a96ca71efde9f2df0c7037e518f444d113d915838
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact entropy is 7.99, consistent with packed or encrypted content.
embedded_file_obj0004_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 4 at offset 0x80C7; filter decode failed 832 bytes
SHA-256: 2742ecc1408524f0512a845cbf9b82e7ce273b214b351146d7a019c42936b183
embedded_file_obj0005_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 5 at offset 0x8460; filter decode failed 176 bytes
SHA-256: 854c37b781d396bfa039d70ba8dbb56dd815451e95677696d7951986f95802cb
embedded_file_obj0006_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 6 at offset 0x8569; filter decode failed 128 bytes
SHA-256: 851db8b186678f1e9bbb1ac6074b550c5ba9fb846e68247a2385e3f1661e2626
embedded_file_obj0007_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 7 at offset 0x8642; filter decode failed 704 bytes
SHA-256: 740649f9d6e7bceefd1f36cc51c491183c2dfdeae1b7fbf3f4087da12a097f32
embedded_file_obj0008_undecoded.bin pdf-embedded-file-undecodable PDF EmbeddedFile object 8 at offset 0x895B; filter decode failed 112 bytes
SHA-256: 643a4c8bf3c38fe4e9729e4e6ac7a80cd239a609083d8755628958dddda6fff8

Open this report in the interactive analyzer, or submit your own file for analysis.