MALICIOUS
148
Risk Score
Malware Insights
MITRE ATT&CK
T1059.007 JavaScript
T1566.001 Spearphishing Attachment
The PDF file contains an embedded JavaScript payload that is obfuscated and attempts to download content from the URL http://personales.ciudad.com.ar/Derrida/index.htm. This behavior is indicative of a downloader or initial access mechanism, likely delivered via spearphishing. The ClamAV detection of Html.Spyware.IMG-6 further supports the malicious nature of the embedded content.
Machine Learning
- Nyx PDF Classifier suspicious score 0.4114
Heuristics 6
-
ClamAV: Html.Spyware.IMG-6 critical CLAMAV_DETECTIONClamAV detected this file as malware: Html.Spyware.IMG-6
-
Embedded script payload in PDF stream medium PDF_EMBEDDED_SCRIPT_PAYLOADPDF stream bytes contain an HTML/XFA <script> tag without accompanying Windows shell-execution primitives — common in accessible XFA forms but worth surfacing for analyst review.
-
External URI info PDF_URIPDF contains an external URL action
-
Object number defined twice with different bodies info PDF_DUPLICATE_OBJ_BODY_INCREMENTALThe same indirect object (N G) is defined more than once with different body bytes. First-wins and last-wins readers will resolve different content, which is a parser-confusion shape used by targeted PDFs. Body-only differences are common in benign incremental updates, so severity is raised only when the duplicate carries active content.
-
Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGEOne or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.
-
Embedded URL info EMBEDDED_URLOne or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.URL http://personales.ciudad.com.ar/Derrida/derrida_logo.jpg In PDF document text
- http://personales.ciudad.com.ar/Derrida/head.jpgIn PDF document text
- http://personales.ciudad.com.ar/Derrida/index.htmPDF link annotation
- http://www.nietzscheana.com.ar/In PDF document text
- http://personales.ciudad.com.ar/M_Heidegger/In PDF document text
- http://personales.ciudad.com.ar/Derrida/textos.htmIn PDF document text
- http://personales.ciudad.com.ar/Derrida/comentarios.htmIn PDF document text
- http://personales.ciudad.com.ar/Derrida/fotos.htmIn PDF document text
- http://personales.ciudad.com.ar/Derrida/cronologia.htmIn PDF document text
- http://personales.ciudad.com.ar/Derrida/bibliografia.htmIn PDF document text
- http://personales.ciudad.com.ar/Derrida/links.htmIn PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn1In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn2In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn3In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn4In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn5In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn6In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn7In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn8In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn9In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn10In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn11In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn12In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn13In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn14In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn15In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn16In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn17In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn18In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn19In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn20In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn21In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn22In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn23In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn24In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn25In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_edn26In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref1In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref2In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref3In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref4In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref5In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref6In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref7In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref8In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref9In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref10In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref11In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref12In PDF document text
- http://personales.ciudad.com.ar/Derrida/como_no_hablar.htm#_ednref13In PDF document text
+82 more URL(s)
Extracted artifacts 1
Files carved from inside the sample during analysis.
| Filename | Kind | Source | Size |
|---|---|---|---|
embedded_pdf_script_00003459.bin |
pdf-embedded-script | PDF raw stream script payload at offset 0x3459 | 11235 bytes |
SHA-256: 895fc304383cf380488fa35a5810b9e28a38599ccbb64859486189b2e960f22e |
|||
|
Detection
ClamAV:
Html.Spyware.IMG-6
Obfuscation or payload:
likely
Carved artifact contains 1 eval/decoder/string-building token(s).
|
|||
Preview scriptFirst 1,000 lines of the extracted script
���� JFIF d d �� Ducky �� Adobe d� �� �
#%'%# //33//@@@@@@@@@@@@@@@ & &0# #0+.'''.+550055@@?@@@@@@@@@@@@�� � � " �� � ! 1 AQaq" ��2���B# ����R3$ b�r���҃4 !1 AQaq"��2 ��B ��R���br�c 4�� ? �S&/_r*�RLE��7���\-� �" � X��/
ˑ�6�� =z� G�6��rΥW�*H L\G�o\�K � ���%���@W H0 �I� � � ͌�u� �zAw @��F���w�S ?M�] �H� �+D�Xg�Ϗ��9)��
��M��b��_��������D���CB � 6��5s����ο㑣�G�� �5�^�9��^> X� �$)bA�k�� 36.* �ۘ a��� \ � ���?�a�Ƙ� ��r�R �:�[f"r :�������e6�O�u � �v���c:֘ߏ���o� K�ěEg��B�KܴE�ьZ
9R�Y�r?m�z@� Ʊ:Z���� ��wM<���0fA�;�e(�aa�K��� ���� Y<���Hl�,�� *ղ�x ��6��G�>U� |N�4����� Lt�yfX5��_ ��.�w wѼnW *��,�`����h<
�8y �0�����Yp �k� B��m=hY'=�k��� \�02IS;H {"�`� ��r! H�
) �, y �f;���\� �X �H��a��X� _ �"�u�}�;:�� p �� �W)ءz@�d � *@�X�q�hJ �T��e~ L� Qm$��Z�
�z� `�'��V |y�ʬTm ]? � rzȠ��5 u Y �
� ��B�H���jˎ V|� u�ַɌ� �ց ��V| �1�+3x �
�ۀ~��4��x��m�#�R���� q�y �kT�� D8�l��u: =i�Q�l��� cQ#�JG����+ � �I����x�U�"�Z&֧�yD頻0��St�D�m{A=�lxQC(f @;��"�1Cp��q�u`��H ��� )|�u D� �ޅ�� �6 + �� �㾹ot � ��&���M�)*� �/3���{�2��
n �~��� �� �`w��\�և�b r2ȸR-s �M{���8x1 ��6�w���W��� ��.2L����� t�I�>�� �/��@�� ����a � �+) $k���2)L���n�+>/ b�
��ZL�Q� �F�c�Tl`�� �ץ,�� D n�y�����V
I�a6� � �:���i8� /�� *��ZzxkB�`CH ��5�� D��'C�@1* S &{j�@�ir��g�4Q&ö����,�&w �3�}�W�P�!� &>�N� S~�)bI #F ;��J� �> � � ��Libh� FAee�� �S�b��(iйk�� /�M�C�Հ ^߲�Q �ɏ7 ���u�Y��
wcȯ;Xů�� �r��L� �U�B� ���x��� ��rq��e+q~��[��]@���o���R�R#a��~�Y{z��V�� �e L���ko ։ ��x�C#�%bgS�k|�K8b �w�� 9Q����O� Ԯ5ƹAb��h��"�X�� 7d �pe�_�J ��aH�Y$�}F'�º]�8�H1pAa��HB1�0Q3 $���� !R � �:��NN��QJ�`�m�:� @�2ki�PZ �N��M� �< ��o ��x�1'� \[�54 �PF2!Fв�;����� <�B��;�&�\id?��,-���y��n�RcC�[���m ���� �
�6�O��+6�' �@^� � M �V���} �G�fԿ ��b$�e ���^���G���r P�@ep �� 4p� x��͵���! u�- ��{ ��X�zT.���C.FF�6�� $��<�g�t�,&�+�G� �5 �O�$(G*A x쵢�� � M� $�@ ���H��{� F�N�3?ڇnj�e�I ~=�U�'SOlr9 H 8��z�rc;�$1 7 ��o��1��a3���+�
��ZHPN��� >MJT�=� ���I7�bd�� _ 8 ��c����e�x�� X� ��j�� α ŢdQ J7R�O���175�;:��Ɲ+̂0:���6�U6�$�#��Ɗ�b�4 �U� 7 �`\i�S��� �H�7��� �� H����� ZI��] �"�w�9*����H��x� 5�\�<;�rC��A �@�Ұ�
b;�ښ}� Q|Q� L� DԪpr��ȭ"lf>ڔ��� �� s+0LZE�q � 8V���V
� �7����f �I� i�N��<pC � ����R z�zjq "� �+ @�� =�1FeUL ���t 4�]�1��� �34� p� 6��}���1�)X �Gþ� �2�A!`���(Os��� �� '�Ѯ ��# n &
�u/����*I1�� � � ��4'�- ~ M �N> ��!�T��� �jt�Q�l�=����dXA�9� l�M�\|8p K�R�* ,��;� ; �� �a>X� Q�� U 6f�����p�F�*��rLe �� �2m>Z��,��6�� 'd m�� ��v E��ۤMF � i ��� ���1���! �'�� <u� �Ѱ Ƭ@ h��38VH �>4� �v��� � � ����rPy�hak
�iv"��Y -� ��\q� �� �U�� ��� �?� +�lk�h|l��V*f [k T偓�!��
�Z���:�e7 1� _��2�`rq� G�f���l9x䁰�{X �2 6 �$�� ��ij�2 ��ҍ_� #�A����JA 7n5� E����φ �(��7�x�KZ�EB׆�5슥)? <� �$(3�'�B& �C��lD o�7� 6� �wPY���#�3 ����mc� � ��c��.5�5�S?lԩ�� � � �]��{ ��<��� ��L�>o�w����BN @ �Ge+8@e�z ֞q� ED_���%� ���R�r��-�;��||L���������� �c� 露���ck"�~&����� � 5|g+ >k bz.�7,���� ��c ��Ή�,$ s$�G�u��-�� DQMt *� ��m �H��Kyc ��-�
n���t � }4�)�H̟�� �Oʚ� �_ QZ4[̈́|/GsW ���6#M> � Y ��{���:��A x|kFM8bBA� @[�SZd*1� �� �n'FS{��
ٚq�=�� � _w[Δ/$��T ����3>4 v��b፴�!z�q�d��[O_� �� M�H6 s �Ҕ�� M����QM�0�L� �� �j
e �[!<7r�m0`G奾���� bI���G�'��S� ;: ���љ�� 1Yi`�P��쎤1��L �jV�}V��� ��P.&;{iz7����{��
�&gS�e[ � � " �mQzI����& t��i� ' �&{z� �U>Ov��/���v+�9 � C �z�Я� !� ܛ��L�76-�^� u ��� � D O^�N)ړ � 6R2y~"@=�=�+&
y@m
N����W'$��DXh
�']i�#�c ��* ��:�\iI��pb�k���ؘB��*5�^���(� �P2�Pf
�VLJ�2�v`$ �Zc:A��� ��d�%�H 0 �U���Uj��]V��Z�p��� 9 ��3�[iz �ؔ�(����z�4˔�F� ���X�'"^�`O�5�[MSO �m � ^� � F� Q�ƾ� ��� �M���ݭ�_7��:�� zz=E�)� 3� �]b��&4�P�J�hl�N0� @�?���
ދ0Ѣ�M �4a��՚� ���b K+@^�B/�$֙��Ő o��UkBR ����zV #j<~v � � � ֍<Lm��9 �LY ��V� �Q( `B,E�a4YVm��� N��? U��
3E>V / n4-���* �� ��6�ɥ| )�#q �LS�:~�
�Y.@�ZQ�� ����]{� �� R �
��� � #Ɨ��.o�^��\��w❸X���F�^�> )�i���hը�=G��I�*�� �oy��)-�v�Er �s H�����( �� � ݺV���t|�n)� ��.ؼM�����Z �����F؈��JK� `7I&֍~ Z4�kC[ȷ#/� �GX�W`�02 �L �J� �m�&�&�=��O��ڂ� � /H0 r �`6� 5�] Y�+s �T��0 � �-�MjT �B��@�Q D&'�y�2�0�� � ���+7/Ϗ�
... (truncated)
|
|||
Open this report in the interactive analyzer, or submit your own file for analysis.