Malicious PDF — malware analysis report

Static analysis result for SHA-256 7f642a1cdde94dc8…

MALICIOUS

PDF

205.3 KB Created: 2003-06-21 10:53:21 UTC Authoring application: Acrobat Web Capture 6.0
MD5: d03605da0c9fe29a86fd56b3e12dbc05 SHA-1: 7fdf7974114830c1fa3647e1cd80c66f59323a89 SHA-256: 7f642a1cdde94dc8ec1902b37b3a345a3690eaf2b75cb3616f565c5f6f766b6c
146 Risk Score

Malware Insights

MITRE ATT&CK
T1059.007 JavaScript T1566.001 Spearphishing Attachment

The PDF contains an embedded JavaScript payload, indicated by the 'PDF_EMBEDDED_SCRIPT_PAYLOAD' heuristic. This script is likely designed to download and execute a second-stage payload from one of the numerous embedded URLs. The ClamAV detection 'Html.Spyware.IMG-6' further confirms the malicious nature of the file and its extracted components. The presence of an embedded script and external links suggests an attempt to lure the user into executing malicious code, characteristic of a phishing or exploit delivery mechanism.

Machine Learning

  • Nyx PDF Classifier clean score 0.2382

Heuristics 6

  • ClamAV: Html.Spyware.IMG-6 critical CLAMAV_DETECTION
    ClamAV detected this file as malware: Html.Spyware.IMG-6
  • ClamAV detection on extracted artifact critical EXTRACTED_FILE_CLAMAV
    ClamAV flagged at least one file extracted from inside this sample. Even when the wrapping document carries no AV detection of its own, a hit on the carved artifact is a strong indicator the sample is a delivery vehicle.
  • Embedded script payload in PDF stream medium PDF_EMBEDDED_SCRIPT_PAYLOAD
    PDF stream bytes contain an HTML/XFA <script> tag without accompanying Windows shell-execution primitives — common in accessible XFA forms but worth surfacing for analyst review.
  • External URI info PDF_URI
    PDF contains an external URL action
  • Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGE
    One or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.
  • Embedded URL info EMBEDDED_URL
    One or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.
    URL http://personales.ciudad.com.ar/Derrida/derrida_logo.jpg
    • http://www.ciudad.com.ar/ar/popunder/p_submit.asp?site=personales.ciudad.com.ar
    • http://personales.ciudad.com.ar/Derrida/barthes.jpg
    • http://personales.ciudad.com.ar/Derrida/index.htm
    • http://www.nietzscheana.com.ar/
    • http://personales.ciudad.com.ar/M_Heidegger/
    • http://personales.ciudad.com.ar/Derrida/textos.htm
    • http://personales.ciudad.com.ar/Derrida/comentarios.htm
    • http://personales.ciudad.com.ar/Derrida/fotos.htm
    • http://personales.ciudad.com.ar/Derrida/cronologia.htm
    • http://personales.ciudad.com.ar/Derrida/bibliografia.htm
    • http://personales.ciudad.com.ar/Derrida/links.htm
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn1
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn2
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn3
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn4
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn5
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn6
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn7
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn8
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref1
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref2
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref3
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref4
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref5
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref6
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref7
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref8
    • http://personales.ciudad.com.ar/Derrida/barthes.htm
    • http://personales.ciudad.com.ar/Derrida/index.htm)/S/URI
    • http://www.nietzscheana.com.ar/)/S/URI
    • http://personales.ciudad.com.ar/M_Heidegger/)/S/URI
    • http://personales.ciudad.com.ar/Derrida/textos.htm)/S/URI
    • http://personales.ciudad.com.ar/Derrida/comentarios.htm)/S/URI
    • http://personales.ciudad.com.ar/Derrida/fotos.htm)/S/URI
    • http://personales.ciudad.com.ar/Derrida/cronologia.htm)/S/URI
    • http://personales.ciudad.com.ar/Derrida/bibliografia.htm)/S/URI
    • http://personales.ciudad.com.ar/Derrida/links.htm)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn1)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn2)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn3)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn4)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn5)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn6)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn7)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_edn8)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref1)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref2)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref3)/S/URI
    • http://personales.ciudad.com.ar/Derrida/barthes.htm#_ednref4)/S/URI
    +10 more URL(s)

Extracted artifacts 1

Files carved from inside the sample during analysis.

FilenameKindSourceSize
embedded_pdf_script_0000364e.bin
46849037056f2b04bb531da6b4596492f1da399447f377311151b87c2a442ac2		 pdf-embedded-script PDF raw stream script payload at offset 0x364E 11697 bytes
Detection
ClamAV: Html.Spyware.IMG-6
Obfuscation or payload: likely
Carved artifact contains 1 eval/decoder/string-building token(s).

Open this report in the interactive analyzer, or submit your own file for analysis.