Malicious Office (OOXML) / .XLSX — malware analysis report

Static analysis result for SHA-256 9339e8b28ade96d7…

MALICIOUS

Office (OOXML) / .XLSX

156.6 KB Created: 2021-03-03 07:51:04 UTC Authoring application: Microsoft Excel 16.0300 First seen: 2022-07-02
MD5: d97fe8b900b70632254d8a142c45e041 SHA-1: 113b8e29f14daf60b85476f46ff4060288df0fb2 SHA-256: 9339e8b28ade96d72f145bca9d3686a68945c5d533572e7b756d6a86ecbfd47a
60 Risk Score

Heuristics 1

  • Excel 4.0 macro sheet (1 sheet(s)) critical OOXML_XLM_MACROSHEET
    Spreadsheet contains an Excel 4.0 (XLM) macro sheet — XLM was a major Office malware vector during 2020-2022 and evaded many VBA-focused controls before Microsoft tightened XLM defaults. Even legitimate XLM use is rare in modern workbooks. The macro sheet is stored as XLSB/BIFF12 binary content, which many XML-only OOXML scanners miss.

Extracted artifacts 1

Files carved from inside the sample during analysis.

FilenameKindSourceSize
xlm_sheet_00.bin xlm-macrosheet OOXML XLM macro sheet: xl/macrosheets/sheet1.bin 22136 bytes
SHA-256: 30daf8faca7ff9364269bc8aede247e67fa62f6c3050e09bca7baae595d21df9
Preview script
First 1,000 lines of the extracted script
�  �  �   @      ��������    �      Z           �  %      ��                  & �  �             @   d           � $    �               �   �           �  �  %      ��    & �  ����  ,     �  <         ��        <     �?  $	        �  �  %      ��    &           ,                              %      ��    &           ,                              %      ��    &           ,                 >           +   I'  @  #    #!    #�    #�    #�    #�         %      ��    &           ,                          !   %      ��    &           ,                             
    @  C         %      ��    &   
       ,                 �            �   I�  @  #�    @  #I   #*      @  #�     @  #�   #�    #>    #     #}    #�    #�    #<    #     #�    #�    #     #�    #~    #�    #f    #O    #i    #�    #N    #?    #�    #�    #�    #b    #V    #     #�    #~    #�    #I    #�    #%    #�    #=    #G    #     #�      @  #�   #�    #     #     #T    #�    #       @  #J   #H    #�    #�    #     #t    #<    #9      @  #r     @  #�   #H    #^    #t    #3    #M    #     #�    #Q    #<    #p    #�    #}    #K    #     #
    #     #�    #.          %      ��    &           ,                          "   %      ��    &           ,                          #   %      ��    &           ,                 >           +   I'  @  #2   #     #�    #�    #�    #�         %      ��    &           ,                          $   %      ��    &           ,                             
    @  C/        %      ��    &           ,                 �            �   I�  @  #�    @  #    #*      @  #�     @  #�   #L    #>    #     #}    #�    #�    #<    #     #H    #�    #�    #d    #a    #     #�    #�    #�    #g    #     #j    #�    #H    #(    #�    #X    #U    #     #�    #�    #�    #I    ##    #$    #�    #�    #c    #<    #X    #[      @  #h   #�    #     #T    #�    #     #�    #       @  #H   #�    #z    #m    #<    #:      @  #s   #h    #H    #_    #4    #m    #     #     #�    #P    #Y    #h    #|    #     #{    #     #     #'          %      ��    &           ,                          %   %      ��    &           ,                          &   %      ��    &           ,                 D           1   I-  @  #�   #�    #B    #�    #�    #�    #�         %      ��    &           ,                          '   %      ��    &           ,                             
    @  Cx        %      ��    &   "       ,                 �            �   I�  @  #;    @  #�   #+      @  #C     @  #�   #�    #�    #     #�    #�    #     #�    #�    #�    #]    #�    #�    #�    #�    #k    #�    #�    #�    #w    #     #�    #�    #�    #�    #�    #y    #�    #�    #�    #�    #v      @  #    #
    #�    #�    #�    #       @  #�   #&    #�    #�    #�    #�    #�    #�      @  #�     @  #    #�    #&    #�    #�    #�    #     #�    #�    #�    #h    #�    #\    #�    #	    #�    #�          %      ��    &   $       ,                          (   %      ��    &   &       ,                          )   %      ��    &   (       ,                          *   %      ��    &   *       ,                          +   %      ��    &   ,       ,                             
    @  C1        %      ��    &   .       ,                          ,   %      ��    &   0       ,                          -   %      ��    &   2       ,                          .   %      ��    &   4       ,                 >           +   I'  @  #6   #     #�    #�    #e    #,         %      ��    &   6       ,                          /   %      ��    &   8       ,                             
    @  C0        %      ��    &   :       ,                 �            �   I�  @  #�    @  #    #*      @  #    #     #�      @  #�   #F    #o    #�    #�    #�    #@    #     #}    #7    #�    #�    #�    #     #�    #�    #�    #k    #�    #�    #�    #     #l    #)    #�    #�    #W    #�    #     #�    #q    #�    #%    #�    #D    #"    #�      @  #E   #�    #�    #     #S    #�    #       @  #l   #�    #�    #     #n    #@    #8      @  #A   #E    #l    #`    #5    #n    #�    #     #�    #R    #Z    #E    #}    #u    #q    #     #     #�    #-          %      ��    &   <       ,                              %      ��    &   >       ,                              %      ��    &   @       ,                 >           +   I'  @  #    #!    #�    #�    #�    #�         %      ��    &   B       ,                          !   %      ��    &   D       ,                             
    @  C         %      ��    &   F       ,                 �            �   I�  @  #�    @  #I   #*      @  #�     @  #�   #�    #>    #     #}    #�    #�    #<    #     #�    #�    #     #�    #~    #�    #f    #O    #i    #�    #N    #?    #�    #�    #�    #b    #V    #     #�    #~    #�    #I    #�    #%    #�    #=    #G    #     #�      @  #�   #�    #     #     #T    #�    #       @  #J   #H    #�    #�    #     #t    #<    #9      @  #r     @  #�   #H    #^    #t    #3    #M    #     #�    #Q    #<    #p    #�    #}    #K    #     #
    #     #�    #.          %      ��    &   H       ,                          "   %      ��    &   J       ,                          #   %      ��    &   L       ,                 >           +   I'  @  #2   #     #�    #�    #�    #�         %      ��    &   N       ,                          $   %      ��    &   P       ,                             
    @  C/        %      ��    &   R       ,                 �            �   I�  @  #�    @  #    #*      @  #�     @  #�   #L    #>    #     #}    #�    #�    #<    #     #H    #�    #�    #d    #a    #     #�    #�    #�    #g    #     #j    #�    #H    #(    #�    #X    #U    #     #�    #�    #�    #I    ##    #$    #�    #�    #c    #<    #X    #[      @  #h   #�    #     #T    #�    #     #�    #       @  #H   #�    #z    #m    #<    #:      @  #s   #h    #H    #_    #4    #m    #     #     #�    #P    #Y    #h    #|    #     #{    #     #     #'          %      ��    &   T       ,                          %   %      ��    &   V       ,                          &   %      ��    &   X       ,                 D           1   I-  @  #�   #�    #B    #�    #�    #�    #�         %      ��    &   Z       ,                          '   %      ��    &   \       ,                             
    @  Cx        %      ��    &   ^       ,                 �            �   I�  @  #;    @  #�   #+      @  #C     @  #�   #�    #�    #     #�    #�    #     #�    #�    #�    #]    #�    #�    #�    #�    #k    #�    #�    #�    #w    #     #�    #�    #�    #�    #�    #y    #�    #�    #�    #�    #v      @  #    #
    #�    #�    #�    #       @  #�   #&    #�    #�    #�    #�    #�    #�      @  #�     @  #    #�    #&    #�    #�    #�    #     #�    #�    #�    #h    #�    #\    #�    #	    #�    #�          %      ��    &   `       ,                          (   %      ��    &   b       ,                          )   %      ��    &   d       ,                          *   %      ��    &   f       ,                          +   %      ��    &   h       ,                             
    @  C1        %      ��    &   j       ,                          ,   %      ��    &   l       ,                          -   %      ��    &   n       ,                          .   %      ��    &   p       ,                 >           +   I'  @  #6   #     #�    #�    #e    #,         %      ��    &   r       ,                          /   %      ��    &   t       ,                             
    @  C0        %      ��    &   v       ,                 �            �   I�  @  #�    @  #    #*      @  #    #     #�      @  #�   #F    #o    #�    #�    #�    #@    #     #}    #7    #�    #�    #�    #     #�    #�    #�    #k    #�    #�    #�    #     #l    #)    #�    #�    #W    #�    #     #�    #q    #�    #%    #�    #D    #"    #�      @  #E   #�    #�    #     #S    #�    #       @  #l   #�    #�    #     #n    #@    #8      @  #A   #E    #l    #`    #5    #n    #�    #     #�    #R    #Z    #E    #}    #u    #q    #     #     #�    #-          %      ��    &   x       ,                              %      ��    &   z       ,                              %      ��    &   |       ,                 >           +   I'  @  #    #!    #�    #�    #�    #�         %      ��    &   ~       ,                          !   %      ��    &   �       ,                             
    @  C         %      ��    &   �       ,                 �            �   I�  @  #�    @  #I   #*      @  #�     @  #�   #�    #>    #     #}    #�    #�    #<    #     #�    #�    #     #�    #~    #�    #f    #O    #i    #�    #N    #?    #�    #�    #�    #b    #V    #     #�    #~    #�    #I    #�    #%    #�    #=    #G    #     #�      @  #�   #�    #     #     #T    #�    #       @  #J   #H    #�    #�    #     #t    #<    #9      @  #r     @  #�   #H    #^    #t    #3    #M    #     #�    #Q    #<    #p    #�    #}    #K    #     #
    #     #�    #.          %      ��    &   �       ,                          "   %      ��    &   �       ,                          #   %      ��    &   �       ,                 >           +   I'  @  #2   #     #�    #�    #�    #�         %      ��    &   �       ,                          $   %      ��    &   �       ,                             
    @  C/        %      ��    &   �       ,                 �            �   I�  @  #�    @  #    #*      @  #�     @  #�   #L    #>    #     #}    #�    #�    #<    #     #H    #�    #�    #d    #a    #     #�    #�    #�    #g    #     #j    #�    #H    #(    #�    #X    #U    #     #�    #�    #�    #I    ##    #$    #�    #�    #c    #<    #X    #[      @  #h   #�    #     #T    #�    #     #�    #       @  #H   #�    #z    #m    #<    #:      @  #s   #h    #H    #_    #4    #m    #     #     #�    #P    #Y    #h    #|    #     #{    #     #     #'          %      ��    &   �       ,                          %   %      ��    &   �       ,                          &   %      ��    &   �       ,                 D           1   I-  @  #�   #�    #B    #�    #�    #�    #�         %      ��    &   �       ,                          '   %      ��    &   �       ,                             
    @  Cx        %      ��    &   �       ,                 �            �   I�  @  #;    @  #�   #+      @  #C     @  #�   #�    #�    #     #�    #�    #     #�    #�    #�    #]    #�    #�    #�    #�    #k    #�    #�    #�    #w    #     #�    #�    #�    #�    #�    #y    #�    #�    #�    #�    #v      @  #    #
    #�    #�    #�    #       @  #�   #&    #�    #�    #�    #�    #�    #�      @  #�     @  #    #�    #&    #�    #�    #�    #     #�    #�    #�    #h    #�    #\    #�    #	    #�    #�          %      ��    &   �       ,                          (   %      ��    &   �       ,                          )   %      ��    &   �       ,                          *   %      ��    &   �       ,                          +   %      ��    &   �       ,                             
    @  C1        %      ��    &   �       ,                          ,   %      ��    &   �       ,                          -   %      ��    &   �       ,                          .   %      ��    &   �       ,                 >           +   I'  @  #6   #     #�    #�    #e    #,         %      ��    &   �       ,                          /   %      ��    &   �       ,                             
    @  C0        %      ��    &   �       ,                 �            �   I�  @  #�    @  #    #*      @  #    #     #�      @  #�   #F    #o    #�    #�    #�    #@    #     #}    #7    #�    #�    #�    #     #�    #�    #�    #k    #�    #�    #�    #     #l    #)    #�    #�    #W    #�    #     #�    #q    #�    #%    #�    #D    #"    #�      @  #E   #�    #�    #     #S    #�    #       @  #l   #�    #�    #     #n    #@    #8      @  #A   #E    #l    #`    #5    #n    #�    #     #�    #R    #Z    #E    #}    #u    #q    #     #     #�    #-          %      ��    &   �       ,                              %      ��    &   �       ,                              %      ��    &   �       ,                 >           +   I'  @  #    #!    #�    #�    #�    #�         %      ��    &   �       ,                          !   %      ��    &   �       ,                             
    @  C         %      ��    &   �       ,                 �            �   I�  @  #�    @  #I   #*      @  #�     @  #�   #�    #>    #     #}    #�    #�    #<    #     #�    #�    #     #�    #~    #�    #f    #O    #i    #�    #N    #?    #�    #�    #�    #b    #V    #     #�    #~    #�    #I    #�    #%    #�    #=    #G    #     #�      @  #�   #�    #     #     #T    #�    #       @  #J   #H    #�    #�    #     #t    #<    #9      @  #r     @  #�   #H    #^    #t    #3    #M    #     #�    #Q    #<    #p    #�    #}    #K    #     #
    #     #�    #.          %      ��    &   �       ,                          "   %      ��    &   �       ,                          #   %      ��    &   �       ,                 >           +   I'  @  #2   #     #�    #�    #�    #�         %      ��    &   �       ,                          $   %      ��    &   �       ,                             
    @  C/        %      ��    &   �       ,                 �            �   I�  @  #�    @  #    #*      @  #�     @  #�   #L    #>    #     #}    #�    #�    #<    #     #H    #�    #�    #d    #a    #     #�    #�    #�    #g    #     #j    #�    #H    #(    #�    #X    #U    #     #�    #�    #�    #I    ##    #$    #�    #�    #c    #<    #X    #[      @  #h   #�    #     #T    #�    #     #�    #       @  #H   #�    #z    #m    #<    #:      @  #s   #h    #H    #_    #4    #m    #     #     #�    #P    #Y    #h    #|    #     #{    #     #     #'          %      ��    &   �       ,                          %   %      ��    &   �       ,                          &   %      ��    &   �       ,                 D           1   I-  @  #�   #�    #B    #�    #�    #�    #�         %      ��    &   �       ,                          '   %      ��    &   �       ,                             
    @  Cx        %      ��    &   �       ,                 �            �   I�  @  #;    @  #�   #+      @  #C     @  #�   #�    #�    #     #�    #�    #     #�    #�    #�    #]    #�    #�    #�    #�    #k    #�    #�    #�    #w    #     #�    #�    #�    #�    #�    #y    #�    #�    #�    #�    #v      @  #    #
    #�    #�    #�    #       @  #�   #&    #�    #�    #�    #�    #�    #�      @  #�     @  #    #�    #&    #�    #�    #�    #     #�    #�    #�    #h    #�    #\    #�    #	    #�    #�          %      ��    &   �       ,                          (   %      ��    &   �       ,                          )   %      ��    &   �       ,                          *   %      ��    &   �       ,                          +   %      ��    &   �       ,                             
    @  C1        %      ��    &   �       ,                          ,   %      ��    &   �       ,                          -   %      ��    &   �       ,                          .   %      ��    &   �       ,                 >           +   I'  @  #6   #     #�    #�    #e    #,         %      ��    &   �       ,                          /   %      ��    &   �       ,                             
    @  C0        %      ��    &   �       ,                 �            �   I�  @  #�    @  #    #*      @  #    #     #�      @  #�   #F    #o    #�    #�    #�    #@    #     #}    #7    #�    #�    #�    #     #�    #�    #�    #k    #�    #�    #�    #     #l    #)    #�    #�    #W    #�    #     #�    #q    #�    #%    #�    #D    #"    #�      @  #E   #�    #�    #     #S    #�    #       @  #l   #�    #�    #     #n    #@    #8      @  #A   #E    #l    #`    #5    #n    #�    #     #�    #R    #Z    #E    #}    #u    #q    #     #     #�    #-          %      ��    &   �       ,                              %      ��    &   �       ,                              %      ��    &   �       ,                 >           +   I'  @  #    #!    #�    #�    #�    #�         %      ��    &   �       ,                          !   %      ��    &   �       ,                             
    @  C         %      ��    &   �       ,                 �            �   I�  @  #�    @  #I   #*      @  #�     @  #�   #�    #>    #     #}    #�    #�    #<    #     #�    #�    #     #�    #~    #�    #f    #O    #i    #�    #N    #?    #�    #�    #�    #b    #V    #     #�    #~    #�    #I    #�    #%    #�    #=    #G    #     #�      @  #�   #�    #     #     #T    #�    #       @  #J   #H    #�    #�    #     #t    #<    #9      @  #r     @  #�   #H    #^    #t    #3    #M    #     #�    #Q    #<    #p    #�    #}    #K    #     #
    #     #�    #.          %      ��    &   �       ,                          "   %      ��    &   �       ,                          #   %      ��    &           ,                 >           +   I'  @  #2   #     #�    #�    #�    #�         %      ��    &           ,                          $   %      ��    &           ,                             
    @  C/        %      ��    &           ,                 �            �   I�  @  #�    @  #    #*      @  #�     @  #�   #L    #>    #     #}    #�    #�    #<    #     #H    #�    #�    #d    #a    #     #�    #�    #�    #g    #     #j    #�    #H    #(    #�    #X    #U    #     #�    #�    #�    #I    ##    #$    #�    #�    #c    #<    #X    #[      @  #h   #�    #     #T    #�    #     #�    #       @  #H   #�    #z    #m    #<    #:      @  #s   #h    #H    #_    #4    #m    #     #     #�    #P    #Y    #h    #|    #     #{    #     #     #'          %      ��    &           ,                          %   %      ��    &   
       ,                          &   %      ��    &           ,                 D           1   I-  @  #�   #�    #B    #�    #�    #�    #�         %      ��    &           ,                          '   %      ��    &           ,                             
    @  Cx        %      ��    &           ,                 �            �   I�  @  #;    @  #�   #+      @  #C     @  #�   #�    #�    #     #�    #�    #     #�    #�    #�    #]    #�    #�    #�    #�    #k    #�    #�    #�    #w    #     #�    #�    #�    #�    #�    #y    #�    #�    #�    #�    #v      @  #    #
    #�    #�    #�    #       @  #�   #&    #�    #�    #�    #�    #�    #�      @  #�     @  #    #�    #&    #�    #�    #�    #     #�    #�    #�    #h    #�    #\    #�    #	    #�    #�          %      ��    &           ,                          (   %      ��    &           ,                          )   %      ��    &           ,                          *   %      ��    &           ,                          +   %      ��    &           ,                             
    @  C1        %      ��    &           ,                          ,   %      ��    &           ,                          -   %      ��    &   "       ,                          .   %      ��    &   $       ,                 >           +   I'  @  #6   #     #�    #�    #e    #,         %      ��    &   &       ,                          /   %      ��    &   (       ,                             
    @  C0        %      ��    &   *       ,                 �            �   I�  @  #�    @  #    #*      @  #    #     #�      @  #�   #F    #o    #�    #�    #�    #@    #     #}    #7    #�    #�    #�    #     #�    #�    #�    #k    #�    #�    #�    #     #l    #)    #�    #�    #W    #�    #     #�    #q    #�    #%    #�    #D    #"    #�      @  #E   #�    #�    #     #S    #�    #       @  #l   #�    #�    #     #n    #@    #8      @  #A   #E    #l    #`    #5    #n    #�    #     #�    #R    #Z    #E    #}    #u    #q    #     #     #�    #-          %      ��    &   -       ,                	,              �?                    B       %      ��    &   /       ,                
>           +   Z  �    �:  �    �:  �   
�:  �    �   B �     %      ��    &   0       ,                              %      ��    &   1       ,                
:           '       AJ  @     0 0 : 0 0 : 0 1  @   B ��    %      ��    &   2       ,                              %      ��    &   4       ,                          0   %      ��    &   6       ,                          1   %      ��    &   8       ,                
D           1   Z  y    �Z  {    �Z  ~   
�   O Y B E      	 B �     %      ��    &   9       ,                              %      ��    &   ;       ,                              %      ��    &   =       ,                          0   %      ��    &   ?       ,                          1   %      ��    &   @       ,                 7           $   #�      :  �    �:       �      B �     %      ��    &   A       ,                              %      ��    &   C       ,                              %      ��    &   D       ,                
:           '       AJ  @     0 0 : 0 0 : 0 5  @   B ��    %      ��    &   E       ,                          0   %      ��    &   G       ,                          1   %      ��    &   H       ,                	,              Y@       d      d     B       %      ��    &   I       ,                
                $J    �B  �    %      ��    &   J       ,                
A           .   Z  l    �:  j    �:  n   
�:  m    �      B �     %      ��    &   K       ,                
V           C   Z  �    �:  }   
�:  �   
�   :  �    �:  �   
�:  �    �      B	�     %      ��    &   L       ,                
J           7   Z  �    �:  �   
�:  �    �:  �    �:  �    �      B �     %      ��    &   M       ,                
A           .   Z  �    �:  �    �:  �    �:  �    �      B �     %      ��    &   Z       ,                
                B 6     �  � � ��                                                                  @     }N�� _/K r� )!+�S�����w �ӕL�4]��"š� v���1��M�� #�� ��C  �dT    �� Ή�[�%&�;����    S H A - 5 1 2 � B                                                                  �  0w� 0ffffff�?ffffff�?      �?      �?333333�?333333�?%      ��  �4 �aR;N�N\� 
  & �