MALICIOUS
242
Risk Score
Heuristics 5
-
Excel 4.0 macro sheet (1 sheet(s)) critical 3 related findings OOXML_XLM_MACROSHEETSpreadsheet contains an Excel 4.0 (XLM) macro sheet — XLM was a major Office malware vector during 2020-2022 and evaded many VBA-focused controls before Microsoft tightened XLM defaults. Even legitimate XLM use is rare in modern workbooks. The macro sheet is stored as XLSB/BIFF12 binary content, which many XML-only OOXML scanners miss.
-
Binary XLM macro sheet with WinAPI/download strings critical OOXML_XLM_BINARY_WINAPI_STRINGSExcel 4.0 macro sheet is stored as BIFF12/XLSB binary data and contains Win32 download or process-execution API strings such as URLDownloadToFileA, ShellExecuteA, or CreateDirectoryA. These strings are high-signal in XLM macro sheets and catch payload-download macros that XML-formula scanners cannot parse.
-
XLM payload reassembled from CHAR()/split formulas critical OOXML_XLM_REASSEMBLED_PAYLOADAn Excel 4.0 macro sheet builds its payload inside the formula token stream by concatenating per-character CHAR() calls and string fragments, so no WinAPI name, shell command, or URL is ever contiguous in the .bin for a literal-bytes scan to find. Reassembling the formulas recovered download/execute API names, LOLBin commands (regsvr32/rundll32/mshta/wmic/powershell), or a payload URL — the de-obfuscated download-and-run kill chain.
-
URL reconstructed from XLM cell array (1 URL) critical OOXML_XLM_CELL_ARRAY_URLExcel 4.0 macro sheet stages its payload URL across individual numeric cells (one ASCII charcode per cell), inside an embedded HTA that uses VBScript Chr()/&-concat obfuscation, or split across multi-char fragment cells a download formula concatenates by reference (=A1&A2&… / CONCATENATE(...)). The reconstructed URL is invisible to literal-bytes URL extraction because it is never contiguous in the workbook stream. URLs were recovered by walking the BIFF12 record stream of every worksheet and macrosheet part and decoding RK/inline-string/shared-string cells in row-major and column-major order plus FORMULA cell-reference concatenation in token order.
-
Embedded URL info EMBEDDED_URLOne or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.URL https://yezkenya.com/ds/12.gif Referenced by macro
Extracted artifacts 1
Files carved from inside the sample during analysis.
| Filename | Kind | Source | Size |
|---|---|---|---|
xlm_sheet_00.bin |
xlm-macrosheet | OOXML XLM macro sheet: xl/macrosheets/intlsheet1.bin | 197398 bytes |
SHA-256: efb245902668277571413be926b5313a4e04489cbcc04747dc4d6b5d44272e93 |
|||
Preview scriptFirst 1,000 lines of the extracted script
� � � @ �������� � & � � � � @ d d � $ � � % �� & � q � < q < q < q < q < q < ' ' q < 4 4 q < i i q < n o q < t t q < q � � % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� &
% �� & % �� & % �� &
% �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & ! % �� & " % �� & # % �� & $ % �� & % % �� & & % �� & ' % �� & ( % �� & ) % �� & * % �� & + % �� & , % �� & - % �� & . % �� & / % �� & 0 % �� & 1 % �� & 2 % �� & 3 % �� & 4 % �� & 5 % �� & 6 % �� & 7 % �� & 8 % �� & 9 % �� & : % �� & ; % �� & < % �� & = % �� & > % �� & ? % �� & @ % �� & A % �� & B % �� & C % �� & D % �� & E % �� & F % �� & G % �� & H % �� & I % �� & J % �� & K % �� & L % �� & M % �� & N % �� & O % �� & P % �� & Q % �� & R % �� & S % �� & T % �� & U % �� & V % �� & W % �� & X % �� & Y % �� & Z % �� & [ % �� & \ % �� & ]
$g �B � % �� & ^ % �� & _ % �� & ` % �� & a % �� & b % �� & c % �� & d % �� & e % �� & f % �� & g
% $� �D� �B � % �� & h % �� & i % �� & j % �� & k % �� & l % �� & m % �� & n % �� & o % �� & p % �� & q % �� & r % �� & s % �� & t % �� & u % �� & v % �� & w % �� & x % �� & y % �� & z % �� & { % �� & | % �� & } % �� & ~ % �� & % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � - % �� & � - % �� & � - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & � - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� &
- - % �� & - - % �� & - - % �� &
- - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & - - % �� & ! - - % �� & " - - % �� & # - - % �� & $ - - % �� & % - - % �� & & - - % �� & ' - - % �� & ( - - % �� & ) - - % �� & * - - % �� & + - - % �� & , - - % �� & - - - % �� & . - - % �� & / - - % �� & 0 - - % �� & 1 - - % �� & 2 - - % �� & 3 - - % �� & 4 - - % �� & 5 - - % �� & 6 - - % �� & 7 - - % �� & 8 - - % �� & 9 - - % �� & : - - % �� & ; - - % �� & < - - % �� & = - - % �� & > - - % �� & ? - - % �� & @ - - % �� & A - - % �� & B - - % �� & C - - % �� & D - - % �� & E - - % �� & F - - % �� & G - - % �� & H - - % �� & I - - % �� & J - - % �� & K - - % �� & L - - % �� & M - - % �� & N - - % �� & O - - % �� & P - - % �� & Q - - % �� & R - - % �� & S - - % �� & T - - % �� & U - - % �� & V - - % �� & W - - % �� & X - - % �� & Y - - % �� & Z - - % �� & [ - - % �� & \ - - % �� & ] - - % �� & ^ - - % �� & _ - - % �� & ` - - % �� & a - - % �� & b - - % �� & c - - % �� & d - - % �� & e - - % �� & f - - % �� & g - - % �� & h - - % �� & i - - % �� & j - - % �� & k - - % �� & l - - % �� & m - - % �� & n - - % �� & o - - % �� & p - - % �� & q - - % �� & r - - % �� & s - - % �� & t - - % �� & u - - % �� & v - - % �� & w - - % �� & x - - % �� & y - - % �� & z - - % �� & { - - % �� & | - - % �� & } - - % �� & ~ - - % �� & - - % �� & � k - % �� & � k - % �� & � k - % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k - . / 0 1 2 3 4 5 6 7 8 9 : ; < = > ? @ A B C D E F G H I J K L M N O P Q R S T U V W X Y Z [ \ ] ^ _ ` a b c d e f g h i j k % �� & � k % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� &
% �� & % �� & % �� &
% �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & ! % �� & " % �� & # % �� & $ % �� & % % �� & & % �� & ' % �� & ( % �� & ) % �� & * % �� & + % �� & , % �� & - % �� & . % �� & / % �� & 0 % �� & 1 % �� & 2 % �� & 3 % �� & 4 % �� & 5 % �� & 6 % �� & 7 % �� & 8 % �� & 9 % �� & : % �� & ; % �� & < % �� & = % �� & > % �� & ? % �� & @ % �� & A % �� & B % �� & C % �� & D % �� & E % �� & F % �� & G % �� & H % �� & I % �� & J % �� & K % �� & L % �� & M % �� & N % �� & O % �� & P % �� & Q % �� & R % �� & S % �� & T % �� & U % �� & V % �� & W % �� & X % �� & Y % �� & Z % �� & [ % �� & \ % �� & ] % �� & ^ % �� & _ % �� & ` % �� & a % �� & b % �� & c % �� & d % �� & e % �� & f % �� & g % �� & h % �� & i % �� & j % �� & k % �� & l % �� & m % �� & n % �� & o % �� & p % �� & q % �� & r % �� & s % �� & t % �� & u % �� & v % �� & w % �� & x % �� & y % �� & z % �� & { % �� & | % �� & } % �� & ~ % �� & % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & � % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� & % �� &
% �� & % �� & % �� &
% �� &
... (truncated)
|
|||
Open this report in the interactive analyzer, or submit your own file for analysis.