MALICIOUS
358
Risk Score
Malware Insights
MITRE ATT&CK
T1204.002 Malicious File
T1140 Deobfuscate/Decode Files or Information
The PDF file contains critical heuristics indicating an XFA heap spray exploit and a hidden ZIP payload with executable entries. An embedded PE executable was also detected. The presence of JavaScript with eval() calls and the XFA heap spray strongly suggest the file is designed to execute arbitrary code. The extracted ZIP archive contains JavaScript files, and the embedded executable is the primary payload.
Heuristics 10
-
XFA JavaScript heap-spray exploit code critical PDF_XFA_HEAP_SPRAYPDF contains XFA script content with heap-spray or shellcode-like JavaScript markers such as large encoded word sequences, util.pack, large arrays, or spray variable names. This is a weaponised Adobe Reader exploit pattern, not a normal interactive form.
-
Hidden ZIP payload with executable entries inside PDF stream critical PDF_HIDDEN_ZIP_EXECUTABLE_PAYLOADPDF stream bytes contain an embedded ZIP archive whose local headers name executable payload files. This is not a normal PDF attachment (/EmbeddedFile); it hides Windows payloads inside an ordinary stream, a strong malware-loader or smuggling pattern.
-
Embedded Windows executable payload in PDF stream critical PDF_EMBEDDED_PE_PAYLOADPDF stream bytes contain an embedded Windows executable with a verified PE header. Exploit chains often hide droppers inside ordinary streams rather than standard /EmbeddedFile attachments.
-
Secondary embedded PDF body has suspicious static findings critical POLYGLOT_CHILD_PDF_STATIC_TRIAGEA valid PDF body was found at a nonzero offset inside another container and its carved contents matched PDF exploit or lure heuristics. This catches polyglots where the top-level magic routes to ZIP/OLE while a PDF reader or downstream parser opens the hidden PDF payload.
-
ClamAV detection on extracted artifact critical EXTRACTED_FILE_CLAMAVClamAV flagged at least one file extracted from inside this sample. Even when the wrapping document carries no AV detection of its own, a hit on the carved artifact is a strong indicator the sample is a delivery vehicle.
-
eval() call high PDF_EVALeval() found — commonly used for obfuscated exploit execution
-
JavaScript action low PDF_JAVASCRIPTPDF contains a /JavaScript action. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
-
Embedded JS stream low PDF_JSPDF references a /JS stream. Generic JavaScript is common in benign forms; specific dangerous APIs are scored by separate rules.
-
PDF differential parser failed info PDF_DIFFERENTIAL_PARSE_FAILEDThe cross-check parser (pdfminer.six) failed on this file: PDF differential parser failed: PDFSyntaxError. Static heuristics still ran and any of their findings above are valid; only the differential cross-check signal is missing.
-
Embedded URL info EMBEDDED_URLOne or more URLs were extracted from the document. The URL itself is not a detection — see the per-URL labels for which channel (macro, JS, link annotation, document body, ...) reached each URL.URL http://kona.kontera.com/javascript/lib/KonaLibInline.js
- http://192.168.0.1:4444/wipconn
- http://www.w3.org/1999/02/22-rdf-syntax-ns#
- http://ns.adobe.com/iX/1.0/
- http://ns.adobe.com/pdf/1.3/
- http://ns.adobe.com/xap/1.0/
- http://purl.org/dc/ele�����������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������
- http://home.netscape.com/NC-rdf#persist
- http://home.netscape.com/NC-rdf#command?cmd=deletebookmark
- http://home.netscape.com/NC-rdf#command?cmd=deletebookmarkseparator
- http://home.netscape.com/NC-rdf#command?cmd=setpersonaltoolbarfolder
- http://home.netscape.com/NC-rdf#command?cmd=import
- http://home.netscape.com/NC-rdf#command?cmd=export
- http://home.netscape.com/NC-rdf#command?cmd=refreshlivemark
- http://developer.mozilla.org/rdf/vocabulary/forward-proxy#forward-proxy
- http://my.netscape.com/rdf/simple/0.9/channel
- http://my.netscape.com/rdf/simple/0.9/item
- http://my.netscape.com/rdf/simple/0.9/title
- http://my.netscape.com/rdf/simple/0.9/link
- http://purl.org/rss/1.0/channel
- http://purl.org/rss/1.0/items
- http://purl.org/rss/1.0/title
- http://purl.org/rss/1.0/link
- http://purl.org/dc/elements/1.1/date
- http://lxr.mozilla.org/seamonkey/source/embedding/components/ui/progressDlg/nsProgressDialog.xul
- http://bugzilla.mozilla.org/show_bug.cgi?id=120198#c27
- http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd
- http://www.w3.org/1999/xhtml
- http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd
- http://www.mozilla.com/firefox/
- http://pagead2.googlesyndication.com/pagead/show_ads.js
- http://www.mozilla.org/MPL/
- http://www.mozilla.org/keymaster/gatekeeper/there.is.only.xul
- http://www.mozilla.org/2004/em-rdf#
- https://addons.mozilla.org/update/VersionCheck.php?reqVersion=%REQ_VERSION%&id=%ITEM_ID%&version=%ITEM_VERSION%&maxAppVersion=%ITEM_MAXAPPVERSION%&appID=%APP_ID%&appVersion=%APP_VERSION%&appOS=%APP_OS%&appABI=%APP_ABI%
- https://addons.mozilla.org/extensions/?application=%APPID%
- https://addons.mozilla.org/themes/?application=%APPID%
- http://home.netscape.com/NC-rdf#DayFolderIndex
- http://home.netscape.com/NC-rdf#
Extracted artifacts 4
Files carved from inside the sample during analysis.
| Filename | Kind | Source | Size |
|---|---|---|---|
hidden_pdf_zip_off0003a01f.zip1b2597073d52cd9d1da032016f4b32412ed1fed69f4b2188600a8b65219c7bff |
pdf-hidden-zip | PDF raw stream ZIP payload at offset 0x3A01F | 3143205 bytes |
embedded_pdf_00047000.exe1575678b0f9b742d58f825f17a3831871ed5563f2888a9b67fb06d1448e2e7cf |
embedded-pe | PDF raw stream PE payload at offset 0x47000 | 3089988 bytes |
hidden_pdf_zip_off000166c5.zip7be51c4424b7b1461ca3e28b7c42a7976d9b90c9b0b727e1e1a341562c30b2b9 |
pdf-hidden-zip | PDF decompressed stream ZIP payload at offset 0x166C5 | 1173400 bytes |
polyglot_child_pdf_off00321b6c.pdf500c1c14547a77eb106d3e578d58e614002f7af876fd167304bdcf83b29631a8 |
polyglot-child-pdf | Secondary PDF body inside pdf container at offset 0x321B6C | 1265273 bytes |
|
Detection
ClamAV:
Pdf.Exploit.Agent-23692
Obfuscation or payload:
unlikely
|
|||
Open this report in the interactive analyzer, or submit your own file for analysis.