66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c

Analysis

max time kernel
150s
max time network
185s
platform
windows7_x64
resource
win7v20210408
submitted
27-07-2021 09:14

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe
Size

6.9MB
MD5

c6807985e9ac7a2d65b15728934c0a86
SHA1

5d9a604584a5052d5bb7b277be339a1debeaaf59
SHA256

66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c
SHA512

007069f54c3f9ae76056581ded22fe1cb870ca711e2e9b1204fb9584c7918a9dc974b1491614da668a5b45b8463f9994075c525255a72744a03f953dde7b51ac

Score

8^/10

upx

Malware Config

Signatures

Executes dropped EXE 2 IoCs

Processes:

66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmpUtorrentV4.exe

pid process

1256 66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
1572 UtorrentV4.exe

pid	process
1256	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
1572	UtorrentV4.exe

UPX packed file 2 IoCs

Detects executables packed with UPX/modified UPX open source packer.

upx

Processes:

resource	yara_rule
\Users\Admin\AppData\Roaming\UtorrentV4.exe	upx
C:\Users\Admin\AppData\Roaming\UtorrentV4.exe	upx

Loads dropped DLL 6 IoCs

Processes:

66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmpUtorrentV4.exe

pid	process
468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe
1256	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
1572	UtorrentV4.exe
1572	UtorrentV4.exe
1572	UtorrentV4.exe
1572	UtorrentV4.exe

Suspicious behavior: EnumeratesProcesses 64 IoCs

Processes:

UtorrentV4.exenotepad.exe

pid	process
1572	UtorrentV4.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe

Suspicious behavior: MapViewOfSection 64 IoCs

Processes:

notepad.exe

pid	process
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe
692	notepad.exe

Suspicious use of WriteProcessMemory 64 IoCs

Processes:

66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmpUtorrentV4.exenotepad.exe

description	pid	process	target process
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 468 wrote to memory of 1256	468	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
PID 1256 wrote to memory of 1572	1256	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp	UtorrentV4.exe
PID 1256 wrote to memory of 1572	1256	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp	UtorrentV4.exe
PID 1256 wrote to memory of 1572	1256	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp	UtorrentV4.exe
PID 1256 wrote to memory of 1572	1256	66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp	UtorrentV4.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 1572 wrote to memory of 692	1572	UtorrentV4.exe	notepad.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1568	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1828	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1828	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1828	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1828	692	notepad.exe	cmd.exe
PID 692 wrote to memory of 1828	692	notepad.exe	cmd.exe

C:\Users\Admin\AppData\Local\Temp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe
"C:\Users\Admin\AppData\Local\Temp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe"
1⤵
- Loads dropped DLL
- Suspicious use of WriteProcessMemory
PID:468

C:\Users\Admin\AppData\Local\Temp\is-J6RS2.tmp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
"C:\Users\Admin\AppData\Local\Temp\is-J6RS2.tmp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp" /SL5="$7015E,6337497,999936,C:\Users\Admin\AppData\Local\Temp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.exe"
2⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious use of WriteProcessMemory
PID:1256

C:\Users\Admin\AppData\Roaming\UtorrentV4.exe
"C:\Users\Admin\AppData\Roaming\UtorrentV4.exe"
3⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:1572

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
4⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: MapViewOfSection
- Suspicious use of WriteProcessMemory
PID:692

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\system32\cmd.exe"
5⤵
PID:1568

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\system32\cmd.exe"
5⤵
PID:1828

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\system32\cmd.exe"
5⤵
PID:1228

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\system32\cmd.exe"
5⤵
PID:360

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\system32\cmd.exe"
5⤵
PID:1312

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:980

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1704

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1236

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1564

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1904

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1440

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:920

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1296

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:916

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1468

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1876

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1004

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:796

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:520

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1068

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:952

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1592

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1436

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1640

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1648

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1584

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1680

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1332

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:468

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1520

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1796

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1800

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1740

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:824

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1540

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1544

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:960

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1596

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1780

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1664

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1848

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1668

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1652

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1620

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:864

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1324

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2008

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:680

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:564

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:516

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:872

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1376

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1060

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1432

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1444

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1076

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1396

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:364

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1952

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:844

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2012

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1036

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1156

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1336

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1292

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:868

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2052

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2060

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2068

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2076

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2084

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2092

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2100

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2108

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2116

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2124

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2132

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2140

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2148

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2156

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2164

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2172

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2180

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2188

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2196

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2204

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2212

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2220

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2228

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2236

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2244

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2252

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2260

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2268

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2276

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2284

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2292

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2300

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2308

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2316

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2324

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2332

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2340

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2348

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2356

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2364

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2372

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2380

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2388

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2396

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2404

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2412

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2420

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2428

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2436

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2444

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2452

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2460

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2468

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2476

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2484

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2492

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2500

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2508

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2516

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2524

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2532

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2540

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2548

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2556

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2564

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2572

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2580

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2588

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2596

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2604

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2612

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2620

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2628

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2636

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2644

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2652

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2660

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2668

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2676

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2684

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2692

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2700

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2708

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2716

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2724

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2732

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2740

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2748

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2756

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2764

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2772

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2780

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2788

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2796

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2804

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2812

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2820

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2828

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2836

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2844

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2852

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2860

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2868

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2876

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2884

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2896

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2904

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2912

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2920

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2928

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2936

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2944

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2952

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2960

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2968

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2976

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2984

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:2992

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3000

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3008

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3016

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3024

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3032

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3040

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3048

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3056

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3064

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:984

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:932

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3080

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3088

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3096

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3104

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3112

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3120

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3128

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3136

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3144

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3152

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3160

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3168

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3176

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3184

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3192

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3200

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3208

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3216

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3224

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3232

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3240

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3248

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3256

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3264

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3272

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3280

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3288

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3296

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3304

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3312

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3320

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3328

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3336

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3344

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3352

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3360

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3368

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3376

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3384

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3392

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3400

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3408

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3416

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3424

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3432

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3440

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3448

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3456

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3464

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3472

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3480

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3488

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3496

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3504

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3512

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3520

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3528

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3536

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3544

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3552

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3560

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3568

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3576

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3584

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3592

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3604

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3612

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3620

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3628

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3636

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3644

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3652

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3672

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3680

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3688

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3696

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3704

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3712

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3720

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3728

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3736

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3744

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3752

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3760

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3768

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3776

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3784

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3792

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3800

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3812

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3820

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3828

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3836

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3844

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3852

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3864

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3872

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3880

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3888

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3896

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3904

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3912

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3920

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3928

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3936

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3944

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3952

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3960

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3968

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3976

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3984

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3992

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4000

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4008

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4016

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4024

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4032

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4040

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4048

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4056

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4064

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4072

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4080

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4088

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1636

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:1700

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:3660

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4100

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4108

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4116

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4124

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4132

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4140

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4148

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4156

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4164

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4172

C:\Windows\SysWOW64\notepad.exe
"C:\Windows\system32\notepad.exe"
5⤵
PID:4180

Network

MITRE ATT&CK Matrix

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Temp\is-J6RS2.tmp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
MD5
a1a17d158af58d4a2ff724fdb6231bf1

SHA1
38345deb7968ca59615c2e9a0677ba2f468d0f72

SHA256
fcf5f6ec4de5b314f53e4ad79afa31a8461428459060ac5e17ef132b54a7aa10

SHA512
756317041f1d73648e2891caec6ed6486a935cfe856d9c306becb18ff5929e19854776403f7d11814ba7963c8d61f0ac1bb9ba3acf68955176e62949c1a04814

Download Submit
C:\Users\Admin\AppData\Roaming\BORLNDMM.DLL
MD5
d329682a25bb2433bc05d170b8e3e9b0

SHA1
76e3a2004e5ba7f5126fac9922336f38e928d733

SHA256
b3cc3f8b65b37a807843e07c3848eba3b86f6e2d0b67c6d7cb14e9660a881618

SHA512
432f454d32622b352badabe71546e522949a83dfefdcd12dcd6992d9e57d10d13de305dc67c8993d6e90c28cabdc9d6b20829c844efe8e175cb80f51bcd407d3

Download Submit
C:\Users\Admin\AppData\Roaming\CC32220MT.DLL
MD5
cfc08b3fd01b4e96517ee75a67a59e88

SHA1
d9cb08009aa04b316486a51a38a47d59a837cbc5

SHA256
4c7ba4b43e9ef88ab0b0073d966a5923bf5d236aee0a436256fe225ffc31a5ba

SHA512
26bec56dc2748e1d88bba12c4adcd24beb48809bd6c3927155a38f0487d7ed2dcd63b783c84b8ea44e3f2e9ab8bebb1448ff3f7c5acab12e816a7a365890ecb5

Download Submit
C:\Users\Admin\AppData\Roaming\MSIMG32.dll
MD5
1e3a67f928e0574e6fa8993df4c1c8a7

SHA1
7898e2537c3882382c77c1393ad7fe547ab7357c

SHA256
73f6956daf7e02aade628921d1faba2189ce98053afeb397b45548549eeda822

SHA512
fc8b2d79156b829cfe778aab5ee648b8521f69e518327f8b5e6ca6b42d380c59e97d275ddf2eb54f56978cc183624ba267805e35413fce60a0732d3febe4a591

Download Submit
C:\Users\Admin\AppData\Roaming\UtorrentV4.exe
MD5
4939d280485bdc0ac67b49012bdcec08

SHA1
fc7d1d37b82e126d999ac8a6c5c9343363925fe6

SHA256
30b6a34230e15d9941fd4d37fe392c3306c8ef4c1de59c5c87d80068514565df

SHA512
6a175d3f71d7430479b7e21b92db07f1758a9ea63a341375107bb002df4cbfe90031a04705b560a130ce02e9eae1b51c189d93a864b0f253cdfc03ae652b1868

Download Submit
C:\Users\Admin\AppData\Roaming\rtl220.bpl
MD5
654f94911b454928dc60e6640d511e2a

SHA1
be83ffc9fdacb4fd5ee5168454a83e341ea65d61

SHA256
0082c561f3d9a41c35aa99f15be51733aced230c8ffdc6658611b51f470f855f

SHA512
fddcc9bfbb677ac12ed1e3fb4105450f3e0f31f77b00bb4427f4729967b41fbc9ebd4f89cd1d4adfc89a8481039e54e9e9600f49045b13eb07bdd542f9ecf4b6

Download Submit
\Users\Admin\AppData\Local\Temp\is-J6RS2.tmp\66dfb7c408d734edc2967d50244babae27e4268ea93aa0daa5e6bbace607024c.bin.tmp
MD5
a1a17d158af58d4a2ff724fdb6231bf1

SHA1
38345deb7968ca59615c2e9a0677ba2f468d0f72

SHA256
fcf5f6ec4de5b314f53e4ad79afa31a8461428459060ac5e17ef132b54a7aa10

SHA512
756317041f1d73648e2891caec6ed6486a935cfe856d9c306becb18ff5929e19854776403f7d11814ba7963c8d61f0ac1bb9ba3acf68955176e62949c1a04814

Download Submit
\Users\Admin\AppData\Roaming\MSIMG32.dll
MD5
1e3a67f928e0574e6fa8993df4c1c8a7

SHA1
7898e2537c3882382c77c1393ad7fe547ab7357c

SHA256
73f6956daf7e02aade628921d1faba2189ce98053afeb397b45548549eeda822

SHA512
fc8b2d79156b829cfe778aab5ee648b8521f69e518327f8b5e6ca6b42d380c59e97d275ddf2eb54f56978cc183624ba267805e35413fce60a0732d3febe4a591

Download Submit
\Users\Admin\AppData\Roaming\UtorrentV4.exe
MD5
4939d280485bdc0ac67b49012bdcec08

SHA1
fc7d1d37b82e126d999ac8a6c5c9343363925fe6

SHA256
30b6a34230e15d9941fd4d37fe392c3306c8ef4c1de59c5c87d80068514565df

SHA512
6a175d3f71d7430479b7e21b92db07f1758a9ea63a341375107bb002df4cbfe90031a04705b560a130ce02e9eae1b51c189d93a864b0f253cdfc03ae652b1868

Download Submit
\Users\Admin\AppData\Roaming\borlndmm.dll
MD5
d329682a25bb2433bc05d170b8e3e9b0

SHA1
76e3a2004e5ba7f5126fac9922336f38e928d733

SHA256
b3cc3f8b65b37a807843e07c3848eba3b86f6e2d0b67c6d7cb14e9660a881618

SHA512
432f454d32622b352badabe71546e522949a83dfefdcd12dcd6992d9e57d10d13de305dc67c8993d6e90c28cabdc9d6b20829c844efe8e175cb80f51bcd407d3

Download Submit
\Users\Admin\AppData\Roaming\cc32220mt.dll
MD5
cfc08b3fd01b4e96517ee75a67a59e88

SHA1
d9cb08009aa04b316486a51a38a47d59a837cbc5

SHA256
4c7ba4b43e9ef88ab0b0073d966a5923bf5d236aee0a436256fe225ffc31a5ba

SHA512
26bec56dc2748e1d88bba12c4adcd24beb48809bd6c3927155a38f0487d7ed2dcd63b783c84b8ea44e3f2e9ab8bebb1448ff3f7c5acab12e816a7a365890ecb5

Download Submit
\Users\Admin\AppData\Roaming\rtl220.bpl
MD5
654f94911b454928dc60e6640d511e2a

SHA1
be83ffc9fdacb4fd5ee5168454a83e341ea65d61

SHA256
0082c561f3d9a41c35aa99f15be51733aced230c8ffdc6658611b51f470f855f

SHA512
fddcc9bfbb677ac12ed1e3fb4105450f3e0f31f77b00bb4427f4729967b41fbc9ebd4f89cd1d4adfc89a8481039e54e9e9600f49045b13eb07bdd542f9ecf4b6

Download Submit
memory/468-65-0x0000000000400000-0x0000000000501000-memory.dmp

Filesize
1.0MB

Download
memory/468-59-0x0000000075051000-0x0000000075053000-memory.dmp

Filesize
8KB

Download
memory/692-79-0x0000000000000000-mapping.dmp

Download
memory/692-81-0x0000000000090000-0x0000000000092000-memory.dmp

Filesize
8KB

Download
memory/692-82-0x00000000003E0000-0x00000000003E8000-memory.dmp

Filesize
32KB

Download
memory/692-83-0x0000000076CB0000-0x0000000076E59000-memory.dmp

Filesize
1.7MB

Download
memory/1256-66-0x00000000001D0000-0x00000000001D1000-memory.dmp

Filesize
4KB

Download
memory/1256-62-0x0000000000000000-mapping.dmp

Download
memory/1572-68-0x0000000000000000-mapping.dmp

Download