Analysis
-
max time kernel
154s -
max time network
142s -
platform
windows7_x64 -
resource
win7-en-20211208 -
submitted
05-02-2022 17:48
Static task
static1
Behavioral task
behavioral1
Sample
Solicitud de pago.exe
Resource
win7-en-20211208
Behavioral task
behavioral2
Sample
Solicitud de pago.exe
Resource
win10v2004-en-20220113
General
-
Target
Solicitud de pago.exe
-
Size
1.1MB
-
MD5
5fd07e200ebbcf5b0f993d124a52cb91
-
SHA1
d83a1efffdca541142d8ef07768aadb59168ef70
-
SHA256
15e832cfe4bca263c941f26d1da9bfdac36340a2ee29ad62cd0c7cb5037b0b6d
-
SHA512
9c2237779a8b01f94016815b21ea1ee8197f43de358dd8c65766320b2b3e52120c0c263434366baefddac5373d271a0bcbe4195022b3f9e5a0638d3d864dd392
Malware Config
Extracted
hawkeye_reborn
10.1.2.2
Protocol: smtp- Host:
mail.winqscorp.com - Port:
587 - Username:
[email protected] - Password:
blessings147
04a5ac87-e4fd-44df-8b54-411af5d1e2c7
-
fields
map[_AntiDebugger:false _AntiVirusKiller:false _BotKiller:false _ClipboardLogger:false _Delivery:0 _DisableCommandPrompt:false _DisableRegEdit:false _DisableTaskManager:false _Disablers:false _EmailPassword:blessings147 _EmailPort:587 _EmailSSL:false _EmailServer:mail.winqscorp.com _EmailUsername:[email protected] _ExecutionDelay:10 _FTPPort:0 _FTPSFTP:false _FakeMessageIcon:0 _FakeMessageShow:false _FileBinder:false _HideFile:false _HistoryCleaner:false _Install:false _InstallLocation:0 _InstallStartup:false _InstallStartupPersistance:false _KeyStrokeLogger:false _LogInterval:10 _MeltFile:false _Mutex:04a5ac87-e4fd-44df-8b54-411af5d1e2c7 _PasswordStealer:true _ProcessElevation:false _ProcessProtection:false _ScreenshotLogger:false _SystemInfo:false _Version:10.1.2.2 _WebCamLogger:false _WebsiteBlocker:false _WebsiteVisitor:false _WebsiteVisitorVisible:false _ZoneID:false]
-
name
HawkEye Keylogger - RebornX, Version=10.1.2.2, Culture=neutral, PublicKeyToken=null
Signatures
-
HawkEye Reborn
HawkEye Reborn is an enhanced version of the HawkEye malware kit.
-
M00nd3v_Logger
M00nd3v Logger is a .NET stealer/logger targeting passwords from browsers and email clients.
-
M00nD3v Logger Payload 2 IoCs
Detects M00nD3v Logger payload in memory.
Processes:
resource yara_rule behavioral1/memory/2032-58-0x0000000000400000-0x0000000000490000-memory.dmp m00nd3v_logger behavioral1/memory/2032-114-0x0000000002560000-0x00000000045F0000-memory.dmp m00nd3v_logger -
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
-
Accesses Microsoft Outlook profiles 1 TTPs 64 IoCs
Processes:
RegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exedescription ioc process Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\15.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe -
Adds Run key to start application 2 TTPs 64 IoCs
Processes:
Solicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exedescription ioc process Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe Set value (str) \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows\CurrentVersion\Run\None = "C:\\Users\\Admin\\AppData\\Local\\Temp\\\\None" Solicitud de pago.exe -
Looks up external IP address via web service 1 IoCs
Uses a legitimate IP lookup service to find the infected system's external IP.
Processes:
flow ioc 10 bot.whatismyipaddress.com -
Suspicious use of SetThreadContext 64 IoCs
Processes:
Solicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exedescription pid process target process PID 1232 set thread context of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1516 set thread context of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1848 set thread context of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1324 set thread context of 1312 1324 Solicitud de pago.exe RegAsm.exe PID 1752 set thread context of 1944 1752 Solicitud de pago.exe RegAsm.exe PID 736 set thread context of 368 736 Solicitud de pago.exe RegAsm.exe PID 676 set thread context of 568 676 Solicitud de pago.exe RegAsm.exe PID 956 set thread context of 1856 956 Solicitud de pago.exe RegAsm.exe PID 968 set thread context of 1428 968 Solicitud de pago.exe RegAsm.exe PID 1276 set thread context of 2084 1276 Solicitud de pago.exe RegAsm.exe PID 2176 set thread context of 2304 2176 Solicitud de pago.exe RegAsm.exe PID 2396 set thread context of 2480 2396 Solicitud de pago.exe RegAsm.exe PID 2580 set thread context of 2704 2580 Solicitud de pago.exe RegAsm.exe PID 2808 set thread context of 2884 2808 Solicitud de pago.exe RegAsm.exe PID 3000 set thread context of 1140 3000 Solicitud de pago.exe RegAsm.exe PID 2228 set thread context of 2376 2228 Solicitud de pago.exe RegAsm.exe PID 2372 set thread context of 2364 2372 Solicitud de pago.exe RegAsm.exe PID 2504 set thread context of 2596 2504 Solicitud de pago.exe RegAsm.exe PID 2836 set thread context of 3020 2836 Solicitud de pago.exe RegAsm.exe PID 2240 set thread context of 2344 2240 Solicitud de pago.exe RegAsm.exe PID 2232 set thread context of 2784 2232 Solicitud de pago.exe RegAsm.exe PID 2744 set thread context of 3104 2744 Solicitud de pago.exe RegAsm.exe PID 3196 set thread context of 3232 3196 Solicitud de pago.exe RegAsm.exe PID 3352 set thread context of 3416 3352 Solicitud de pago.exe RegAsm.exe PID 3552 set thread context of 3604 3552 Solicitud de pago.exe RegAsm.exe PID 3740 set thread context of 3804 3740 Solicitud de pago.exe RegAsm.exe PID 3904 set thread context of 3980 3904 Solicitud de pago.exe RegAsm.exe PID 3116 set thread context of 2584 3116 Solicitud de pago.exe RegAsm.exe PID 2844 set thread context of 3524 2844 Solicitud de pago.exe RegAsm.exe PID 3212 set thread context of 3612 3212 Solicitud de pago.exe RegAsm.exe PID 3620 set thread context of 3096 3620 Solicitud de pago.exe RegAsm.exe PID 3320 set thread context of 3132 3320 Solicitud de pago.exe RegAsm.exe PID 924 set thread context of 3624 924 Solicitud de pago.exe RegAsm.exe PID 3576 set thread context of 3288 3576 Solicitud de pago.exe RegAsm.exe PID 280 set thread context of 2548 280 Solicitud de pago.exe RegAsm.exe PID 3480 set thread context of 4116 3480 Solicitud de pago.exe RegAsm.exe PID 4212 set thread context of 4308 4212 Solicitud de pago.exe RegAsm.exe PID 4412 set thread context of 4508 4412 Solicitud de pago.exe RegAsm.exe PID 4608 set thread context of 4708 4608 Solicitud de pago.exe RegAsm.exe PID 4804 set thread context of 4892 4804 Solicitud de pago.exe RegAsm.exe PID 4996 set thread context of 5084 4996 Solicitud de pago.exe RegAsm.exe PID 4004 set thread context of 4124 4004 Solicitud de pago.exe RegAsm.exe PID 3672 set thread context of 4704 3672 Solicitud de pago.exe RegAsm.exe PID 2492 set thread context of 4560 2492 Solicitud de pago.exe RegAsm.exe PID 4208 set thread context of 4952 4208 Solicitud de pago.exe RegAsm.exe PID 4156 set thread context of 3924 4156 Solicitud de pago.exe RegAsm.exe PID 4056 set thread context of 3724 4056 Solicitud de pago.exe RegAsm.exe PID 3940 set thread context of 2800 3940 Solicitud de pago.exe RegAsm.exe PID 4808 set thread context of 2852 4808 Solicitud de pago.exe RegAsm.exe PID 5156 set thread context of 5236 5156 Solicitud de pago.exe RegAsm.exe PID 5336 set thread context of 5420 5336 Solicitud de pago.exe RegAsm.exe PID 5516 set thread context of 5596 5516 Solicitud de pago.exe RegAsm.exe PID 5696 set thread context of 5780 5696 Solicitud de pago.exe RegAsm.exe PID 5872 set thread context of 5952 5872 Solicitud de pago.exe RegAsm.exe PID 6040 set thread context of 6120 6040 Solicitud de pago.exe RegAsm.exe PID 5144 set thread context of 4348 5144 Solicitud de pago.exe RegAsm.exe PID 3308 set thread context of 5492 3308 Solicitud de pago.exe RegAsm.exe PID 5724 set thread context of 5504 5724 Solicitud de pago.exe RegAsm.exe PID 5532 set thread context of 6132 5532 Solicitud de pago.exe RegAsm.exe PID 5136 set thread context of 4272 5136 Solicitud de pago.exe RegAsm.exe PID 2500 set thread context of 4632 2500 Solicitud de pago.exe RegAsm.exe PID 1680 set thread context of 5580 1680 Solicitud de pago.exe RegAsm.exe PID 5968 set thread context of 1716 5968 Solicitud de pago.exe RegAsm.exe PID 5660 set thread context of 6060 5660 Solicitud de pago.exe RegAsm.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
Processes:
Solicitud de pago.exepid process 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe 1232 Solicitud de pago.exe -
Suspicious behavior: MapViewOfSection 64 IoCs
Processes:
Solicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exepid process 1232 Solicitud de pago.exe 1516 Solicitud de pago.exe 1848 Solicitud de pago.exe 1848 Solicitud de pago.exe 1324 Solicitud de pago.exe 1752 Solicitud de pago.exe 736 Solicitud de pago.exe 736 Solicitud de pago.exe 736 Solicitud de pago.exe 736 Solicitud de pago.exe 676 Solicitud de pago.exe 956 Solicitud de pago.exe 968 Solicitud de pago.exe 1276 Solicitud de pago.exe 2176 Solicitud de pago.exe 2396 Solicitud de pago.exe 2580 Solicitud de pago.exe 2808 Solicitud de pago.exe 3000 Solicitud de pago.exe 2228 Solicitud de pago.exe 2372 Solicitud de pago.exe 2504 Solicitud de pago.exe 2504 Solicitud de pago.exe 2504 Solicitud de pago.exe 2836 Solicitud de pago.exe 2240 Solicitud de pago.exe 2240 Solicitud de pago.exe 2232 Solicitud de pago.exe 2744 Solicitud de pago.exe 3196 Solicitud de pago.exe 3352 Solicitud de pago.exe 3352 Solicitud de pago.exe 3552 Solicitud de pago.exe 3740 Solicitud de pago.exe 3740 Solicitud de pago.exe 3904 Solicitud de pago.exe 3116 Solicitud de pago.exe 2844 Solicitud de pago.exe 3212 Solicitud de pago.exe 3620 Solicitud de pago.exe 3320 Solicitud de pago.exe 3320 Solicitud de pago.exe 3320 Solicitud de pago.exe 924 Solicitud de pago.exe 3576 Solicitud de pago.exe 3576 Solicitud de pago.exe 280 Solicitud de pago.exe 3480 Solicitud de pago.exe 3480 Solicitud de pago.exe 3480 Solicitud de pago.exe 4212 Solicitud de pago.exe 4412 Solicitud de pago.exe 4412 Solicitud de pago.exe 4608 Solicitud de pago.exe 4804 Solicitud de pago.exe 4996 Solicitud de pago.exe 4996 Solicitud de pago.exe 4996 Solicitud de pago.exe 4004 Solicitud de pago.exe 3672 Solicitud de pago.exe 2492 Solicitud de pago.exe 2492 Solicitud de pago.exe 4208 Solicitud de pago.exe 4156 Solicitud de pago.exe -
Suspicious use of AdjustPrivilegeToken 64 IoCs
Processes:
Solicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeSolicitud de pago.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeSolicitud de pago.exeRegAsm.exeRegAsm.exeSolicitud de pago.exeRegAsm.exedescription pid process Token: SeDebugPrivilege 1232 Solicitud de pago.exe Token: SeDebugPrivilege 1516 Solicitud de pago.exe Token: SeDebugPrivilege 1848 Solicitud de pago.exe Token: SeDebugPrivilege 1324 Solicitud de pago.exe Token: SeDebugPrivilege 1752 Solicitud de pago.exe Token: SeDebugPrivilege 736 Solicitud de pago.exe Token: SeDebugPrivilege 676 Solicitud de pago.exe Token: SeDebugPrivilege 956 Solicitud de pago.exe Token: SeDebugPrivilege 968 Solicitud de pago.exe Token: SeDebugPrivilege 1276 Solicitud de pago.exe Token: SeDebugPrivilege 2176 Solicitud de pago.exe Token: SeDebugPrivilege 2396 Solicitud de pago.exe Token: SeDebugPrivilege 1348 RegAsm.exe Token: SeDebugPrivilege 1248 RegAsm.exe Token: SeDebugPrivilege 1312 RegAsm.exe Token: SeDebugPrivilege 2032 RegAsm.exe Token: SeDebugPrivilege 1944 RegAsm.exe Token: SeDebugPrivilege 2580 Solicitud de pago.exe Token: SeDebugPrivilege 368 RegAsm.exe Token: SeDebugPrivilege 2808 Solicitud de pago.exe Token: SeDebugPrivilege 568 RegAsm.exe Token: SeDebugPrivilege 3000 Solicitud de pago.exe Token: SeDebugPrivilege 1856 RegAsm.exe Token: SeDebugPrivilege 2228 Solicitud de pago.exe Token: SeDebugPrivilege 1428 RegAsm.exe Token: SeDebugPrivilege 2084 RegAsm.exe Token: SeDebugPrivilege 2372 Solicitud de pago.exe Token: SeDebugPrivilege 2304 RegAsm.exe Token: SeDebugPrivilege 2504 Solicitud de pago.exe Token: SeDebugPrivilege 2480 RegAsm.exe Token: SeDebugPrivilege 2836 Solicitud de pago.exe Token: SeDebugPrivilege 2704 RegAsm.exe Token: SeDebugPrivilege 2240 Solicitud de pago.exe Token: SeDebugPrivilege 2884 RegAsm.exe Token: SeDebugPrivilege 2232 Solicitud de pago.exe Token: SeDebugPrivilege 1140 RegAsm.exe Token: SeDebugPrivilege 2744 Solicitud de pago.exe Token: SeDebugPrivilege 3196 Solicitud de pago.exe Token: SeDebugPrivilege 2376 RegAsm.exe Token: SeDebugPrivilege 3352 Solicitud de pago.exe Token: SeDebugPrivilege 2364 RegAsm.exe Token: SeDebugPrivilege 3552 Solicitud de pago.exe Token: SeDebugPrivilege 2596 RegAsm.exe Token: SeDebugPrivilege 3740 Solicitud de pago.exe Token: SeDebugPrivilege 3020 RegAsm.exe Token: SeDebugPrivilege 3904 Solicitud de pago.exe Token: SeDebugPrivilege 2344 RegAsm.exe Token: SeDebugPrivilege 3116 Solicitud de pago.exe Token: SeDebugPrivilege 2784 RegAsm.exe Token: SeDebugPrivilege 2844 Solicitud de pago.exe Token: SeDebugPrivilege 3104 RegAsm.exe Token: SeDebugPrivilege 3212 Solicitud de pago.exe Token: SeDebugPrivilege 3232 RegAsm.exe Token: SeDebugPrivilege 3620 Solicitud de pago.exe Token: SeDebugPrivilege 3416 RegAsm.exe Token: SeDebugPrivilege 3320 Solicitud de pago.exe Token: SeDebugPrivilege 3604 RegAsm.exe Token: SeDebugPrivilege 924 Solicitud de pago.exe Token: SeDebugPrivilege 3804 RegAsm.exe Token: SeDebugPrivilege 3576 Solicitud de pago.exe Token: SeDebugPrivilege 3980 RegAsm.exe Token: SeDebugPrivilege 2584 RegAsm.exe Token: SeDebugPrivilege 280 Solicitud de pago.exe Token: SeDebugPrivilege 3524 RegAsm.exe -
Suspicious use of WriteProcessMemory 64 IoCs
Processes:
Solicitud de pago.execmd.exeSolicitud de pago.execmd.exeSolicitud de pago.execmd.exedescription pid process target process PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 2032 1232 Solicitud de pago.exe RegAsm.exe PID 1232 wrote to memory of 968 1232 Solicitud de pago.exe cmd.exe PID 1232 wrote to memory of 968 1232 Solicitud de pago.exe cmd.exe PID 1232 wrote to memory of 968 1232 Solicitud de pago.exe cmd.exe PID 1232 wrote to memory of 968 1232 Solicitud de pago.exe cmd.exe PID 968 wrote to memory of 1564 968 cmd.exe choice.exe PID 968 wrote to memory of 1564 968 cmd.exe choice.exe PID 968 wrote to memory of 1564 968 cmd.exe choice.exe PID 968 wrote to memory of 1564 968 cmd.exe choice.exe PID 1232 wrote to memory of 1516 1232 Solicitud de pago.exe Solicitud de pago.exe PID 1232 wrote to memory of 1516 1232 Solicitud de pago.exe Solicitud de pago.exe PID 1232 wrote to memory of 1516 1232 Solicitud de pago.exe Solicitud de pago.exe PID 1232 wrote to memory of 1516 1232 Solicitud de pago.exe Solicitud de pago.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 1248 1516 Solicitud de pago.exe RegAsm.exe PID 1516 wrote to memory of 660 1516 Solicitud de pago.exe cmd.exe PID 1516 wrote to memory of 660 1516 Solicitud de pago.exe cmd.exe PID 1516 wrote to memory of 660 1516 Solicitud de pago.exe cmd.exe PID 1516 wrote to memory of 660 1516 Solicitud de pago.exe cmd.exe PID 660 wrote to memory of 1524 660 cmd.exe choice.exe PID 660 wrote to memory of 1524 660 cmd.exe choice.exe PID 660 wrote to memory of 1524 660 cmd.exe choice.exe PID 660 wrote to memory of 1524 660 cmd.exe choice.exe PID 1516 wrote to memory of 1848 1516 Solicitud de pago.exe Solicitud de pago.exe PID 1516 wrote to memory of 1848 1516 Solicitud de pago.exe Solicitud de pago.exe PID 1516 wrote to memory of 1848 1516 Solicitud de pago.exe Solicitud de pago.exe PID 1516 wrote to memory of 1848 1516 Solicitud de pago.exe Solicitud de pago.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 676 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1348 1848 Solicitud de pago.exe RegAsm.exe PID 1848 wrote to memory of 1964 1848 Solicitud de pago.exe cmd.exe PID 1848 wrote to memory of 1964 1848 Solicitud de pago.exe cmd.exe PID 1848 wrote to memory of 1964 1848 Solicitud de pago.exe cmd.exe PID 1848 wrote to memory of 1964 1848 Solicitud de pago.exe cmd.exe PID 1964 wrote to memory of 1048 1964 cmd.exe choice.exe PID 1964 wrote to memory of 1048 1964 cmd.exe choice.exe PID 1964 wrote to memory of 1048 1964 cmd.exe choice.exe PID 1964 wrote to memory of 1048 1964 cmd.exe choice.exe PID 1848 wrote to memory of 1324 1848 Solicitud de pago.exe Solicitud de pago.exe -
outlook_office_path 1 IoCs
Processes:
RegAsm.exedescription ioc process Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Office\16.0\Outlook\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe -
outlook_win_path 1 IoCs
Processes:
RegAsm.exedescription ioc process Key opened \REGISTRY\USER\S-1-5-21-3846991908-3261386348-1409841751-1000\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676 RegAsm.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"1⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1232 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"2⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2032 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"2⤵
- Suspicious use of WriteProcessMemory
PID:968 -
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 33⤵PID:1564
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"2⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1516 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"3⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:1248 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"3⤵
- Suspicious use of WriteProcessMemory
PID:660 -
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 34⤵PID:1524
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"3⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1848 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"4⤵PID:676
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"4⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:1348 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"4⤵
- Suspicious use of WriteProcessMemory
PID:1964 -
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 35⤵PID:1048
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"4⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:1324 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"5⤵
- Suspicious use of AdjustPrivilegeToken
PID:1312 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"5⤵PID:1356
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 36⤵PID:1744
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"5⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:1752 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"6⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:1944 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"6⤵PID:1560
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 37⤵PID:1608
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"6⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:736 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"7⤵PID:1564
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"7⤵PID:952
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"7⤵PID:1668
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"7⤵
- Suspicious use of AdjustPrivilegeToken
PID:368 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"7⤵PID:1616
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 38⤵PID:1536
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"7⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:676 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"8⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:568 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"8⤵PID:1032
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 39⤵PID:1104
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"8⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:956 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"9⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:1856 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"9⤵PID:1956
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 310⤵PID:1604
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"9⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:968 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"10⤵
- Suspicious use of AdjustPrivilegeToken
PID:1428 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"10⤵PID:2012
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 311⤵PID:1616
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"10⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:1276 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"11⤵
- Suspicious use of AdjustPrivilegeToken
PID:2084 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"11⤵PID:2112
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 312⤵PID:2160
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"11⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2176 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"12⤵
- Suspicious use of AdjustPrivilegeToken
PID:2304 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"12⤵PID:2324
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 313⤵PID:2380
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"12⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2396 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"13⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2480 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"13⤵PID:2500
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 314⤵PID:2540
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"13⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2580 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"14⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2704 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"14⤵PID:2724
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 315⤵PID:2764
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"14⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2808 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"15⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2884 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"15⤵PID:2908
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 316⤵PID:2952
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"15⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3000 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"16⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:1140 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"16⤵PID:1612
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 317⤵PID:828
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"16⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2228 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"17⤵
- Suspicious use of AdjustPrivilegeToken
PID:2376 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"17⤵PID:2012
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 318⤵PID:2108
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"17⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2372 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"18⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2364 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"18⤵PID:2356
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 319⤵PID:2896
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"18⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2504 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"19⤵PID:1316
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"19⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2596 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"19⤵PID:2584
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"19⤵PID:2780
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 320⤵PID:2908
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"19⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2836 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"20⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:3020 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"20⤵PID:828
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 321⤵PID:2740
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"20⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2240 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"21⤵PID:2896
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"21⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2344 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"21⤵PID:2616
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 322⤵PID:2412
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"21⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2232 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"22⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2784 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"22⤵PID:1512
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 323⤵PID:2844
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"22⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2744 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"23⤵
- Suspicious use of AdjustPrivilegeToken
PID:3104 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"23⤵PID:3124
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 324⤵PID:3172
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"23⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3196 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"24⤵
- Suspicious use of AdjustPrivilegeToken
PID:3232 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"24⤵PID:3276
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 325⤵PID:3328
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"24⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3352 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"25⤵PID:3408
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"25⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:3416 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"25⤵PID:3436
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 326⤵PID:3496
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"25⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3552 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"26⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:3604 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"26⤵PID:3624
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 327⤵PID:3656
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"26⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3740 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"27⤵PID:3796
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"27⤵
- Suspicious use of AdjustPrivilegeToken
PID:3804 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"27⤵PID:3824
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 328⤵PID:3876
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"27⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3904 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"28⤵
- Suspicious use of AdjustPrivilegeToken
PID:3980 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"28⤵PID:4000
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 329⤵PID:4060
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"28⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3116 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"29⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:2584 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"29⤵PID:3288
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 330⤵PID:1696
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"29⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:2844 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"30⤵
- Accesses Microsoft Outlook profiles
- Suspicious use of AdjustPrivilegeToken
PID:3524 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"30⤵PID:3128
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 331⤵PID:3412
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"30⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3212 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"31⤵
- Accesses Microsoft Outlook profiles
PID:3612 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"31⤵PID:3432
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 332⤵PID:3796
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"31⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3620 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"32⤵
- Accesses Microsoft Outlook profiles
PID:3096 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"32⤵PID:280
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 333⤵PID:3840
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"32⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3320 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"33⤵PID:4044
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"33⤵PID:4052
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"33⤵
- Accesses Microsoft Outlook profiles
PID:3132 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"33⤵PID:3280
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 334⤵PID:2512
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"33⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:924 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"34⤵PID:3624
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"34⤵PID:2120
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 335⤵PID:3128
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"34⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:3576 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"35⤵PID:3288
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"35⤵PID:4012
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"35⤵PID:4004
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 336⤵PID:744
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"35⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
- Suspicious use of AdjustPrivilegeToken
PID:280 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"36⤵PID:2548
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"36⤵PID:3012
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 337⤵PID:3408
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"36⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:3480 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"37⤵PID:4100
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"37⤵PID:4108
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"37⤵PID:4116
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"37⤵PID:4136
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 338⤵PID:4192
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"37⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4212 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"38⤵
- Accesses Microsoft Outlook profiles
PID:4308 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"38⤵PID:4328
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 339⤵PID:4380
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"38⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4412 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"39⤵PID:4500
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"39⤵
- Accesses Microsoft Outlook profiles
PID:4508 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"39⤵PID:4540
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 340⤵PID:4588
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"39⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4608 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"40⤵
- Accesses Microsoft Outlook profiles
PID:4708 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"40⤵PID:4732
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 341⤵PID:4780
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"40⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4804 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"41⤵
- Accesses Microsoft Outlook profiles
PID:4892 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"41⤵PID:4912
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 342⤵PID:4968
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"41⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4996 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"42⤵PID:5068
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"42⤵PID:5076
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"42⤵
- Accesses Microsoft Outlook profiles
PID:5084 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"42⤵PID:5116
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 343⤵PID:2828
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"42⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4004 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"43⤵PID:4124
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"43⤵PID:4204
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 344⤵PID:4316
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"43⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:3672 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"44⤵
- Accesses Microsoft Outlook profiles
PID:4704 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"44⤵PID:4344
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 345⤵PID:4796
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"44⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:2492 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"45⤵PID:4544
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"45⤵
- Accesses Microsoft Outlook profiles
PID:4560 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"45⤵PID:2972
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 346⤵PID:4736
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"45⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4208 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"46⤵
- Accesses Microsoft Outlook profiles
PID:4952 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"46⤵PID:3080
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 347⤵PID:4944
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"46⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
- Suspicious behavior: MapViewOfSection
PID:4156 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"47⤵
- Accesses Microsoft Outlook profiles
PID:3924 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"47⤵PID:5004
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 348⤵PID:4400
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"47⤵
- Suspicious use of SetThreadContext
PID:4056 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"48⤵
- Accesses Microsoft Outlook profiles
PID:3724 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"48⤵PID:4164
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 349⤵PID:744
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"48⤵
- Suspicious use of SetThreadContext
PID:3940 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"49⤵
- Accesses Microsoft Outlook profiles
PID:2800 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"49⤵PID:4092
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 350⤵PID:4820
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"49⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:4808 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"50⤵
- Accesses Microsoft Outlook profiles
PID:2852 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"50⤵PID:4432
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 351⤵PID:2440
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"50⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5156 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"51⤵
- Accesses Microsoft Outlook profiles
PID:5236 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"51⤵PID:5256
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 352⤵PID:5316
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"51⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5336 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"52⤵
- Accesses Microsoft Outlook profiles
PID:5420 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"52⤵PID:5456
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 353⤵PID:5508
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"52⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5516 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"53⤵PID:5596
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"53⤵PID:5624
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 354⤵PID:5676
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"53⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5696 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"54⤵
- Accesses Microsoft Outlook profiles
PID:5780 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"54⤵PID:5800
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 355⤵PID:5844
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"54⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5872 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"55⤵PID:5952
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"55⤵PID:5972
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 356⤵PID:6016
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"55⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:6040 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"56⤵PID:6120
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"56⤵PID:6140
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 357⤵PID:744
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"56⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5144 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"57⤵
- Accesses Microsoft Outlook profiles
PID:4348 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"57⤵PID:4616
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 358⤵PID:5244
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"57⤵
- Suspicious use of SetThreadContext
PID:3308 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"58⤵
- Accesses Microsoft Outlook profiles
PID:5492 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"58⤵PID:5568
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 359⤵PID:5164
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"58⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5724 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"59⤵
- Accesses Microsoft Outlook profiles
PID:5504 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"59⤵PID:1696
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 360⤵PID:5680
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"59⤵
- Suspicious use of SetThreadContext
PID:5532 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"60⤵PID:6104
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"60⤵
- Accesses Microsoft Outlook profiles
PID:6132 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"60⤵PID:2244
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"60⤵PID:5704
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 361⤵PID:2644
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"60⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5136 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"61⤵PID:4272
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"61⤵PID:2688
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 362⤵PID:5132
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"61⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:2500 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"62⤵PID:4652
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"62⤵PID:4632
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"62⤵PID:5312
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 363⤵PID:5176
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"62⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:1680 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"63⤵PID:5580
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"63⤵PID:4404
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 364⤵PID:4324
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"63⤵
- Suspicious use of SetThreadContext
PID:5968 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"64⤵PID:1716
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"64⤵PID:6056
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 365⤵PID:1036
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"64⤵
- Adds Run key to start application
- Suspicious use of SetThreadContext
PID:5660 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"65⤵
- Accesses Microsoft Outlook profiles
PID:6060 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"65⤵PID:6140
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 366⤵PID:5880
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"65⤵
- Adds Run key to start application
PID:6104 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"66⤵PID:5348
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"66⤵PID:5664
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 367⤵PID:6128
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"66⤵PID:2432
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"67⤵
- Accesses Microsoft Outlook profiles
PID:4472 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"67⤵PID:4112
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 368⤵PID:3880
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"67⤵PID:5832
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"68⤵
- Accesses Microsoft Outlook profiles
PID:2288 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"68⤵PID:4860
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 369⤵PID:4736
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"68⤵
- Adds Run key to start application
PID:4324 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"69⤵
- Accesses Microsoft Outlook profiles
PID:4772 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"69⤵PID:4148
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 370⤵PID:6148
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"69⤵
- Adds Run key to start application
PID:6172 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"70⤵
- Accesses Microsoft Outlook profiles
PID:6224 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"70⤵PID:6260
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 371⤵PID:6376
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"70⤵
- Adds Run key to start application
PID:6312 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"71⤵
- Accesses Microsoft Outlook profiles
PID:6420 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"71⤵PID:6444
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 372⤵PID:6528
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"71⤵
- Adds Run key to start application
PID:6540 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"72⤵PID:6620
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"72⤵PID:6640
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 373⤵PID:6700
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"72⤵
- Adds Run key to start application
PID:6736 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"73⤵PID:6836
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"73⤵PID:6844
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"73⤵PID:6864
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 374⤵PID:6916
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"73⤵
- Adds Run key to start application
PID:6968 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"74⤵PID:7032
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"74⤵
- Accesses Microsoft Outlook profiles
PID:7040 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"74⤵PID:7068
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 375⤵PID:7116
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"74⤵
- Adds Run key to start application
PID:7148 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"75⤵PID:3932
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"75⤵PID:6168
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 376⤵PID:4048
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"75⤵
- Adds Run key to start application
PID:5396 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"76⤵PID:6140
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"76⤵PID:6328
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"76⤵PID:1956
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 377⤵PID:5572
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"76⤵
- Adds Run key to start application
PID:4104 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"77⤵
- Accesses Microsoft Outlook profiles
PID:6632 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"77⤵PID:6184
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 378⤵PID:6360
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"77⤵
- Adds Run key to start application
PID:6316 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"78⤵PID:6684
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"78⤵PID:7092
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 379⤵PID:7140
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"78⤵
- Adds Run key to start application
PID:6920 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"79⤵PID:7108
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"79⤵PID:7096
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 380⤵PID:5748
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"79⤵PID:2640
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"80⤵PID:6444
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"80⤵PID:6680
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 381⤵PID:4864
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"80⤵
- Adds Run key to start application
PID:6368 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"81⤵
- Accesses Microsoft Outlook profiles
PID:6380 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"81⤵PID:7068
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 382⤵PID:944
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"81⤵
- Adds Run key to start application
PID:7092 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"82⤵PID:6336
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"82⤵PID:6668
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 383⤵PID:2536
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"82⤵
- Adds Run key to start application
PID:6348 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"83⤵
- Accesses Microsoft Outlook profiles
PID:6904 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"83⤵PID:7140
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 384⤵PID:3292
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"83⤵
- Adds Run key to start application
PID:5888 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"84⤵PID:6296
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"84⤵PID:6064
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 385⤵PID:2244
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"84⤵
- Adds Run key to start application
PID:6560 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"85⤵
- outlook_office_path
- outlook_win_path
PID:6924 -
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"85⤵PID:7204
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 386⤵PID:7248
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"85⤵
- Adds Run key to start application
PID:7276 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"86⤵PID:7336
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"86⤵PID:7376
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 387⤵PID:7408
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"86⤵
- Adds Run key to start application
PID:7436 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"87⤵PID:7524
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"87⤵PID:7560
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 388⤵PID:7616
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"87⤵
- Adds Run key to start application
PID:7640 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"88⤵PID:7680
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"88⤵PID:7712
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 389⤵PID:7748
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"88⤵
- Adds Run key to start application
PID:7784 -
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"89⤵PID:7868
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"89⤵PID:7888
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 390⤵PID:7940
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"89⤵PID:7968
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"90⤵PID:8064
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"90⤵PID:8100
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 391⤵PID:8140
-
C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"90⤵PID:8184
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"91⤵PID:7124
-
C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"91⤵PID:4852
-
C:\Windows\SysWOW64\cmd.exe"C:\Windows\System32\cmd.exe" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Solicitud de pago.exe"91⤵PID:6996
-
C:\Windows\SysWOW64\choice.exechoice /C Y /N /D Y /T 392⤵PID:6276