Analysis
-
max time kernel
169s -
max time network
31s -
platform
windows7_x64 -
resource
win7-20221111-en -
resource tags
arch:x64arch:x86image:win7-20221111-enlocale:en-usos:windows7-x64system -
submitted
28-11-2022 09:23
Static task
static1
Behavioral task
behavioral1
Sample
79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe
Resource
win7-20221111-en
Behavioral task
behavioral2
Sample
79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe
Resource
win10v2004-20220901-en
General
-
Target
79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe
-
Size
2.2MB
-
MD5
97af5bbe181461dca1858213b4a5b999
-
SHA1
ecd72d0643d87cb4cd5a26e344484d6c0ad4c25e
-
SHA256
79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed
-
SHA512
67ed8e7a0623fce8d3de338f6216de1f99683170383cbef7d9517b8dfffa1c24c1f68af35920b158278f0ef1ad8d83ab9e595315d390f41347bcb4273cbac0e6
-
SSDEEP
49152:txv2nC5RX1OB8+zl4HzNr3LnYJ0Z4JFkQ8BuF:zf11OB8n938+4vV8AF
Malware Config
Signatures
-
ModiLoader, DBatLoader
ModiLoader is a Delphi loader that misuses cloud services to download other malicious families.
-
ModiLoader Second Stage 64 IoCs
Processes:
resource yara_rule \Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 \Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 C:\Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 \Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 \Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 \Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 C:\Windows\SysWOW64\1o.p.1.2F.exe modiloader_stage2 behavioral1/memory/1600-84-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/1600-104-0x0000000003150000-0x0000000003250000-memory.dmp modiloader_stage2 C:\Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \??\c:\windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/1600-111-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 C:\Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/928-123-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 C:\Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/984-129-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/1880-135-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 C:\Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 C:\Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/1536-151-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 C:\Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 \Windows\SysWOW64\msiexec16b.exe modiloader_stage2 behavioral1/memory/1992-158-0x0000000003000000-0x0000000003100000-memory.dmp modiloader_stage2 behavioral1/memory/1992-160-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/2008-162-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/2008-168-0x0000000000500000-0x0000000000600000-memory.dmp modiloader_stage2 behavioral1/memory/2008-171-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/588-174-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1000-177-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/764-180-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1652-183-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/820-186-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1336-189-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1680-192-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1508-195-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1280-198-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 behavioral1/memory/1588-201-0x0000000000400000-0x00000000004FF400-memory.dmp modiloader_stage2 -
Executes dropped EXE 64 IoCs
Processes:
Rundl16.exeTheef2Server.exe1o.p.1.2F.exeRundll16.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exewingreporg.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exepid process 1216 Rundl16.exe 1036 Theef2Server.exe 1600 1o.p.1.2F.exe 768 Rundll16.exe 928 msiexec16b.exe 984 msiexec16b.exe 1880 msiexec16b.exe 1536 msiexec16b.exe 1992 msiexec16b.exe 2008 msiexec16b.exe 588 msiexec16b.exe 1000 msiexec16b.exe 764 msiexec16b.exe 1652 msiexec16b.exe 820 msiexec16b.exe 1336 msiexec16b.exe 1680 msiexec16b.exe 1508 msiexec16b.exe 1280 msiexec16b.exe 1588 msiexec16b.exe 928 msiexec16b.exe 2044 msiexec16b.exe 1212 msiexec16b.exe 1460 msiexec16b.exe 1712 msiexec16b.exe 1620 msiexec16b.exe 1716 msiexec16b.exe 1808 msiexec16b.exe 680 msiexec16b.exe 892 msiexec16b.exe 524 msiexec16b.exe 544 msiexec16b.exe 1532 msiexec16b.exe 1228 wingreporg.exe 764 msiexec16b.exe 1692 msiexec16b.exe 624 msiexec16b.exe 1600 msiexec16b.exe 1756 msiexec16b.exe 304 msiexec16b.exe 1792 msiexec16b.exe 1516 msiexec16b.exe 1636 msiexec16b.exe 904 msiexec16b.exe 1616 msiexec16b.exe 576 msiexec16b.exe 268 msiexec16b.exe 864 msiexec16b.exe 588 msiexec16b.exe 780 msiexec16b.exe 524 msiexec16b.exe 1688 msiexec16b.exe 592 msiexec16b.exe 1624 msiexec16b.exe 1884 msiexec16b.exe 700 msiexec16b.exe 1476 msiexec16b.exe 624 msiexec16b.exe 844 msiexec16b.exe 1524 msiexec16b.exe 1608 msiexec16b.exe 520 msiexec16b.exe 1880 msiexec16b.exe 956 msiexec16b.exe -
Loads dropped DLL 64 IoCs
Processes:
79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exeRundl16.exeTheef2Server.exe1o.p.1.2F.exeRundll16.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exepid process 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1216 Rundl16.exe 1216 Rundl16.exe 1216 Rundl16.exe 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1036 Theef2Server.exe 1036 Theef2Server.exe 1036 Theef2Server.exe 1600 1o.p.1.2F.exe 1600 1o.p.1.2F.exe 1600 1o.p.1.2F.exe 1216 Rundl16.exe 1216 Rundl16.exe 768 Rundll16.exe 768 Rundll16.exe 768 Rundll16.exe 1600 1o.p.1.2F.exe 1600 1o.p.1.2F.exe 928 msiexec16b.exe 928 msiexec16b.exe 928 msiexec16b.exe 928 msiexec16b.exe 928 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 764 msiexec16b.exe -
Adds Run key to start application 2 TTPs 64 IoCs
Processes:
msiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exedescription ioc process Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe Key created \REGISTRY\MACHINE\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run msiexec16b.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\Microsoft Office = "c:\\windows\\system32\\msiexec16b.exe" msiexec16b.exe -
Drops file in System32 directory 64 IoCs
Processes:
msiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exe79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exedescription ioc process File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File opened for modification C:\Windows\SysWOW64\Rundl16.exe 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe File created \??\c:\windows\SysWOW64\msiexec16b.exe msiexec16b.exe -
Drops file in Windows directory 2 IoCs
Processes:
Theef2Server.exedescription ioc process File created C:\Windows\wingreporg.exe Theef2Server.exe File opened for modification C:\Windows\wingreporg.exe Theef2Server.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Suspicious behavior: EnumeratesProcesses 64 IoCs
Processes:
Rundl16.exe1o.p.1.2F.exeTheef2Server.exeRundll16.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exepid process 1216 Rundl16.exe 1216 Rundl16.exe 1216 Rundl16.exe 1600 1o.p.1.2F.exe 1600 1o.p.1.2F.exe 1600 1o.p.1.2F.exe 1036 Theef2Server.exe 1036 Theef2Server.exe 1036 Theef2Server.exe 768 Rundll16.exe 768 Rundll16.exe 768 Rundll16.exe 1600 1o.p.1.2F.exe 928 msiexec16b.exe 928 msiexec16b.exe 928 msiexec16b.exe 928 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 984 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1880 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1536 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 1992 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 2008 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 588 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 1000 msiexec16b.exe 764 msiexec16b.exe 764 msiexec16b.exe 764 msiexec16b.exe 764 msiexec16b.exe 1652 msiexec16b.exe 1652 msiexec16b.exe 1652 msiexec16b.exe 1652 msiexec16b.exe 820 msiexec16b.exe 820 msiexec16b.exe 820 msiexec16b.exe 820 msiexec16b.exe 1336 msiexec16b.exe 1336 msiexec16b.exe 1336 msiexec16b.exe 1336 msiexec16b.exe 1680 msiexec16b.exe 1680 msiexec16b.exe -
Suspicious use of AdjustPrivilegeToken 64 IoCs
Processes:
1o.p.1.2F.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exedescription pid process Token: SeDebugPrivilege 1600 1o.p.1.2F.exe Token: SeDebugPrivilege 1600 1o.p.1.2F.exe Token: SeDebugPrivilege 928 msiexec16b.exe Token: SeDebugPrivilege 928 msiexec16b.exe Token: SeDebugPrivilege 984 msiexec16b.exe Token: SeDebugPrivilege 984 msiexec16b.exe Token: SeDebugPrivilege 1880 msiexec16b.exe Token: SeDebugPrivilege 1880 msiexec16b.exe Token: SeDebugPrivilege 1536 msiexec16b.exe Token: SeDebugPrivilege 1536 msiexec16b.exe Token: SeDebugPrivilege 1992 msiexec16b.exe Token: SeDebugPrivilege 1992 msiexec16b.exe Token: SeDebugPrivilege 2008 msiexec16b.exe Token: SeDebugPrivilege 2008 msiexec16b.exe Token: SeDebugPrivilege 588 msiexec16b.exe Token: SeDebugPrivilege 588 msiexec16b.exe Token: SeDebugPrivilege 1000 msiexec16b.exe Token: SeDebugPrivilege 1000 msiexec16b.exe Token: SeDebugPrivilege 764 msiexec16b.exe Token: SeDebugPrivilege 764 msiexec16b.exe Token: SeDebugPrivilege 1652 msiexec16b.exe Token: SeDebugPrivilege 1652 msiexec16b.exe Token: SeDebugPrivilege 820 msiexec16b.exe Token: SeDebugPrivilege 820 msiexec16b.exe Token: SeDebugPrivilege 1336 msiexec16b.exe Token: SeDebugPrivilege 1336 msiexec16b.exe Token: SeDebugPrivilege 1680 msiexec16b.exe Token: SeDebugPrivilege 1680 msiexec16b.exe Token: SeDebugPrivilege 1508 msiexec16b.exe Token: SeDebugPrivilege 1508 msiexec16b.exe Token: SeDebugPrivilege 1280 msiexec16b.exe Token: SeDebugPrivilege 1280 msiexec16b.exe Token: SeDebugPrivilege 1588 msiexec16b.exe Token: SeDebugPrivilege 1588 msiexec16b.exe Token: SeDebugPrivilege 928 msiexec16b.exe Token: SeDebugPrivilege 928 msiexec16b.exe Token: SeDebugPrivilege 2044 msiexec16b.exe Token: SeDebugPrivilege 2044 msiexec16b.exe Token: SeDebugPrivilege 1212 msiexec16b.exe Token: SeDebugPrivilege 1212 msiexec16b.exe Token: SeDebugPrivilege 1460 msiexec16b.exe Token: SeDebugPrivilege 1460 msiexec16b.exe Token: SeDebugPrivilege 1712 msiexec16b.exe Token: SeDebugPrivilege 1712 msiexec16b.exe Token: SeDebugPrivilege 1620 msiexec16b.exe Token: SeDebugPrivilege 1620 msiexec16b.exe Token: SeDebugPrivilege 1716 msiexec16b.exe Token: SeDebugPrivilege 1716 msiexec16b.exe Token: SeDebugPrivilege 1808 msiexec16b.exe Token: SeDebugPrivilege 1808 msiexec16b.exe Token: SeDebugPrivilege 680 msiexec16b.exe Token: SeDebugPrivilege 680 msiexec16b.exe Token: SeDebugPrivilege 892 msiexec16b.exe Token: SeDebugPrivilege 892 msiexec16b.exe Token: SeDebugPrivilege 524 msiexec16b.exe Token: SeDebugPrivilege 524 msiexec16b.exe Token: SeDebugPrivilege 544 msiexec16b.exe Token: SeDebugPrivilege 544 msiexec16b.exe Token: SeDebugPrivilege 1532 msiexec16b.exe Token: SeDebugPrivilege 1532 msiexec16b.exe Token: SeDebugPrivilege 764 msiexec16b.exe Token: SeDebugPrivilege 764 msiexec16b.exe Token: SeDebugPrivilege 1692 msiexec16b.exe Token: SeDebugPrivilege 1692 msiexec16b.exe -
Suspicious use of WriteProcessMemory 64 IoCs
Processes:
79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exeRundl16.exe1o.p.1.2F.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exemsiexec16b.exedescription pid process target process PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1216 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Rundl16.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1036 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe Theef2Server.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1228 wrote to memory of 1600 1228 79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe 1o.p.1.2F.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1216 wrote to memory of 768 1216 Rundl16.exe Rundll16.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 1600 wrote to memory of 928 1600 1o.p.1.2F.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 928 wrote to memory of 984 928 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 984 wrote to memory of 1880 984 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1880 wrote to memory of 1536 1880 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1536 wrote to memory of 1992 1536 msiexec16b.exe msiexec16b.exe PID 1992 wrote to memory of 2008 1992 msiexec16b.exe msiexec16b.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe"C:\Users\Admin\AppData\Local\Temp\79e4ee78e53559e351607ea1506dcb8d75cc1dab6354d6216175a6ebc2e077ed.exe"1⤵
- Loads dropped DLL
- Drops file in System32 directory
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\Rundl16.exe"C:\Windows\system32\Rundl16.exe"2⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\Rundll16.exeC:\Windows\system32\Rundll16.exe3⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
-
C:\Windows\SysWOW64\Theef2Server.exe"C:\Windows\system32\Theef2Server.exe"2⤵
- Executes dropped EXE
- Loads dropped DLL
- Drops file in Windows directory
- Suspicious behavior: EnumeratesProcesses
-
C:\Windows\wingreporg.exeC:\Windows\wingreporg.exe3⤵
- Executes dropped EXE
-
C:\Windows\SysWOW64\1o.p.1.2F.exe"C:\Windows\system32\1o.p.1.2F.exe"2⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe3⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe4⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe5⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe6⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe7⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe8⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe9⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe10⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe11⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe12⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe13⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe14⤵
- Executes dropped EXE
- Drops file in System32 directory
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe15⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe16⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe17⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe18⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe19⤵
- Executes dropped EXE
- Adds Run key to start application
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe20⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe21⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe22⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe23⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe24⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe25⤵
- Executes dropped EXE
- Adds Run key to start application
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe26⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe27⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe28⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe29⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe30⤵
- Executes dropped EXE
- Adds Run key to start application
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe31⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe32⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe33⤵
- Executes dropped EXE
- Suspicious use of AdjustPrivilegeToken
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe34⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe35⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe36⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe37⤵
- Executes dropped EXE
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe38⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe39⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe40⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe41⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe42⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe43⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe44⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe45⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe46⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe47⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe48⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe49⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe50⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe51⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe52⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe53⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe54⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe55⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe56⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe57⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe58⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe59⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe60⤵
- Executes dropped EXE
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe61⤵
- Executes dropped EXE
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe62⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe63⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe64⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe65⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe66⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe67⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe68⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe69⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe70⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe71⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe72⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe73⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe74⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe75⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe76⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe77⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe78⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe79⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe80⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe81⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe82⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe83⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe84⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe85⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe86⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe87⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe88⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe89⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe90⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe91⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe92⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe93⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe94⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe95⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe96⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe97⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe98⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe99⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe100⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe101⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe102⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe103⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe104⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe105⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe106⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe107⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe108⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe109⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe110⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe111⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe112⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe113⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe114⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe115⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe116⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe117⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe118⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe119⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe120⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe121⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe122⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe123⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe124⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe125⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe126⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe127⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe128⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe129⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe130⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe131⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe132⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe133⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe134⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe135⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe136⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe137⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe138⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe139⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe140⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe141⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe142⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe143⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe144⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe145⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe146⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe147⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe148⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe149⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe150⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe151⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe152⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe153⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe154⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe155⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe156⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe157⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe158⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe159⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe160⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe161⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe162⤵
- Adds Run key to start application
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe163⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe164⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe165⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe166⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe167⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe168⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe169⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe170⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe171⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe172⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe173⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe174⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe175⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe176⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe177⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe178⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe179⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe180⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe181⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe182⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe183⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe184⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe185⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe186⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe187⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe188⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe189⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe190⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe191⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe192⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe193⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe194⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe195⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe196⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe197⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe198⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe199⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe200⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe201⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe202⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe203⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe204⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe205⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe206⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe207⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe208⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe209⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe210⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe211⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe212⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe213⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe214⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe215⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe216⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe217⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe218⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe219⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe220⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe221⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe222⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe223⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe224⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe225⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe226⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe227⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe228⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe229⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe230⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe231⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe232⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe233⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe234⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe235⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe236⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe237⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe238⤵
- Adds Run key to start application
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe239⤵
- Drops file in System32 directory
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe240⤵
-
\??\c:\windows\SysWOW64\msiexec16b.exec:\windows\system32\msiexec16b.exe241⤵