Analysis
-
max time kernel
1799s -
max time network
1586s -
platform
windows10-2004_x64 -
resource
win10v2004-20230220-en -
resource tags
arch:x64arch:x86image:win10v2004-20230220-enlocale:en-usos:windows10-2004-x64system -
submitted
12/04/2023, 20:07
Static task
static1
Behavioral task
behavioral1
Sample
Zemana.AntiLogger.Setup.exe
Resource
win10-20230220-en
Behavioral task
behavioral2
Sample
Zemana.AntiLogger.Setup.exe
Resource
win10v2004-20230220-en
General
-
Target
Zemana.AntiLogger.Setup.exe
-
Size
12.3MB
-
MD5
beb5a9f852a79141e3f329c570a88fce
-
SHA1
e4980d2dd65ec2848842448baa0d0fe441492769
-
SHA256
60b8c61c2e8ed1ba22e75464b4cdbc5db5d7560559388f3ad281257babf608a7
-
SHA512
65fa373a292c2688bb1ab28ce99161a81f89013f75f6e21165f3a9be807a73762bbee52f4e62ba78cddcdde44ef7137ddf5d635224675a5c41f057caf05f6c21
-
SSDEEP
393216:PCni215zaLBs9d1QKQXp/DyCvCyoauGLXM/:PCb1gIvPQNyD1auGLXM/
Malware Config
Extracted
bruteratel
ͽ���������ͽ�)�����ͽ���������ͽ�4)�����ͽ���������ͽ�L)�����ν��������ν�d)����,ν��������<ν�:)����Xν��������hν��)�����ν���������ν��)�����ν���������ν��)�����ν���������ν��)����Ͻ��������Ͻ��)����4Ͻ��������DϽ�*����`Ͻ��������pϽ�$*�����Ͻ���������Ͻ�<*�����Ͻ���������Ͻ�T*�����Ͻ���������Ͻ�l*����н�������� н��*����<н��������Lн��*����hн��������xн��*�����н���������н��*�����н���������н��*�����н���������н��*����ѽ��������(ѽ�+����Dѽ��������Tѽ�,+����pѽ���������ѽ�D+�����ѽ���������ѽ�\+�����ѽ���������ѽ�t+�����ѽ��������ҽ��+���� ҽ��������0ҽ��+����Lҽ��������\ҽ��+����xҽ���������ҽ��+�����ҽ���������ҽ��+�����ҽ���������ҽ�,�����ҽ��������ӽ�,����(ӽ��������8ӽ�4,����Tӽ��������dӽ�L,�����ӽ���������ӽ�d,�����ӽ���������ӽ�
,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,��k@������,��k@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������,���@@������-���@@������-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@�����-���@@����� -���@@����� -���@@�����$-���@@�����$-���@@�����(-���@@�����(-���@@�����,-���@@�����,-���@@�����0-���@@�����0-���@@�����4-���@@�����4-���@@�����8-���@@�����8-���@@�����<-���@@�����<-���@@�����@-���@@�����@-���@@�����D-���@@�����D-���@@�����H-���@@�����H-���@@�����L-���@@�����L-���@@�����P-���@@�����P-���@@�����T-���@@�����T-���@@�����X-���@@�����X-���@@�����\-���@@�����\-���@@�����`-���@@�����`-���@@�����d-���@@�����d-���@@�����h-���@@�����h-���@@�����l-���@@�����l-���@@�����p-���@@�����p-���@@�����t-���@@�����t-���@@�����x-���@@�����x-���@@�����:-���@@�����
-���@@�����:-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������-���@@������.���@@������.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@�����.���@@����� .���@@����� .���@@�����$.���@@�����$.���@@�����(.���@@�����(.���@@�����,.���@@�����,.���@@�����0.���@@�����0.���@@�����4.���@@�����4.���@@�����8.���@@�����8.���@@�����<.���@@�����<.���@@�����@.���@@�����@.���@@�����D.���@@�����D.���@@�����H.���@@�����H.���@@�����L.���@@�����L.���@@�����P.���@@�����P.���@@�����T.���@@�����T.���@@�����X.���@@�����X.���@@�����\.���@@�����\.���@@�����`.���@@�����`.���@@�����d.���@@�����d.���@@�����h.���@@�����h.���@@�����l.���@@�����l.���@@�����p.���@@�����p.���@@�����t.���@@�����t.���@@�����x.���@@�����x.���@@�����
&����4����������D����&����`����������p����&��������������������&���������������ȝ���&��������������������&�������������� ���'����<����������L���$'����h����������x���<'�������������������T'���������������О��l'��������������������'��������������(����'����D����������T����'����p���������������'��������������������'����ȟ���������؟���'������������������(���� ����������0���,(����L����������\���D(����x��������������\(�������������������t(����Р��������������(�������������������(����(����������8����(����T����������d����(��������������������(�������������������)����ء�������������)�����������������4)����0����������@���L)����\����������l���d)�������������������:)���������������Ģ���)��������������������)������������������)����8����������H����)����d����������t����)�������������������*���������������̣��$*�������������������<*��������������$���T*����@����������P���l*����l����������
���θ�� ���r���Ĺ�����h����������^����������T�����������J�����������@�����������6�������ڿ��,���~�������"���t����������j����������`����������V�����������L�����������B�����������8�����������.�����������$���v����������l����������b����������X�����������N�����������D�����������:�����������0�����������&���x����������n����������d����������Z�����������P�����������F�����������<�����������2�����������(���z����������p����������f������� ���\�����������R�����������H�����������>�����������4�����������*���:������� ���r����������l����������n����������p����������r����������t������� ���v�������"���x�������$���z�������&���
�#S���_fsU^t�>ga8��q�Ӣo�q��ո//���^����/%8E{G�*?7�z����A�,��[��W���a�ލ�P&"�~z�_3\�*�X>40�LY�&Q�b��8����ܰST�X��Q���n�Y���`�{Ge����V&�m�x�����59Xw�Ӈ��\v�j��+������_%���j���l�N��\���7Z��*�uy�չ<B�3�xAQ�Fc�z��Nv��2;z���ƫ�R��$��U�u�VWl0{�9K͵E�o�N���� r '���`��9A��Wg[�?�N�h��c ��?Ã{�=��g�����y'�d���;��r8�6�o��)W��0���1Bz�dgCZW��o](!u���@��N�A������/dh��?�4)[����.��=P'a��Ҵ�鋫�:���-X��Iox��gAA
��l�^8j�M�`g�1^F:�Њ���yIT�F���]�6/����&�NH�ZK���8q���~ܝ~��>��غ����xp;�����n��?�am<�w9�ƕ;��Y;^����-�Q�ß;0����.+N�7��3�2Z��]}t�mu��r�:���:E�"��� ��U�Yu�6�s�!��xx���K_c:�
���ݸ�� �R���~%?���D��� ���:���v�Xpa�j�k��IMzO��@�9������)�{Y��7 � ��9z����;M�f����K} �;�.���a�y�uJ<�zV��.���>*�.W ���u�\ǀV�LE�?��&�@6��wL!� ��o=��-��1]�a�$G�:��]�4��s��T��/"NئG��#�1����`�����������X�p1������0���3>e@-���{�/�=�T�fͥ�7p�D���tSE@GAH��N��Չo��M����⪯��z��b�n��Di�F".�tV��S ê�M���L��x:��^)�
4�l[dgr�q�+�v:ׄ�U�+����r�+�v�XEuW�9����d��I�N
�g��x��3�n���g�B)�Q��03�����[K��N���Z��H�^����sbyQ�rHwu�Q������-�����\8!���>�!x�:+/���c ּ<2h� A���d�^�����si�����B���>�
�re�8��rD#��Lf�1 �fW������i�;����FdY!$��nwUG�!Kȥ���4���B9ט�NE�\���2sz��8r1�j���#��"���0��q��Z��F��#�3�82����чV��H����� ��r��sRK�� � �>cG��+?�S�\��<kE]�n�fq�${~��Z~i��������������7ǴE�<��vI9p���+/P�-��������:4-����&�ԣJIy��jTw��;��1���������i��(�[9܉GFi���2��#���զ )x/�c�$N����~�ڂf�snԀ������PRr?_�S� ���V�z6 Q㨨��0*�1�W��k���T�l{Z-�F�� d�jNdhߣ9��d����7�}o�=�N_�9���s/����� �N�� �I E-�Y��q���B����\]D@���)n�ɏE��p���x���Z��l�����������ʮ�;���<�_���ef�c������$py�V��r�9���M:�����L��Ģ=������a�!��Β����VKL�3(/q{pn��d9�9�
(b�iqh5�>"Ɍ5�i�� ��{-ʨ��( �O��h�+3��x��Ev���=j���b�2���>�������䍓Y&��5�,�u�6{�bp������w�~���٠Q���C�vA�_C�P����<+HAM8� ��� �]V��C�Eq���]%/��G/1��$�,�j ��%�C�2Q܂]EmB�8�T����LH1��5+����eƕ��,t�"���Bvj3���X����I���6`�����Ԡ��N紈%����٘<1�=��`c�eg� �����;���]��ګ��� �Ĥr��:q�d�7n�v��5n�8B���NG�]8cR`���l*�u��Zo��W�!99�{���Ǜ��{�����l���/7L��q$�#㢍�k$P��:P���7�qzd������fzqI ^������;pm�P��i;mN�����1&��b�H:�����,t��I���P��r���߭@� ;��V*�]�6�Vn�:��E�j7^�M�4��<���L8��r��".c�����H��9��̚���J���iu���c*b �V���C$Fi�3%�����rWԵ{ٛ�Ø�nnՁ��gI TV�K���.� ���'N�Ǹ�$ɵ�j�7j�� �Am���7�p�Lr��=�w��1Q;$w���ic`�X���^���H��#$$8 ��m$V�D�1ёRr�N�`}��+?�Ũ�x�5W'�.p��?)�E^N\��bK<�(3Lj���8�# �Xȣ�7�"��9�j�@~��XL�z�@��)Ǜ ��m�ؖ�����JF��C���#
����~��e���n�3(e%u:��&*OC�#am���d���Ǖa� S�'�����Qw���<τW�8! 0�~� �]�:�R������Q�cJ7�X�V�t3j�*�η)�)>������y�h��]�� �Ҋ���-Dr^�%�,0��{�4`�d�X~�H��
8�F��v�v�k~�IYR� ��(������,(��1�xZ�v�^�.z��+�!�w�F^����f}*�����:��[Oܽf �8g<��̖�GL��Ri2�-_������� ���V�ϕG�~�<��q噖�@���F,��9� H�;0��+ӌ��P��[ hYh=�Ҍ1i갺'��W�%�T�������j�4n׳��Cg0e����<X�S��E���P#`O����ï^���R�b =��١��;�����������1�J�/w����a�l�BXk�1��[,-�8w�Տ� ������Qjr�G������3(Wc�I8��ey�e�� � ����=�z���ƘJ;�T�1u��e���g��qj�、�ih.�
�bz����F��P�)��gu�m�vd2ފ:�QBw�A�$V�c� �#�T��:� �5�9����1���vQ=�Tf5Ԯ�tCenC���ߓ�ן�!s^�5���&5J����CIVj%�]$�*;+Rs9G�H��z�^�N�B��9��NiB^J�Ϸ��wA��/ca�n����7��hke��� ���0��}�A��BY*�K��"�+�'�&^������Ҽ�h��AR��3�*w�]-}��
�#�P�*r�d�(#e}UGl�c��d�x/���5/��w\p�����6�=5c�P��m�5L�����=y�<+���֛�>(�c#*.[���c��x�����(a���^�^��.�����c]蚃L����Ugi�7>ʁ�@�?a��z���S ��Q��P� im3��w����>a6 sSA��(��8�D��-�'���W}�aBF�Ta=������#)�L�xZrdVK��d�i�Q$^�BTf0�����H��:�؝﵏���A�,0�����"�4��ҍDC{l���n��٤�g!-�!U�R�B���n QGN2��s�b 03dlhu�o߃��'�x���;�jP"(CB`9���w���.g �W-j�(����h+�uP��{joi�-������oO� �A��M��E[���$�4�Ne[��+<�.v#�j��*��$�m�ي3�}g0o�<���s�e��:�C�?Cl�����+ k�n���������O����S9����V�;Ӌ�cگ�4�~�h����'����{zZi�X��˗�圯�;P�S���x��9�w���E���/�!'TdW<��� �n�j�`Yڦ�Q��v2g��q����R��g��tBGz�ת�& �`�����8�i���F�~*�'��H�����(���}Zq
G6���MV��y��=K���:]�Ĭ�݄ņZW�����s3�hm�l9��:�����u�9�y��H��q���B���/����� �l���������{�8���AظV�4\�IuBC}��tʣ8���l�7@X�p�x��+��)��K[QouQ���:{�>�#h��)$��vW pc���.�I�@V� �Uw�\���λI.���J�X᨞It5}Y�����3���U�c��!I���ur�
{�� *"�Q���N)U�"���@����i�:�wDc���:^f��u饅z<�� ���u>�0�5 1;�?ig�3S���A͓U�
��z�-Nq�RMV�����Hػd��&uE�ij{���e�ot��N���v�ڕ^��D����[II4s��[�M4%�"�b�a`O�eF���u��'�mZ�.���]����c[�ݤ�i�)Ŭ8�C����U���~���RB@]m.K�Q�(:�>�g}R������~q9�=l��nlX�o�~����k<�=dvӡ)a��1�n�`��P��S*���������Vwoe0B����s0�{�W:G��Q�EOC p�>���J�.� t9��)�:&�5c��С�'�� Q��!Q4�>��+S���d��L\�Ӑa���**k[�����6�IKgV���TD�Y^t�q����U�n��D��J��x}͢�SM��^��� 8��wjmsx�YֺV�]%���=�{l�������5�'::z-�Qo8t������L}Ě� ��wHp�IQ i�}p���Ȅ
վ����u����_I)���� ۓN^����@���ѡ6#���hv)ݹ�fy6Ի�й�ğb��}�����o�����2L�:#3�?s��r��ڇH��8�A�н��>ѫ�Ŕ���/�,� �^~�BhX���L�����6;ix��҈Ur*'t�A�]b��=(&ʑ���P�`:9]���I�JK==)x��1QiI�Ǐ᧶�x��������k��Ry�T��y���.?K���+�����Z���P#�V��=�VM I���7��,�ד%rB�`T��ߒ����c�N�[bC���Zm[���l�G����b�짙� �9?�F2 .���j������O����mvQ�%�}q�w����q�(���R���Ӊ�a��w�sD� ï��Dr��x��M=6��B\�r������S�m=����S�Je�A�����z�uW��Y�i%=Kr�A���;�j���dp���/���)�<E�����C�P����)K�s''b���_ ������}X�ꁏ�:������V�E\�#H/ ��E��"���Wć8E�������sP53md9H��.����,���!��; �j�;��g5z�����O'��~���`������]�������`�#2�?��-[�_n���ٕ���� {r����&b_OW��F�L��4:��6A��@���H�YO���#�B�3ȰC� ����ʁ�i������{��(l2��Qr�da��-�q����[/��{7�Q�`O�l<M���iy�����X���CH��;,�~�7-m.R�b��J��Ky%��y �4��zԶ��(+ˢ9�9�������{*;�����f]XY&Mπc�n,l��ָ\��7��x���t�͈����W �kՔ��ˋ �+El��#&D�����JC��Q�e��]���5����J�/�C�-Ͳ��@Qo��ku�����U�e�����0:8��`c�bb�v���c�G u�+�tquN~Ӓ�D��t̟F���X����sp��� ����l.)��%�9�PC�H�O�C����;}�]wsh�0�T/1cN?0v���%��m,y�m$^o!8��ʣ���~��SL�<-�$�1��U4%a?x]������R�{CNKtA�S~8= B�-K �@���70+L�\L:��S���)�)�:�w��Q^�%����^�7��ɸ�� �dV�HU�F�@M�v���at�����F�p1b0֤��Dz��A�ìh�@��³Q�AI�����P��U����ꜝ�Z�c&vj?W�=�����f*w^qJ�j-���*�I�@�Χ�:�xDΆ����r��n�P�I6�[�d �q��"���E��^�;ዅwb��*B�5��P��:17٩䣷QP,�8v����6q#\���W�}���H��;B��I0�H(R�T�b�����(*4�ř��^����7���l=6��dy"9o�p��{�ʋk�Ȅh<�[?cb�\�&�>C�J ��8��N��I.����_���/���,��D�#��J�������"ߊK����d�4 ���]��۰�{l\%eO� �6���2�����^��(�B���NsK��3�q7&��И�C�7�\��;䅻I ��$-�Ng-�B�ժm��������\�
2�hAd�H��&��S�q�����i<I���.!�^�ix�@Cɕe(��v�w{���ifg�s*@�������1ej�����o����ӧ�\����(T��B��{9�kGe����4<M�Zxg9���1b�E��H��Gz�R[��:�ip�2��@�7�/���^M �&�ڽ�^q��D���X�ɓU_;E�w�RFa���j���M:nT'��4�?"�D���T�RJ��*zv��+���:�WD���ae����c!��D�N*�w+K�V�DE݀j���w[)nT��"PlD�� ��0�<GS�?T1>2��R�9�n@���5��ͧ��ܔN��G�mq/_��.�ea�Ef�؏^��`Z11ڡf�+Ғ�H��宂`*�Da�ى��1��E@�_08�we�8�JN�bA�k�lU.ʠpu0"�B\_��&f2U���%��(��4��s��r̗�a,�]������S�Y��!3���4��P����(oQrk�D�(!�e�� 1W*lj�� ��;��K�}�'�T��o�P5����Ѵ��w�)o\D!0�K8�D�����9n�D k��Q��n[�k�:�h�An���X ��Z�t+6�*DǴ(X��W,F�P�!� �5v�u⿵�`,��wE��5W�kн
��*�T��y�72���Ci�T�O�x<��?���+쉌=̺�&��?X���i<�>+`�b��"H��������j���1i��:����@_F鬴!���]�j�_]Q*z�k����U�P��W�6H@e\8,L��Z��h>�z8�}:uŕ�ތ�kd��������qJ�������u�p����\�;�o:j7 D���qX��O�#07fM�̇��M���Bp?��������2� W��u�4!BK���0�u�~�Y�X�w���#��Y�B�U��WJ̠�J u�ۛ����NyN{�#.I����Ω��*J;��8�6��5�D_ML.X�{u�'����,�4Δ���j��t���h�����������!'��ʍ`
n���J���nK<%����g�#������p��l�n���1Q�R�Ty�"���K�ќ�'�Ot���2��%A��x��C�:S�\t�����h-����������k\4��������lls����6ݏ7�����k���bI���4Y�*�;�*��J;���4�?�R���Q�fcg�ә[��ė���BK��֍F��k�"��s}r2~v ���V�� �Ҿ����o
��G={A��vSE^��3Ɇ )�?�@AfK�E�{/Ra���?��LX�s{?�`{�9A�.d�x�D�����;���f ����11��c�f��*�A}�}����D�TD��"a����+�ޓ���n����O ��Tgx����HGOK��:��4���O�LJm�������q����l��f��(&F~��P�meÑyYr6"���n��u(A�Wg h5��\�� ���KGC�}��{*�V�ػ]�i��8!�{�0pp4�\g�l��=/�a���3_`�H����[G�+� �:�~�U�$�Hu���M
�KT��P�b5���jJO�k��P��<���O"]��!�B�U�4��&��y�Q�]�<� �[���s��ZF�[§��ؤ^z�zS�(������I7bG�yjj�"L���;�g�F��<��KSm�E6UI��kg ��](Pr�g�4={ᗭa���d���">a;����m��K6���f�3t�:o�`�?���*�O9f�7te��W�A�@���Í���秛�[��:���2� �z;Ql��g�FU�Tgh��q��f\/\=l-E���s���~��u��4M7�`\67�$5nYf���bR�q�fdc-T����E{�مu�p�����gC&���龔��w�V����&4�ñߐ{%id�E�{>~Y��V���y��:�˒P�\�@��V�X���0���3�#�'Ve�l=jÚ��<�2��Q&��\L~�,���F/dT�0 ���fA̮���rL��E�<��} 뭽��G�Ȑ ��1����1����=)��]�6�L\)q�8�������NZT���e���/?_�`���ؕ���'�)`��:a�~p[���c\��ƺ�7��7��+������S��Y�����տ����a�Jb�iy$l��:���G������ s<��ŷ��� 7O0)�i��>X�Q�i K:�m�����BN���p���m��{��64h��^��Z����I�Doz��p��1M��*Tf������3�I����K��8[W���v�C�*'��C��m0�ω���/�7���8��t�,�)[zA��~u��U��P2fѽ*��D��-������F���*,�����z݄e���� �W��Qhf$��̄U Ŀ�,(b��:�*F���ȵ�#.I}��3���:hLy�I���C>��xe���8;�� ���L���q� ��mr�JR�6dr0��I�I'^/�KO�&�����o�(]�q�����ʠֻ������������H�������VίKo����+��$1��V�Ռ5��5B_��
�>5B���r�hZ�u��P�l�$���m_-bR���lV���:����g�J��0��9�([��t��N>�KO:РF�����n�6�5��t'E�+��y��̾@�fڶ���͏�;g�4��Α:\���bs�x-������Y2X����sD@�U�4�!�B臽��� q�y&���ddnq\�Z��h�U0Ex�]�vv�'HLg/Ŭk'��3]�A����o���_hS�=)���iVA�!��/����:��䰃j����%eSx���D�X��,~����������R�j\�6��8 qH+{ �A`۾"��X�X�)� TY�40@���ߩ}��-nh(9Uэ�܊yG�+�r�7Xn�Q_�G�2JYq^�{4;@O~*V�V_��b#��,�M;���T�A3gz4
j��:��T�!�W�{䙕�
�՜�Έ���gcjI���:l�[M��C �V�mƗ�}C�����cpƤ!�P2��I.����0���p��� � e�Y�s�r]am�Z�J��o�����4���AK���^�w���vMFK$�R
�1�����{��������8���X=���+/Ϡ�\���F�"(L�W����=��F��ӞK���E�ſ��^״<���D���Q�qAҾS�"p�lV�E[W��Y4�P��*j�C ��C��P���H�}����S�6J11v �W2�E�ظ������C�^������=b4^@��e����܂���9�"�Ϻ�5��m�J�h'� �&Hp:�'(��df��3=x��܄�� ��Ծyy����� �ڍ���V�s����V-)Ĥ�>��q^q=�)$ �pZ#~���*X�w�`z�����}}` ���6���/G���AZ�u-Bse��W����o�qW��r��Բ'A���HF�]���������k�Q�" J*���d2&$8 H1X�O%�8ݗ>���ov.�ʵX���7n�֠ ������ %H��8�
����&�Y��'zT�����R�+$!]�v��&�u���+R2M85���K�e��֍>���1<���_��� oG��\+豢��Hr%���]!�;-�nbڬi\�{�lޟw�����*b�A�4Q~�q�6o����n���Т� ��m�~(j}�pܪ;<"W���+��~���X��w�y���f��ZM{���[6f���0V@zd�=�s�j��/]��u\?�#u<��������_�]-�j�^��"�JI��3"{��������'`����B}�����@�E��h�O"�6}�~4�~I����n[g�*��0���냼�-�яo2ܶ(�)�6e���d�h:�-Ou�A��<�w��w:�U��2��\kW֏�m�����N�m� ,�ѝ�Q�&� ��=eI�e��&q�oZM��Mbz��оRw�Si�����4�ef��&.�k����O��ܐ����ƛ�-rA�+(��0u"�=��M�{d������OVE�}�vp ��Z��}ibGn�V41�;Fܱ��" ��k5o��H�q~Y�J��Y�%��J)�ydf�I3t�6C����<<m>�5{�@���"H�G�O�ҋ��9ץI������ٕV!;�qCP:�bi#G@�F>'B���>�EJ�S>X���ʻy�j%S�"������A$lLvr@z&��1�yw���IN��a�*��&�B�L_2:��uA �zp���{ �ra�o;'] �JDcFq�6��T6�V�����]�f��
�����L�w�g�H����}��?�\�{uI�}��km}��B:>J���ȨRڡ��%�r��/������Ǡ�9�r�D,��ĩ,�X�a92��lI=j�Uߠ�}�8�s��}(-鸯z-�������:����x;��X��ͯ���/�6T��*�V�N��fAq$�팅��9VJ�f �T5l�!������џ��]��L�
��]Y��or}��+������� �,+N���zP�dc����ܞZ���E�V~O�8]r����3���-��E��s/�̨�V]��J h���ϭR������2���B���鿿���S��+3Z���cy:��A���TA5�<�[Q�6���6���a�0sL�Ԯ,ۖ����ɛ%��ͪy��������h���SA���h����8��U���Rfr#���zcxF"���.!���8 �G����6+��j�J��o�'�����m�M�rF�q[3J�6�z:���s+�d���/�r$���բ:�m;� ��!�[$�y��Ԋ1%�-u���s,��A��2[}����S9��:�^.���n��)�K�t&�J:>YN�A� �Mq�ͷ%yyK >h1ct�T�m�:u���Z%U��SA���t]��n'�l���抵�BlDͳo�¯����������ryB��e���W��U���XD`Z�� }��H�,"�kL&շ4t����^s�-��#���W�6,���cR�\��:zp!W����+� �x]Z�e�H��^�ۋ< ӝ���c ����z��kv�x�RY��*L�y�H� '�W�@��:�r�3�@��m���Sҕ�5�?� Vu�Ǐ}���bwӼ���-I@�cq��P�ľ�~��}� B�E�2z�!����7�ڷ�ꆫ'�; �{�̎�9��)"�W��hy����x{�D�t��)T��k�f`�5�3��(I�{I�M@�(���ˬ!����IM�Qi�� `2�o�eX��ü�ںm��M��1�D3��-uL�wS�hQʭ�!�3�#�a[��$�=@��CD�8QEI�S����v���u�������y�#62d�N&/K��zoD}n���� !����E�C~EN`�&�h#f�Y���E��;��V���=X��� a�oG*?&�G6
"�3�{}��:ª�R �!�=�7�ݒT��"�P��V������ x�a�5��ş�J2�Y�v���U'Xk��^`w=���gI��/ÿ��r�^��'<�����,op �ȗ ������ ��� \���x�r�e��Bt���Zp���<5a��*�*2yI�pxx�� a?���*ݕ���/�0��:��r���m�뜞�oS�</˛�>��xR��9��/˴tM�=yCkޔ�D��b�����O�GoCB.�#���ಔ��y,�\4���=O�%=�/�]��Qp�)��q�BU��?��㻿���}��~���e��@ĊH�n�b.���P����o�9���̋x ���א>���^�<Gcn��Yc��MJ�E܅�u���4 ��#q�άU�g˓sB��4�"�����_Ft���П��p��w�DM ���&�"����$�A�߂@+���.�!����E�njC�b'zX�]8ټ�Ҹ��5�.;�^�q�1l�5�~� ֏f�[`ʪ����6`QZ�:R�8��U����ߍ����KT�>���&���� &(� ..��v�=���-�{��ћ�� B=��C�,+�$s�C�R�>§�
��n �^-^OGG���K�;�iQ��yD��2S��R,��voG��d7�yH��%�ìN:����D��mo��+�9"��9z�K���Hx/(�k�^�,���r@��)ӱ���a*��\N�~t �A-� R����x�U.��_��/d`:c,����P�O� r��R�;%��e�h��+̝k&��@���Nx%I���by�Kx-�h�WWWW(t�'�p0�L(/m��� �G��v���j�D�@���P>��S�Q<'Q��%q~Ga^��@��6�JgQ$��?�/�8x!e,�>r/��oB���CP(\Ӹ��~4��ͩ�����U���!QK\ ���ݎ�����D$�m߾}*�[yy��Kx-�\.$jX��@��h�� ����L�����6���?�be��Bz�+;Ж�j�3����?��@���h����[���Ps��J��`.h���L{s>O�;����v�u6y 1_oc��~-�¬�l����A���7W�A��@��&Q���Zh)���(��f�i��V���!1#�핣Dx�����N�- �S�� ��#)�T��y��d�grmxYV��n�'��� Z�4�m/� ���K����W�q<����\ &»��;��kM��,���R@ᵡ�RM2�v9M~��Hx9 /� /�v_��)(��ݡt�Kf�u?3�N\�e��vMH��^@(���K��'*^\߃�B�U\ �Q���_�Ⰴ�BK�ׁ�ۇbb��}0h�C] d��Z�d��-��܊�$G�P��S���(�Dxux�I�$�l�`�����$'k'�Y=���: �G��_������m�6��k���,���Rp�ݮ��*pYж/ ۲V�q�R�Z�{`��m��@W�:�MYb~CM0�l8h�aJ��@\N�#���R��������-��х�E�-G�w�� k�,���RشiU��R?�#����C_V�rV/����b�h�dߪ&�Wɴ��ȣ������>L("� y;����tQ���������ִ�:�^-��vۭ �M�L�K=���۠�F�4"�RB�(J@0r(�ն����I0��� a�P�#���W>�Bw��s�=g�^�,���R@��A1���l�*%GK�sa�e���,+%p��J6��(�l���� y�����N� wj�y'��yk�Z` ���¦M��ែIeC���d�m�v�6F�w*&����Lv�z�G�o���X�k�e���YOO�.�X�j7��.��.�_��W�:�(.��s�B��Uɣ Z�՜� �h-���,,���2t�\.�h(�K����[�9ׂ~Zn���T�g��h!�^xЇ �p���Z�%�ZTS������t���9P���n�EZȺ.C�-v5��lٲ�T�"Ձ%�Zb8�÷�Uz���pW�����*�mE��t&q�Ԓ�x
��������������)�������������������4)�������������������L)������������������d)����,����������<���:)����X����������h����)��������������������)��������������������)��������������������)������������������)����4����������D���*����`����������p���$*�������������������<*�������������������T*�������������������l*�������������� ����*����<����������L����*����h����������x����*��������������������*��������������������*��������������������*��������������(���+����D����������T���,+����p��������������D+�������������������\+�������������������t+�������������������+���� ����������0����+����L����������\����+����x���������������+��������������������+�������������������,������������������,����(����������8���4,����T����������d���L,�������������������d,�������������������
,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,��k\������,��k\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������,���@\������-���@\������-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\�����-���@\����� -���@\����� -���@\�����$-���@\�����$-���@\�����(-���@\�����(-���@\�����,-���@\�����,-���@\�����0-���@\�����0-���@\�����4-���@\�����4-���@\�����8-���@\�����8-���@\�����<-���@\�����<-���@\�����@-���@\�����@-���@\�����D-���@\�����D-���@\�����H-���@\�����H-���@\�����L-���@\�����L-���@\�����P-���@\�����P-���@\�����T-���@\�����T-���@\�����X-���@\�����X-���@\�����\-���@\�����\-���@\�����`-���@\�����`-���@\�����d-���@\�����d-���@\�����h-���@\�����h-���@\�����l-���@\�����l-���@\�����p-���@\�����p-���@\�����t-���@\�����t-���@\�����x-���@\�����x-���@\�����:-���@\�����
-���@\�����:-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������-���@\������.���@\������.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\�����.���@\����� .���@\����� .���@\�����$.���@\�����$.���@\�����(.���@\�����(.���@\�����,.���@\�����,.���@\�����0.���@\�����0.���@\�����4.���@\�����4.���@\�����8.���@\�����8.���@\�����<.���@\�����<.���@\�����@.���@\�����@.���@\�����D.���@\�����D.���@\�����H.���@\�����H.���@\�����L.���@\�����L.���@\�����P.���@\�����P.���@\�����T.���@\�����T.���@\�����X.���@\�����X.���@\�����\.���@\�����\.���@\�����`.���@\�����`.���@\�����d.���@\�����d.���@\�����h.���@\�����h.���@\�����l.���@\�����l.���@\�����p.���@\�����p.���@\�����t.���@\�����t.���@\�����x.���@\�����x.���@\�����
&����4����������D����&����`����������p����&��������������������&���������������ȝ���&��������������������&�������������� ���'����<����������L���$'����h����������x���<'�������������������T'���������������О��l'��������������������'��������������(����'����D����������T����'����p���������������'��������������������'����ȟ���������؟���'������������������(���� ����������0���,(����L����������\���D(����x��������������\(�������������������t(����Р��������������(�������������������(����(����������8����(����T����������d����(��������������������(�������������������)����ء�������������)�����������������4)����0����������@���L)����\����������l���d)�������������������:)���������������Ģ���)��������������������)������������������)����8����������H����)����d����������t����)�������������������*���������������̣��$*�������������������<*��������������$���T*����@����������P���l*����l����������
���θ�� ���r���Ĺ�����h����������^����������T�����������J�����������@�����������6�������ڿ��,���~�������"���t����������j����������`����������V�����������L�����������B�����������8�����������.�����������$���v����������l����������b����������X�����������N�����������D�����������:�����������0�����������&���x����������n����������d����������Z�����������P�����������F�����������<�����������2�����������(���z����������p����������f������� ���\�����������R�����������H�����������>�����������4�����������*���:������� ���r����������l����������n����������p����������r����������t������� ���v�������"���x�������$���z�������&���
��:�����죽���4&�������.�<.�\.�
�du�.�<.�\.�:.��u��u�Ԡ�����L��
���#�� Y��0�����̧��^��tb������<���\q���q��z�� z��4z��Lѧ��q\�4ȧ�<���pͧ�p}����K������� pnlFooter�����Panel1����Image1���� lblCaption���� btnCancel����ProgressBar1������b�btnCancelClick���b� FormCreate��TfrmDownloadHelper�:ި��˨�X2��`���䋭�����������������9%:%\�$��$��$��$�$L�$<�-
ި��˨�X2��`���䋭�����������������9%:%\�$��$��$��$�$L�$<�-:�$<�4��$t�4�y/<:%\:%��1��1�������?
�$<�4��$t�4�y/<:%\:%��1��1�������?::%��2�1��4�������?L�4��4�y/�J.z/�4Lz/�z/�z/�R�NTFS T�4L�){/��1��4�1�1�:%�:%4�1\�1��1��1Ԃ1��1ܶ$$�1L�1�:%t�1��1ă1�$<�$�:%��4Ħ4;%<;%4�1\;%��1
:%��2�1��4�������?L�4��4�y/�J.z/�4Lz/�z/�z/�R�NTFS T�4L�){/��1��4�1�1�:%�:%4�1\�1��1��1Ԃ1��1ܶ$$�1L�1�:%t�1��1ă1�$<�$�:%��4Ħ4;%<;%4�1\;%��1:;%�;%l�$L�/K.��4$�4��4��$�1L{/�{/�{/l�44�4�i'
�4du1.%<.%\.%:.%�u1�u1
��du�.�<.�\.�:.��u��u�Ԡ�����L��
�SduP.D<.D\.D:.D�uP�uPԠM�M�CL�C
�4du1.%<.%\.%:.%�u1�u1Ԡ.�.�$L�$
z/�/��9:S8�>d�>��1�/D�;��1�1\�1��>̛1�1��1��1�z/�z/�S8��>�1�/,/<�1
S8�>d�>��1�/D�;��1�1\�1��>̛1�1��1��1�z/�z/�S8��>�1�/,/<�1:�8<�>l�;�z/�z/{/<{/��;��;t�1��1\/�/�/��;\�1�/��;\{/ /��1�;4�;�1��1
�8<�>l�;�z/�z/{/<{/��;��;t�1��1\/�/�/��;\�1�/��;\{/ /��1�;4�;�1��1:{/\�;�{/L /
/�{/T�1��1� /� //</�{/l/�/��1��>�{/�/:/��;��;ĝ1<
/��;��;ĝ1<:/\
/:
:/�
/��;��;�/,/\/�/$�;�/�/L�;/��14�1t�;��;��;��;L/�1�;<�;:/d�;�/�/��;�
�>du;./<./\./:./�u;�u;
Ϲdu�.�<.�\.�:.��u��u�
�5du2.&<.&\.&:.&�u2�u2
�)��)*)̸)��)<!*�)D�)l�)<*)l*)\!*��8L3:!*�!*4�5�!*��)�!*�!*�*)< 4l13��8$�8�3�*)��)H5LH5�H5l�8�3�3�H5I5"*<"*�13��8LI5�*),+)LP,4�3��8��)\"*
�8��8t�2��2L,2:,2�,2̖8L"5�,2
;)�;)�;)�\2<)Y,<<)DY,�O5:.*�.*l�5�)�������?�.*
�����죩���4&�:Ϲ���.�<.�\.�
����������)���������������4)���������������L)��������������d)����,��������<�:)����X��������h��)����������������)����������������)����������������)��������������)����4��������D�*����`��������p�$*���������������<*���������������T*���������������l*������������ ��*����<��������L��*����h��������x��*����������������*����������������*����������������*������������(�+����D��������T�,+����p����������D+���������������\+���������������t+���������������+���� ��������0��+����L��������\��+����x�����������+����������������+���������������,��������������,����(��������8�4,����T��������d�L,���������������d,���������������
,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,k�������,k�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������,�@�������-�@�������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������-�@������ -�@������ -�@������$-�@������$-�@������(-�@������(-�@������,-�@������,-�@������0-�@������0-�@������4-�@������4-�@������8-�@������8-�@������<-�@������<-�@������@-�@������@-�@������D-�@������D-�@������H-�@������H-�@������L-�@������L-�@������P-�@������P-�@������T-�@������T-�@������X-�@������X-�@������\-�@������\-�@������`-�@������`-�@������d-�@������d-�@������h-�@������h-�@������l-�@������l-�@������p-�@������p-�@������t-�@������t-�@������x-�@������x-�@������:-�@������
-�@������:-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������-�@�������.�@�������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������.�@������ .�@������ .�@������$.�@������$.�@������(.�@������(.�@������,.�@������,.�@������0.�@������0.�@������4.�@������4.�@������8.�@������8.�@������<.�@������<.�@������@.�@������@.�@������D.�@������D.�@������H.�@������H.�@������L.�@������L.�@������P.�@������P.�@������T.�@������T.�@������X.�@������X.�@������\.�@������\.�@������`.�@������`.�@������d.�@������d.�@������h.�@������h.�@������l.�@������l.�@������p.�@������p.�@������t.�@������t.�@������x.�@������x.�@������
&����4��������D��&����`��������p��&����������������&�������������ȝ�&����������������&������������ �'����<��������L�$'����h��������x�<'���������������T'�������������Оl'����������������'������������(��'����D��������T��'����p�����������'����������������'����ȟ�������؟�'��������������(���� ��������0�,(����L��������\�D(����x����������\(���������������t(����Р����������(���������������(����(��������8��(����T��������d��(����������������(���������������)����ء���������)�������������4)����0��������@�L)����\��������l�d)���������������:)�������������Ģ�)����������������)��������������)����8��������H��)����d��������t��)���������������*�������������̣$*���������������<*������������$�T*����@��������P�l*����l��������
�θ �r�Ĺ�h����^����T�����J�����@�����6���ڿ,�~���"�t����j����`����V�����L�����B�����8�����.�����$�v����l����b����X�����N�����D�����:�����0�����&�x����n����d����Z�����P�����F�����<�����2�����(�z����p����f��� �\�����R�����H�����>�����4�����*�:��� �r����l����n����p����r����t��� �v���"�x���$�z���&�
�3��3��3l�8�3�3<�3:�3��)�)�13��8��3�*),+)�+�"9��8<�5,�)L�)l�)��)d�5��5T�+��+\+)�+)�+)��5��3�+)L�5��),)��+܄5�5��+<�3̯),�5��)L,)
,2�,2TN5��3�,2:�5<�6-2��2
���(��:��+ , t� ��� ��ܖ���4� \� �� �� L,
,��,�TN��ȿ�,�:��<��-����
-�ܟ�� �L$���d�� ����m�<��:��������< �t ����<���-��-��#����
������������������� ���О��� ����ܫV��V��I�IL�I:�I��I܄I��R�I�pS<�I�pSlGT��������������@����������@����������@����������@�����������������������������������������������������������������������������������������������������������������@����������@����������@����������@��������������������������������@��@������L��@������L��@������P��@������P��@������T��@������T��@������X��@������X��@������\��@������\��@������`��@������`��@������d��@������d��@������h��@������h��@������l��@������l��@������p��@������p��@������t��@������t��@������x��@������x��@������
-
c2_auth
��eF�6�?�\��\FNMI��)���Q9)z�<p�F�G�-��l�z���ªU� ���J{�r��Ӟ5���,*�
-
uri
/����Xٽ��������hٽ��/�����ٽ���������ٽ��/�����ٽ���������ٽ��/�����ٽ���������ٽ��/����ڽ��������ڽ��/����4ڽ��������Dڽ�0����`ڽ��������pڽ�$0�����ڽ���������ڽ�<0�����ڽ���������ڽ�T0�����ڽ���������ڽ�l0����۽�������� ۽��0����<۽��������L۽��0����h۽��������x۽��0�����۽���������۽��0�����۽���������۽��0�����۽���������۽��0����ܽ��������(ܽ�1����Dܽ��������Tܽ�
1����pܽ���������ܽ�D1�����ܽ���������ܽ�\1�����ܽ���������ܽ�t1�����ܽ��������ݽ��1���� ݽ��������0ݽ��1����Lݽ��������\ݽ��1����xݽ���������ݽ��1�����ݽ���������ݽ��1�����ݽ���������ݽ�2�����ݽ���������2����(��������8�42����T��������d�L2���������������d2���������������
/���@@�����
/��������������������������/������������������ ��� ��� ��� ��� ���8.8.8.8�8.8.4.4�208.67.220.220�208.67.222.222�198.153.194.50�198.153.192.50�216.146.35.35�216.146.36.36�http://dl12.zemana.com/CacheControl.bin�5A454D414E41�magic.zemana.com�168.62.41.41��z�a�m�c�l�o�u�d�.�z�e�m�a�n�a�.�c�o�m���.tmp��SOFTWARE\ZmnGlobalSDK�AA33A87C484AF1107F1C381B10C63C1E1788A0FF6A1D95F0D95AA46D7FB6A161��/���.���.���.��� ������application/octet-stream���S�H�A�1���S�H�A�2�5�6���M�D�5���*�.�h�t�m�*�
/���������������ĭ���/��������������������/������������������/����8����������H����/����d����������t����/�������������������0���������������̮��$0�������������������<0��������������$���T0����@����������P���l0����l����������
/���/��(0��~0���0��*1���1���1��
2���2���2��.3���3���3��04���4���4��25���5���5��46���6���6��67���7���7��88���8���8��:9���9���9��<:���:���:��>;���;���;��@<���<���<��B=���=���=��D>���>���>��F?���?���?��H@���@���@��JA���A���A��LB���B���B��NC���C���C��PD���D���D��RE���E���E��TF���F���G��VG���G��H��XH���H��I��ZI���I��J��\J���J��K��^K���K�� L��`L���L��M��bM���M��N��dN���N��O��fO���O��P��hP���P��Q��jQ���Q��R��lR���R��S��nS���S��T��pT���T��U��rU���U��V��tV���V�� W��vW���W��"X��xX���X��$Y��zY���Y��&Z��
/�����?�нFDN[��d�a契~�hI;�ֿ��q} �W��0���=;��~�R빕^�A�/��6
/H��9X�v��7��ZoP���Z' [��?��%4��RX_B�oO֒�$�)4ղ�bJ�TB
/uT�p��vG�t�^8d <�ҩS.�u��=-�{�!��E�5�����`qy}�π�!�{������������s�"T��#�1�ݡ���h������������6��E�I�'K�&n�"EW��v��o�o�_b���H�p�L�y��cڤ~�h����_��48�j�wIMx{�D�W���$�U�*u�
l��
US������2��[�O��}55��3�h��װJ��Ӿ{d
Oo�L�.I��-J�� ����~�6����$^�z�$�1&�M�.� Uz?Qk�����C\��Ej͗���:����Z��닶9��M��tL�myۺDI�h�Д�� Ŷb�����{���F�} �Y��>�m���p" ۾6�Ɉ����MzL]v0����O��A�?٨$$��v\�� BIau���V�(al�'��Z[6��Z�1�S�=�{UtNU0:���6��9����ؔ3+�Z����X*�YBƋ��ڳ�oGQ�<f-x*�9��O�":Y
P8��3�$ƜI��w*�-+����B ��8�u��J<�CO%P�GL!t��
� ��4���U�Z�ѝ��:W� &�!Հ��<�
����8�-��[�M�N
Ⱥ<{���<5��P���v�ڭ~��ܬҭvWL�F�1?3{��}j�6��uȸH�e�R��[d�~K}�U�^��������h�;��}�n~���V�$t#���zJ�x�#�=M"���q
��X]J�$Mzu��W�<eXda�F�*{��A \���I-�J��=x������*�V���������ː>��Z��"������_T��ș��In5>����y�*_�Cß��D�Q=��r"%�����fn�ՅW������xJ%���� �'\:#�~����7wDh#A-�a�^�*��8��e&̏�A�F�
/��eɔ��I��Y������)S�?c����Y����Ҵ�蝞�%��s�W��q H�Z'�m�7_R��}�X�}���{��}a�eW�U�&9�ĀaK;��(sz~�Ն��_�O
/��i/�@@D<�����[V�+U��`6��K�8k�����B"�> �)������{J�i�'���P��U��e���-�*YR�M�Ww��TI�Fҽ��~d���}�'����X:�9�a�'XU��v�ɭ�&�Ğ�Zm'ۛ��cu^����ݗ:���.�[0:ׇ���&�K�5��
/ ��i6�Uk9Y��նߓ�<
/7T{�#;9e���3��QǸC9
Ă��dQ�Ɵ ���YN�� :W����rg�05�T��6:������e���Ũ�=$�?��ζ�;��sZ�q}q�i��v���>�
/��M������W� -�K��o��e��ܡ��*�Z"��6�I��b}q��B#��`<�Yy;����k�/�=�g��z��&��0jQ��0��a>� ���3����"���� �Ώ�����>bb��$�������P=���`�������>���_?<�/f�g���gy^�D)�r���k� Ƞe�x�`T�QV���oFP)�;[4w�7��Q�Z��+C]�ⵏP�n��
���+� 1��F.�ۊ�0�{��ռ����N9�OΝ���K��/�'N��ҋ؎��m�aw� yYEZdR�26�u�e�F�oZFq����`瑧�-�)��j446�"�6i�wbZn���27o�l����J^��_X)/+I�3gY'�G#sdv��%���N�n��;#��x��=h�pwt�Fd�=���(%��(��Ē���=��f���}�4�����Ę���H���&=}M����: Z�^�շDE@Y@@��ӓ�%������n�hGs���!ތ�����g89U���o��2X��_��ɼ���� �T�F�`T�D+R#/��d/��T�G.�-�AkGX�F;vŢ��0�ay�m}����"(<J�+����A����cp��e�73�_ݜ<����J�wm45)�K�s������bcr�7�6��]����z�A.<u�R�u����j��7zw[YZZ��Cr�ɨL����u����V�}�I[��U����r�&��w o�_��LU�/�[�5W�Ŏ��>��3o��䑫m���Ƅ��ؽK��1h9���J1
/�9��u
/R��v��?2&e)TO����e;(��SVu�Ӏ��В�B��*X��Ci �(p�^�6�2?[���S�4����RW��M%C�/�t. �g����sΡ=�Of}2*��x�������s
�DCm��'�Cw7��ֿgؤ��-hV�!��B�CI3X���U⟳�J���4]KW�'0�A?�r�v����i�4Xe��@tiV�`����rT-���I�3� ��j��
/���x0�x"M���+sU×��������� B�h>p<8ޞ_��:�^��%G}��JZ �&j�O����r��C���vWY�6*��~4!N�)�ѤX�̈)�j<<��8�2y��F���ؔG#e�rͯ��A
�&�1���x�̱�IU��[�'�R/eS1��w)gx�����_R��
/��fC�J�� �}F���l~h?[��mv�ԯ8 �ĺ�ڥ4� �ө�-O�E�y2���;������]��q�[�(ò�����6T���')z͂�R����?!dT��!�)SN�!�.�j>w�R��쯿��凓ދE�o~��I���uE����eoa&G�J���AAS����x�%�Rx�F9��(Z�pD��I�q���b�nV�/C��r$�t������>���z?Et�s�W��p��[�
/�W��4�wu0��C��p$>k
'�s�W�X:��a��pí7�����P�����}��sk�Ы����:_����u'��*V��8�4AAN���m�����(5�rlR���c�(
/[Cz��_:˺�����^һ�yK�k��
/N6�T��Į��X�+�c��_}���3ٸ�ڄ�W�q���b(n2S��
/�����C�t��@&t�c@G���+�8��:�W+�����)GU`�ve/Jc�M���90�>*�ݦױ�l��w��q!N�ܑ�1Q��e^����1E`U2�S���s�?b����ݧK�?���H����<%�A*ƺ �"7���KW��/}~��m��I�'��Ě\�d�K&*�Lf+��^)ʋq`��������=��9a�d<� Z3���6�TW��UF \���ΎOݓ��rL'B���.�-��4��3�$�9�x� ��;ϕSyx?F���N#� ��;���/.�o�E\�~��?�>1�xoj�{= ���T�����_/ä�y���}*��3(F�����zrN{���� ?e듪sz�����������Z�s�8:�7xj����䒰P��$�pr�x.��0��w$�a��JG'�`����44����w$�F?
��Eg��] v�@�S����TJj~�h��%�����3�櫛��Kv-�gu\i���~ }��O:z�)Ă�Q(����{��e��[ú��������皎k����̟^�Ib!6ʼ#���rV�yp ����ǧ<�v��%z���c����
/ԯ���
/�TJ�0mN����(c�BQ�CU�i�:��c�5$���T�quԩ�~�ǘ !���"o��ܱ�"�n���)I�ṇ�Y��vՎ{��xs����2���CUl��j��[��Ƿ�<ǫ�H�@M�U�&qX��w�~��&����v�K:�ڲUd�QV�C�_eW� U��?�K�誘j
/+�!������\�1��-7�pis
/PA������GHO�r� iW!w�H� �P�3���c�s-��fma9�ɓ';�5����
/��apE=�=�ӳ?sn���.@��x�\-�jy0��d��0���;C� �W��Df��������]�fk��(2�������U��5�(��A)Տ���1.v�p�c�B'��2��C/��{��0�I
/���W[\g ��U��m5Ӈ5�r(Жid�G��!.�0�ͩ�O ��k^�>�C�
/c���T�� ��֨��I]k�����;4�*"e�=E=���
�Շ���O��˕nV�^����7� ��8�`V3�2�?1Ր�̪�J/�5��ZD�j��
/�و��_�����<��}�'-'#����j��[�)���Ί����{_R�=��ƈ.C}K��WY�]���r����O������q�94W�;����i 6�k�Di�?�}ύ���>`x^4��s {mD��f+����s��yvA��M�}_9�H�!�K��+w��k%�+������Ba ��-��!E���������ͯI��Ԧ����;�pe�\S"�3�L�l�Ez����(��8~���*�8<�lZ������k��nڌ�p#�#mﵕ���C]T6:\xG����B@�ͤ��D9JJ���������@�G�#�4v�*�p��=X�����>5Y�Q1˗���;l�Nû��~4��)0i�8�����:>��ѯ$�����U��S�k�Xô ������K��?/CU}��f�L������EQ7��b���P����L��zJ��
/ �c��3�9\���'��L���C@��?�'m�R�6$��`8�{5 ��w�HfI '�L'�'�zp��nt��D�Hrrw
/u�\���_}r4
ʼqc0wӘ�D�7�slR���G��g��W�עֱI�1a��<�tz.��L̠̔.%_�o\avZ��K�{�SA�S��z ʍYF���Y�B�兺���h�q ��I9}O(�U�Ǯ����s+Cz܄F�所�X�[x����ʜ��F�)WA�*R
�p�Ƕ����8 -�3�m�QA��SL ���p���^�lu�55�E-Ch=]��ƻj]�����ё��sFs)�K�d�Ξ�b!�hVa�c]3�W+�������� �2w���r��D�����.��G܈���M�_#����r�8��Ғa?J��
6IF�ou��&��¨!���E ':}:Έ��ﰪM���NC���� ��-�`�b���픕�P����xdeUv�"cp�����~ (�j�y����6}��:�C{/X;h&VA�Ұtj�5�F��#�@m��X�ؑ'�sIk����"�r:���y&"�g��2�m��r�
vZS�G8�
/v�K8�q���bu��I���j����Pj'H��4��hp�ř�;�*���oW�U��=�Cm�M&�/8H6jF\N5��S�� @;QpӲ��Ug����T��6GD
/*v
�M�uzT����*�����aԟ8k� 9�
/e�ŏ�j6�q%T�C" �\LF����i�a~ȗ�)�s�ș� �f勫I��� ���詰j��d?Q8*Zi
���Ԯ4�T�EJ�x����/����:M���Y�ѭ�U�E4�����S"�d���H������w�+��q��ϭw����=����#�<r��$@No���]�¤� AȢ�V�x:�IBgN����'�P�9Eī5����vQ��$<1��f�W&p�{���hVB뎲�`��l! d�ԃCg���z_gj@���s��^!�W�j+��ک����=�� �`U� �&���Vt�'��P����Bq��EP����r��:jo\E�����B��K�
p�@v�ꝃ��cm�;3rW���d�r2m�<�$v#���ٙS���M�MŅR*cP���HM�!�e ?(��X��2
z������v�a�d��Р�L�<J���!^��N�S�ќ��u�+��_U!����RB�Vք�RO���U-R�&)�?t�ʞ�0�K�!�*�η���5Y��(;�F���
/�����������;���>���j�z�3�)ĩTj��-[�l5�%�V%�ҵ��XP��o���Tr3��������_
H�B*/����_�_�>z�I����@����� ��t� �w����]_ ?���
-
user_agent
����-��1,���@����R�nA�G5��Qn��+�k)��,N�e��iQ�/dgdh��o,G��B�jKx-�z�!c]]mT4�6M�L.�Nex����M�������3a��1�HDv��1��XI�j Kx-�zx�^[__Y�u�>N>ၘ�C�r�\�f�>�$ ��y�f�嗯ZM=��d��c�_S�D~�I��̌LNNZY�jKx-�z������i��,�K�v����X E�� �n�f�e�g\�C0U�4�ep
Signatures
-
Brute Ratel C4
A customized command and control framework for red teaming and adversary simulation.
-
Creates new service(s) 1 TTPs
-
Drops file in Drivers directory 4 IoCs
description ioc Process File created C:\Windows\System32\drivers\KeyCrypt64.sys Zemana.AntiLogger.Setup.tmp File opened for modification C:\Windows\System32\drivers\KeyCrypt64.sys Zemana.AntiLogger.Setup.tmp File created C:\Windows\System32\drivers\zamguard64.sys ZAM.exe File created C:\Windows\System32\drivers\zam64.sys ZAM.exe -
Modifies AppInit DLL entries 2 TTPs
-
Sets service image path in registry 2 TTPs 1 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\{7D207609-3976-492C-A1FA-6D44E913524C}\ImagePath ZAM.exe -
Executes dropped EXE 17 IoCs
pid Process 1628 Zemana.AntiLogger.Setup.tmp 2728 ZAM.exe 1852 ZAM.exe 1592 ZAM.exe 4032 ZAM.exe 220 ZAM.exe 2768 ZAM.exe 632 ZAM.exe 2476 ZAM.exe 1984 ZAM.exe 4280 ZAM.exe 4824 ZAM.exe 3152 ZAM.exe 4664 ZAM.exe 2768 ZAM.exe 2452 ZAM.exe 3712 ZAM.exe -
Loads dropped DLL 16 IoCs
pid Process 4268 Process not Found 224 Process not Found 2768 ZAM.exe 2452 ZAM.exe 1740 regsvr32.exe 2712 regsvr32.exe 2712 regsvr32.exe 2320 regsvr32.exe 2320 regsvr32.exe 2560 Process not Found 3712 ZAM.exe 5084 Process not Found 1244 Process not Found 2452 Process not Found 3164 Process not Found 3360 Process not Found -
Registers COM server for autorun 1 TTPs 3 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32\ThreadingModel = "Apartment" regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32 regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32\ = "C:\\Program Files (x86)\\Zemana AntiLogger\\ZAMShellExt64.dll" regsvr32.exe -
Adds Run key to start application 2 TTPs 3 IoCs
description ioc Process Key created \REGISTRY\USER\S-1-5-21-1529757233-3489015626-3409890339-1000\Software\Microsoft\Windows\CurrentVersion\Run ZAM.exe Key created \REGISTRY\MACHINE\Software\Microsoft\Windows\CurrentVersion\Run ZAM.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ZAM = "\"C:\\Program Files (x86)\\Zemana AntiLogger\\ZAM.exe\" /minimized" ZAM.exe -
Checks installed software on the system 1 TTPs
Looks up Uninstall key entries in the registry to enumerate software on the system.
-
Maps connected drives based on registry 3 TTPs 2 IoCs
Disk information is often read in order to detect sandboxing environments.
description ioc Process Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Services\disk\Enum\0 ZAM.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\services\Disk\Enum ZAM.exe -
Drops file in System32 directory 1 IoCs
description ioc Process File opened for modification C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Zemana\Tracer\ZAM.trace ZAM.exe -
Drops file in Program Files directory 64 IoCs
description ioc Process File opened for modification C:\Program Files (x86)\KeyCryptSDK\KeyCrypt32.dll Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\res\is-0HE4U.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\Portuguese.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Russian.ini ZAM.exe File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\Raxco.ico Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\BrazilianPortuguese.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Bulgarian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Indonesian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\ZAMShellExt32.dll ZAM.exe File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\zam.ico Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\wdp.ico Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\res\is-0LLLO.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\Latvian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Serbian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\res\is-00L8A.tmp Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\KeyCryptSDK\KeyCrypt32(1).dll ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Korean.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Romanian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\res\is-O0FQF.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\English.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Czech.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Slovak.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Slovenian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\is-AC42C.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\res\is-PH9G8.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\KeyCryptSDK\is-SQ4F9.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\Hindi.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Malaysian.ini ZAM.exe File opened for modification C:\Program Files (x86)\KeyCryptSDK\KeyCrypt64.dll Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\app.ico Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\KeyCryptSDK\KeyCrypt32(1).dll ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Polish.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Telugu.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Bengali.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Byelorussian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Croatian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\res\is-EEMSG.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\KeyCryptSDK\is-UV4E2.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\KeyCryptSDK\is-I3ON8.tmp Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\unins000.dat Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\Arabic.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Lithuanian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\res\is-4862K.tmp Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\Vietnamese.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Kurdish.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\is-N9Q1K.tmp Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\Miliefsky.ico Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\lang\German.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Italian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\French.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Albanian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Norwegian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Bosnian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Estonian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Persian.ini ZAM.exe File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\magnum.ico Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\Zemana AntiLogger\res\is-2RB8U.tmp Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\wdos.ico Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\Iolo.ico Zemana.AntiLogger.Setup.tmp File created C:\Program Files (x86)\KeyCryptSDK\KeyCrypt64(1).dll ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Ukrainian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\lang\Hungarian.ini ZAM.exe File created C:\Program Files (x86)\Zemana AntiLogger\res\is-U0QT3.tmp Zemana.AntiLogger.Setup.tmp File opened for modification C:\Program Files (x86)\Zemana AntiLogger\res\zso.ico Zemana.AntiLogger.Setup.tmp -
Launches sc.exe 2 IoCs
Sc.exe is a Windows utlilty to control services on the system.
pid Process 2760 sc.exe 3456 sc.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s). Likely ransomware behaviour.
-
Checks SCSI registry key(s) 3 TTPs 8 IoCs
SCSI information is often read in order to detect sandboxing environments.
description ioc Process Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\FriendlyName ZAM.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\Driver ZAM.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\CDROM&VEN_DADY&PROD_DADY_DVD-ROM\4&215468A5&0&010000 ZAM.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\CdRom&Ven_DADY&Prod_DADY_DVD-ROM\4&215468a5&0&010000\HardwareID ZAM.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\CdRom&Ven_DADY&Prod_DADY_DVD-ROM\4&215468a5&0&010000\FriendlyName ZAM.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\CdRom&Ven_DADY&Prod_DADY_DVD-ROM\4&215468a5&0&010000\Driver ZAM.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\DISK&VEN_DADY&PROD_HARDDISK\4&215468A5&0&000000 ZAM.exe Key value queried \REGISTRY\MACHINE\SYSTEM\ControlSet001\Enum\SCSI\Disk&Ven_DADY&Prod_HARDDISK\4&215468a5&0&000000\HardwareID ZAM.exe -
Checks processor information in registry 2 TTPs 5 IoCs
Processor information is often read in order to detect sandboxing environments.
description ioc Process Key opened \REGISTRY\MACHINE\hardware\description\system\centralProcessor\0 ZAM.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString ZAM.exe Key opened \REGISTRY\MACHINE\hardware\description\system\centralProcessor\1 ZAM.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\1\ProcessorNameString ZAM.exe Key opened \REGISTRY\MACHINE\hardware\description\system\centralProcessor\2 ZAM.exe -
Modifies data under HKEY_USERS 1 IoCs
description ioc Process Key created \REGISTRY\USER\.DEFAULT\Software\Microsoft\Windows\CurrentVersion ZAM.exe -
Modifies registry class 18 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\ = "ZemanaShell" regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware\ = "{6ABB1C11-E261-4CEA-BBB5-3836225689DD}" regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\ = "ZemanaShell" regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32\ = "C:\\Program Files (x86)\\Zemana AntiLogger\\ZAMShellExt64.dll" regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD} regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32\ = "C:\\Program Files (x86)\\Zemana AntiLogger\\ZAMShellExt32.dll" regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32\ThreadingModel = "Apartment" regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD} regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware\ = "{6ABB1C11-E261-4CEA-BBB5-3836225689DD}" regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware\ = "{6ABB1C11-E261-4CEA-BBB5-3836225689DD}" regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware\ = "{6ABB1C11-E261-4CEA-BBB5-3836225689DD}" regsvr32.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32\ThreadingModel = "Apartment" regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32 regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{6ABB1C11-E261-4CEA-BBB5-3836225689DD}\InprocServer32 regsvr32.exe Key created \REGISTRY\MACHINE\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\2.0 Zemana AntiMalware regsvr32.exe -
description ioc Process Set value (data) \REGISTRY\MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\5FB7EE0633E259DBAD0C4C9AE6D38F1A61C7DC25\Blob = 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 ZAM.exe Set value (data) \REGISTRY\MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\5FB7EE0633E259DBAD0C4C9AE6D38F1A61C7DC25\Blob = 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 ZAM.exe Key created \REGISTRY\MACHINE\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\5FB7EE0633E259DBAD0C4C9AE6D38F1A61C7DC25 ZAM.exe -
Suspicious behavior: EnumeratesProcesses 40 IoCs
pid Process 2728 ZAM.exe 2728 ZAM.exe 1852 ZAM.exe 1852 ZAM.exe 1592 ZAM.exe 1592 ZAM.exe 4032 ZAM.exe 4032 ZAM.exe 220 ZAM.exe 220 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 632 ZAM.exe 632 ZAM.exe 2476 ZAM.exe 2476 ZAM.exe 1984 ZAM.exe 1984 ZAM.exe 4280 ZAM.exe 4280 ZAM.exe 4824 ZAM.exe 4824 ZAM.exe 3152 ZAM.exe 3152 ZAM.exe 1628 Zemana.AntiLogger.Setup.tmp 1628 Zemana.AntiLogger.Setup.tmp 4664 ZAM.exe 4664 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2452 ZAM.exe 2452 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe -
Suspicious behavior: LoadsDriver 64 IoCs
pid Process 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found 652 Process not Found -
Suspicious use of AdjustPrivilegeToken 2 IoCs
description pid Process Token: SeSecurityPrivilege 4664 ZAM.exe Token: SeSecurityPrivilege 4664 ZAM.exe -
Suspicious use of FindShellTrayWindow 10 IoCs
pid Process 1628 Zemana.AntiLogger.Setup.tmp 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe -
Suspicious use of SendNotifyMessage 9 IoCs
pid Process 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe -
Suspicious use of SetWindowsHookEx 20 IoCs
pid Process 2728 ZAM.exe 1852 ZAM.exe 1592 ZAM.exe 4032 ZAM.exe 220 ZAM.exe 2768 ZAM.exe 632 ZAM.exe 2476 ZAM.exe 1984 ZAM.exe 4280 ZAM.exe 4824 ZAM.exe 3152 ZAM.exe 4664 ZAM.exe 2768 ZAM.exe 2452 ZAM.exe 2768 ZAM.exe 2768 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe 3712 ZAM.exe -
Suspicious use of WriteProcessMemory 56 IoCs
description pid Process procid_target PID 3528 wrote to memory of 1628 3528 Zemana.AntiLogger.Setup.exe 84 PID 3528 wrote to memory of 1628 3528 Zemana.AntiLogger.Setup.exe 84 PID 3528 wrote to memory of 1628 3528 Zemana.AntiLogger.Setup.exe 84 PID 1628 wrote to memory of 2728 1628 Zemana.AntiLogger.Setup.tmp 85 PID 1628 wrote to memory of 2728 1628 Zemana.AntiLogger.Setup.tmp 85 PID 1628 wrote to memory of 2728 1628 Zemana.AntiLogger.Setup.tmp 85 PID 1628 wrote to memory of 1852 1628 Zemana.AntiLogger.Setup.tmp 86 PID 1628 wrote to memory of 1852 1628 Zemana.AntiLogger.Setup.tmp 86 PID 1628 wrote to memory of 1852 1628 Zemana.AntiLogger.Setup.tmp 86 PID 1628 wrote to memory of 1592 1628 Zemana.AntiLogger.Setup.tmp 87 PID 1628 wrote to memory of 1592 1628 Zemana.AntiLogger.Setup.tmp 87 PID 1628 wrote to memory of 1592 1628 Zemana.AntiLogger.Setup.tmp 87 PID 1628 wrote to memory of 4032 1628 Zemana.AntiLogger.Setup.tmp 88 PID 1628 wrote to memory of 4032 1628 Zemana.AntiLogger.Setup.tmp 88 PID 1628 wrote to memory of 4032 1628 Zemana.AntiLogger.Setup.tmp 88 PID 1628 wrote to memory of 220 1628 Zemana.AntiLogger.Setup.tmp 90 PID 1628 wrote to memory of 220 1628 Zemana.AntiLogger.Setup.tmp 90 PID 1628 wrote to memory of 220 1628 Zemana.AntiLogger.Setup.tmp 90 PID 1628 wrote to memory of 2768 1628 Zemana.AntiLogger.Setup.tmp 94 PID 1628 wrote to memory of 2768 1628 Zemana.AntiLogger.Setup.tmp 94 PID 1628 wrote to memory of 2768 1628 Zemana.AntiLogger.Setup.tmp 94 PID 1628 wrote to memory of 632 1628 Zemana.AntiLogger.Setup.tmp 95 PID 1628 wrote to memory of 632 1628 Zemana.AntiLogger.Setup.tmp 95 PID 1628 wrote to memory of 632 1628 Zemana.AntiLogger.Setup.tmp 95 PID 1628 wrote to memory of 2476 1628 Zemana.AntiLogger.Setup.tmp 98 PID 1628 wrote to memory of 2476 1628 Zemana.AntiLogger.Setup.tmp 98 PID 1628 wrote to memory of 2476 1628 Zemana.AntiLogger.Setup.tmp 98 PID 1628 wrote to memory of 1984 1628 Zemana.AntiLogger.Setup.tmp 100 PID 1628 wrote to memory of 1984 1628 Zemana.AntiLogger.Setup.tmp 100 PID 1628 wrote to memory of 1984 1628 Zemana.AntiLogger.Setup.tmp 100 PID 1628 wrote to memory of 4280 1628 Zemana.AntiLogger.Setup.tmp 101 PID 1628 wrote to memory of 4280 1628 Zemana.AntiLogger.Setup.tmp 101 PID 1628 wrote to memory of 4280 1628 Zemana.AntiLogger.Setup.tmp 101 PID 1628 wrote to memory of 4824 1628 Zemana.AntiLogger.Setup.tmp 102 PID 1628 wrote to memory of 4824 1628 Zemana.AntiLogger.Setup.tmp 102 PID 1628 wrote to memory of 4824 1628 Zemana.AntiLogger.Setup.tmp 102 PID 1628 wrote to memory of 3152 1628 Zemana.AntiLogger.Setup.tmp 103 PID 1628 wrote to memory of 3152 1628 Zemana.AntiLogger.Setup.tmp 103 PID 1628 wrote to memory of 3152 1628 Zemana.AntiLogger.Setup.tmp 103 PID 1628 wrote to memory of 4664 1628 Zemana.AntiLogger.Setup.tmp 105 PID 1628 wrote to memory of 4664 1628 Zemana.AntiLogger.Setup.tmp 105 PID 1628 wrote to memory of 4664 1628 Zemana.AntiLogger.Setup.tmp 105 PID 4664 wrote to memory of 2760 4664 ZAM.exe 107 PID 4664 wrote to memory of 2760 4664 ZAM.exe 107 PID 4664 wrote to memory of 3456 4664 ZAM.exe 109 PID 4664 wrote to memory of 3456 4664 ZAM.exe 109 PID 1628 wrote to memory of 2768 1628 Zemana.AntiLogger.Setup.tmp 111 PID 1628 wrote to memory of 2768 1628 Zemana.AntiLogger.Setup.tmp 111 PID 1628 wrote to memory of 2768 1628 Zemana.AntiLogger.Setup.tmp 111 PID 2768 wrote to memory of 1740 2768 ZAM.exe 114 PID 2768 wrote to memory of 1740 2768 ZAM.exe 114 PID 1740 wrote to memory of 2712 1740 regsvr32.exe 115 PID 1740 wrote to memory of 2712 1740 regsvr32.exe 115 PID 1740 wrote to memory of 2712 1740 regsvr32.exe 115 PID 2768 wrote to memory of 2320 2768 ZAM.exe 116 PID 2768 wrote to memory of 2320 2768 ZAM.exe 116
Processes
-
C:\Users\Admin\AppData\Local\Temp\Zemana.AntiLogger.Setup.exe"C:\Users\Admin\AppData\Local\Temp\Zemana.AntiLogger.Setup.exe"1⤵
- Suspicious use of WriteProcessMemory
PID:3528 -
C:\Users\Admin\AppData\Local\Temp\is-CUQPH.tmp\Zemana.AntiLogger.Setup.tmp"C:\Users\Admin\AppData\Local\Temp\is-CUQPH.tmp\Zemana.AntiLogger.Setup.tmp" /SL5="$B006A,12384572,121344,C:\Users\Admin\AppData\Local\Temp\Zemana.AntiLogger.Setup.exe"2⤵
- Drops file in Drivers directory
- Executes dropped EXE
- Drops file in Program Files directory
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of FindShellTrayWindow
- Suspicious use of WriteProcessMemory
PID:1628 -
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /get_curr_installer_partner_id3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2728
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /get_installed_partner_id3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:1852
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /TryInstallFakeService3⤵
- Sets service image path in registry
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:1592
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /get_and_set_installer_partner_id3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:4032
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /get_installer_product_id3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:220
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /uninstall_old_antilogger3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2768
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /is_zal_pro_installed3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:632
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /is_zal_free_installed3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2476
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /is_old_zso_installed3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:1984
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /is_newer_version_installed3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:4280
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /is_safe_mode3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:4824
-
-
C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe"C:\Users\Admin\AppData\Local\Temp\is-2DCTC.tmp\ZAM.exe" /killall3⤵
- Executes dropped EXE
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:3152
-
-
C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe"C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe" /install_keycrypt "C:\Program Files (x86)\KeyCryptSDK"3⤵
- Executes dropped EXE
- Drops file in Program Files directory
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:4664 -
C:\Windows\SYSTEM32\sc.exesc create keycrypt binPath= system32\DRIVERS\KeyCrypt64.sys type= kernel start= demand group= "Keyboard Class" depend= kbdclass tag= yes4⤵
- Launches sc.exe
PID:2760
-
-
C:\Windows\SYSTEM32\sc.exesc start keycrypt4⤵
- Launches sc.exe
PID:3456
-
-
-
C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe"C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe" /install /realtime_protection 1 /set_lang "English"3⤵
- Drops file in Drivers directory
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Maps connected drives based on registry
- Drops file in Program Files directory
- Checks SCSI registry key(s)
- Checks processor information in registry
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2768 -
C:\Windows\System32\regsvr32.exeC:\Windows\System32\regsvr32.exe /s "C:\Program Files (x86)\Zemana AntiLogger\ZAMShellExt32.dll"4⤵
- Loads dropped DLL
- Suspicious use of WriteProcessMemory
PID:1740 -
C:\Windows\SysWOW64\regsvr32.exe/s "C:\Program Files (x86)\Zemana AntiLogger\ZAMShellExt32.dll"5⤵
- Loads dropped DLL
- Modifies registry class
PID:2712
-
-
-
C:\Windows\System32\regsvr32.exeC:\Windows\System32\regsvr32.exe /s "C:\Program Files (x86)\Zemana AntiLogger\ZAMShellExt64.dll"4⤵
- Loads dropped DLL
- Registers COM server for autorun
- Modifies registry class
PID:2320
-
-
-
-
C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe"C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe" /service1⤵
- Executes dropped EXE
- Loads dropped DLL
- Drops file in System32 directory
- Modifies data under HKEY_USERS
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of SetWindowsHookEx
PID:2452
-
C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe"C:\Program Files (x86)\Zemana AntiLogger\ZAM.exe"1⤵
- Executes dropped EXE
- Loads dropped DLL
- Modifies system certificate store
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of FindShellTrayWindow
- Suspicious use of SendNotifyMessage
- Suspicious use of SetWindowsHookEx
PID:3712
Network
MITRE ATT&CK Enterprise v6
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
83KB
MD57dc7ab4b3f1712b87c664e80d4723355
SHA1111af56b3e9fd89b4b5ffb7cce155b00d0d3a44a
SHA25640aa6468e229bcec260891ce8c349e1619815d922031a4e2a4e09e4c57cb4600
SHA512f29beae61df8b4d6af441669de19db4a909db08828d4c6c4bcbe2523f932714de64e2d7ccff6abc2dba245762166636eda03add776886e1b3775a8b41293121d
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
92KB
MD57e720518b4711ce62de69db1127cca7e
SHA1e61ea4d103cd11916aad374d5f15565cc87a69bd
SHA25652508bba48d0b6440d9b31e627be8fbcb17199f85143554daf364b56f560d5fb
SHA5124475e278515f0c914466fc2a37b92c21f2c01b70bb17f848a928de53cd27febee3b0a935f33420c1145155a6f4cc3e65236f9bdc5b6ef84b4651f10ed73d2224
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
133KB
MD5fc22953742e02ca5add3489ed648a8e7
SHA1a15955365893cf88824f09f4d245d01b44757772
SHA256279049c38d82af9ffd74b7b7fcc81622d194feb09e0436b5d9a03caeee12568b
SHA512e3972396407ddc70979d4b3c9695098a52d99c6e011f40379e8ab2948db84204a80194b05bc5c92d69a1d8fdccd371c7b6e7f7ef9a697cc1dd85d3b7c3d4f22b
-
Filesize
133KB
MD5fc22953742e02ca5add3489ed648a8e7
SHA1a15955365893cf88824f09f4d245d01b44757772
SHA256279049c38d82af9ffd74b7b7fcc81622d194feb09e0436b5d9a03caeee12568b
SHA512e3972396407ddc70979d4b3c9695098a52d99c6e011f40379e8ab2948db84204a80194b05bc5c92d69a1d8fdccd371c7b6e7f7ef9a697cc1dd85d3b7c3d4f22b
-
Filesize
155KB
MD5435db6a22bcc3c66258be279ab68ea1a
SHA1b2582a398dda7cbc6e003845b0565517797c84e5
SHA2565b0b03de51548fef1a31574441b9f561c366c2eaa50f2df14da23e40ab793795
SHA512d114b1e9c5a1e965b8846589608c0635834f4a394b96789705238180ad4fa134576616e5c20a196ff625942175b4a65571681f05b01d64ec60b28fed8153285f
-
Filesize
155KB
MD5435db6a22bcc3c66258be279ab68ea1a
SHA1b2582a398dda7cbc6e003845b0565517797c84e5
SHA2565b0b03de51548fef1a31574441b9f561c366c2eaa50f2df14da23e40ab793795
SHA512d114b1e9c5a1e965b8846589608c0635834f4a394b96789705238180ad4fa134576616e5c20a196ff625942175b4a65571681f05b01d64ec60b28fed8153285f
-
Filesize
12KB
MD5d446492265afb1ac5d91ce352a3ec5f9
SHA14b91f2cb920368f5f632a96115cfe4a22c4ae9e7
SHA2560c68ac63cc677b8d71b4d60a3800190466d82f6aea524634cd3266667c3f2efb
SHA5123e89cefd1418f794e725b5ebb938d8638a78c72a5bc5ec3faad93cfbe82c3a59ad2aa7cff1d0b526462d919c57a6758f40ef118f4ae0a885f6e1dfb0fa76b5ea
-
Filesize
23KB
MD5ff846cb61a628fc102e029ff24f484cf
SHA1a1877e921613e8513479559c12fe1ea92783785b
SHA2567fc11749581eb9498dc914699edb02c1945bf066495f771541040b0b25a0b5bb
SHA5121034669189cf49db3856830249432264c02aa104b89f9f6a2cab70179e57890731f16670e338d5b7030cb51f1c6b41bdd0c68ffe50575c3fa030c74ea4d998b7
-
Filesize
26KB
MD5af91551defe493099dfb8237dae400cb
SHA1d82ed3b8fc23f0677f4720945239b16f3354ca6a
SHA256d71b80cc9f28d9533b966fd9d35f71183820f99c1ab6c8abdac56d849170ca29
SHA5122c077576781d8bec40c0001ebe92186eb5c7760ac1bb3c183fcfeef33a25039a2e5c20de26202d116b5eb5a073e0a1cc476cae25d221f6c91022d68c4f2f73b6
-
Filesize
17KB
MD52c80a42d56ba62223aa0d59ae75ffefd
SHA1ee7df932116f6e64b67732dfc3e80e1a16de467c
SHA25650000464b535a3c678e2ab538f7ed333c8a334d1f1c853ea869a9e0eae58d3fd
SHA512104b5152283555d2a99242609362824598ed2ef6face2396bf42248a64fc45565972a2fd076a0b2bfad75a790005937be3a5e014d9719921b9e4deca18359314
-
Filesize
18KB
MD5f526646c359f11523e740be3846c4969
SHA13bc3cf6ed9f4cefffe054515a57526698864f406
SHA256c97e4567d8e5b265577ca4b406904bae3bbe4cd03032d163133e7230dc42b248
SHA512a9639d81e09c791b801c276fb501edfa195d411cd28bcc68e7c85e162710be4377e8662ff779c0bec34931df1502bb19e33fa646e47c9ec195834527b5af7772
-
Filesize
23KB
MD5bef43cbee6a0600022c5b2a7e494c99f
SHA168476fe1202a88377f4c615d706b5a25f5319df7
SHA256d8566ee7727a6ac9bff9d1c14b04509f81b4952d4ac052c39e6cafc7962d0241
SHA51293fca699e6dc804d3384f25396cb1416b0664c069f78c0451e85750521c5b4397471552e6cbb83bb26f1e668224f7bbff92de41a67da9a7ea82d3545873a1218
-
Filesize
26KB
MD590e970f1dc40cc6e510b2667fa3e7fb1
SHA12bef0561af10816a6a8c8f708676824aad6868aa
SHA2568b0174122f0d14eea893170eb93b04174284c480143f10910d366497e3d08708
SHA5124f6328c9d55cb7abddab51045ebc33e7663d86401432e5e8b0cbd639c6f377626075b83b0aa1330ce4f210416cf3dd2ab61783aff3b0002eae8b4b9adf73c97e
-
Filesize
11KB
MD513bd989d0d3d4e6e2151edb5c4a3bb75
SHA19c3b5a6dd5c8e99bc7c15ae6d37db9b3b21c0f36
SHA256876ea608c9e4cd807f21affaa955d9a2c5ddafd10811f425e751f26f6a26e960
SHA51261a27601b6ee417b97537229ee9ddb59f45cb0f47a985a65cf8ca1f00aa504dcb529457b68e5798f02a78f02af69d103b7df307f6555de1a1366e9c846ad1fba
-
Filesize
14KB
MD5487a63c60d2b88679d10c79a8da2d0bd
SHA1d57940f39523b657a07a5e47d50272a3270bb8d7
SHA256cf5a4c9c7cadc7b26603b1dc16525297bafbbae21b3184f78982ca8b5064254c
SHA512247d68813b8ff9d2d80911356c80c31da89c50cf69cb0b143eb9f73eb55c9588ceaa00ca1de6d001c7ed46b9cd9377123e9f1f435fcd02df5eb7818c602b68da
-
Filesize
17KB
MD509d584675e35da1d638c47d2ee3c9a96
SHA17f78d0a8de17c0451cc840b16918e4bf6451a4f7
SHA25621f16dc87e7664b1752a0aced525e6e56740da573ef3b9f4579c620d23cea205
SHA51279c9fc918dd7a161382935808bf2e1ec80c0c73ff4711acefd6ea74ccf8c0a496c82f0f30cc578faa21ad474e859f86448e28ab86f9edefdb35b5ccddf75b7a0
-
Filesize
18KB
MD52e78d04c26588dd3638b29853050016d
SHA18fcd5407874e03cfe59cd1995f3d2c0a5cb19715
SHA25638dce78663e5811e806aeee108b9d534d5d5112b8241daf7175ea16e2ea80cd5
SHA5127b34dc84e0d4f52d731ab9a147e98f1d55db0c48a834ec203b526c7d08c7d27a50282ac00149593a86523325254b3da7fda0961b2f05fd1d65fef22c5a62a4f5
-
Filesize
16KB
MD5327e08fd5e884c119790c7378d41dc36
SHA194ec5cdde18246f49779dd34590d776e765d9bd5
SHA2562060847c74300f2f119e42604f2231f0621d2b1577f024ad9704d1a8efc81a12
SHA512e45f025497e301d698eb224dafc728b9de5e0857bcf7ab870a805475d911781dd2b2acb7e2c53c4c92415877ff2b60644ddaf04fd80756cc916fc065397e43ee
-
Filesize
157KB
MD5bf0e0b7de4e9bc8e0515779f66aca853
SHA180c3eb49b725c6be06e8ad91ba355ca28a048b96
SHA256fb54110688464b9a5f8cd1acbd8a693b91d2d5daab9c1e39e0ce654df8a83edf
SHA5120c16993d5a8a1d72469ba8697863b64d05fd0371c093e5630e5504e73b20fab7e1f517ba3433c921bb34ec9c6f37fc0c7322e7bc70100beed3c5f455af5a4e66
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
24.0MB
MD5e2b39887c062df59cec06314010f6a87
SHA15aa87eda63e56e1e090e8a398c3719bfa886c6dc
SHA256e7f52008ea40947f577d8f89d2a114857df6906d500c9c8a803fedeb7d9c9bd8
SHA512962930321ce4dbcceed6f9a91fbe3ed7c21efc47112243aeefb026b349174f311c7fbab0462a356917a227fc560c5fa1bb0bb725e8861ee383659a71cc99ff46
-
Filesize
1.1MB
MD534acc2bdb45a9c436181426828c4cb49
SHA15adaa1ac822e6128b8d4b59a54d19901880452ae
SHA2569c81817acd4982632d8c7f1df3898fca1477577738184265d735f49fc5480f07
SHA512134ff4022571efd46f7a62e99b857ebe834e9916c786345908010f9e1fb90be226b740ddee16ae9290fe45c86be7238c4555e422abe66a461d11545e19734beb
-
Filesize
1.1MB
MD534acc2bdb45a9c436181426828c4cb49
SHA15adaa1ac822e6128b8d4b59a54d19901880452ae
SHA2569c81817acd4982632d8c7f1df3898fca1477577738184265d735f49fc5480f07
SHA512134ff4022571efd46f7a62e99b857ebe834e9916c786345908010f9e1fb90be226b740ddee16ae9290fe45c86be7238c4555e422abe66a461d11545e19734beb
-
Filesize
162KB
MD539d937e201cd320563a0b37896e34b3a
SHA137a8815ef138a4bcecc6fa80db9593cb077e547d
SHA25647201f679b40279a204a4156d89b9d4d05a5b9bad65a464496d9fa16c57825d1
SHA512000f5270bdc9f6f2306412d3b62f90baeb33b12b5ed8554d072366a3d66de8a2c5eedb0f6629df3b4bac49c587ee2fc131be9045e3d175b051e7103b9959d5b4
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
162KB
MD539d937e201cd320563a0b37896e34b3a
SHA137a8815ef138a4bcecc6fa80db9593cb077e547d
SHA25647201f679b40279a204a4156d89b9d4d05a5b9bad65a464496d9fa16c57825d1
SHA512000f5270bdc9f6f2306412d3b62f90baeb33b12b5ed8554d072366a3d66de8a2c5eedb0f6629df3b4bac49c587ee2fc131be9045e3d175b051e7103b9959d5b4
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
2B
MD5f3b25701fe362ec84616a93a45ce9998
SHA1d62636d8caec13f04e28442a0a6fa1afeb024bbb
SHA256b3d510ef04275ca8e698e5b3cbb0ece3949ef9252f0cdc839e9ee347409a2209
SHA51298c5f56f3de340690c139e58eb7dac111979f0d4dffe9c4b24ff849510f4b6ffa9fd608c0a3de9ac3c9fd2190f0efaf715309061490f9755a9bfdf1c54ca0d84
-
Filesize
198KB
MD521e13f2cb269defeae5e1d09887d47bb
SHA116d7ecf09fc98798a6170e4cef2745e0bee3f5c7
SHA256543991ca8d1c65113dff039b85ae3f9a87f503daec30f46929fd454bc57e5a91
SHA512b1aa515c7b9b8c555815fa66bcb4796d39e38d2d1dc2fe0ed561e04bcd52a26996b85c6237eb966c93f8dbecbbdf6c405f14cf29943b031154113a551b241a6a
-
Filesize
198KB
MD521e13f2cb269defeae5e1d09887d47bb
SHA116d7ecf09fc98798a6170e4cef2745e0bee3f5c7
SHA256543991ca8d1c65113dff039b85ae3f9a87f503daec30f46929fd454bc57e5a91
SHA512b1aa515c7b9b8c555815fa66bcb4796d39e38d2d1dc2fe0ed561e04bcd52a26996b85c6237eb966c93f8dbecbbdf6c405f14cf29943b031154113a551b241a6a