b21f185108ba1b391c6149d6cc4ba1c5f127ce14c0bebd3e392c0b40ce189f32

Analysis

max time kernel
7s
max time network
87s
platform
windows7_x64
resource
win7-20230220-en
resource tags

arch:x64arch:x86image:win7-20230220-enlocale:en-usos:windows7-x64system
submitted
25/04/2023, 00:28

Sharing

Copy URL

Twitter E-mail

Reason

Machine shutdown

Report Analysis Logs

General

Target

Wall.bat
Size

4KB
MD5

5b0e787a10b96509bb38c60ed9dd530b
SHA1

a3c370eb91992fc091b780de3f996b3f1bedc46f
SHA256

b21f185108ba1b391c6149d6cc4ba1c5f127ce14c0bebd3e392c0b40ce189f32
SHA512

9f080fcbb8ed2ddaae3abcda2c2455edd7ea102dacb8e1375a08f12bdaf05633117dff6ff18bcd080892328704106b8aafdaf1b201d57cf5f5a8c5be5b12b1c2
SSDEEP

48:li/Xqm/7mZg2x3QEKrVRVRVjZ+0v6jfZI3zjjqMW1RCGPtvzNLV2uitw:lixjqprKG0vWfOjq111JV7p

Score

7^/10

ransomware

Malware Config

Signatures

Drops startup file 3 IoCs

description	ioc	Process
File opened for modification	C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Wall.bat	cmd.exe
File opened for modification	C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Wall.bat	cmd.exe
File created	C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Wall.bat	cmd.exe

Sets desktop wallpaper using registry 2 TTPs 1 IoCs

ransomware

Defacement

T1491

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-3499517378-2376672570-1134980332-1000\Control Panel\Desktop\Wallpaper = "C:\\Users\\Admin\\Desktop\\Troll.png"	conhost.exe

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Delays execution with timeout.exe 1 IoCs

evasion

pid	Process
1700	timeout.exe

Kills process with taskkill 64 IoCs

evasion

pid	Process
2840	Process not Found
1056	taskkill.exe
892	taskkill.exe
3056	Process not Found
2424	Process not Found
1748	Process not Found
2384	Process not Found
268	taskkill.exe
2268	Process not Found
2732	Process not Found
2084	Process not Found
2596	Process not Found
2312	Process not Found
1252	taskkill.exe
1384	Process not Found
2252	Process not Found
2152	Process not Found
1716	Process not Found
564	Process not Found
2340	Process not Found
2964	Process not Found
2108	Process not Found
2316	Process not Found
2948	Process not Found
1248	taskkill.exe
1540	taskkill.exe
696	taskkill.exe
2576	taskkill.exe
1840	taskkill.exe
2504	Process not Found
3000	Process not Found
3020	Process not Found
1136	taskkill.exe
1540	taskkill.exe
1076	taskkill.exe
2856	taskkill.exe
2776	Process not Found
1156	taskkill.exe
1508	taskkill.exe
1548	taskkill.exe
2628	Process not Found
2136	Process not Found
3064	Process not Found
2748	Process not Found
1588	Process not Found
1508	taskkill.exe
1824	taskkill.exe
2356	taskkill.exe
2420	Process not Found
2480	Process not Found
2640	Process not Found
2888	Process not Found
2876	Process not Found
2516	Process not Found
1496	taskkill.exe
2548	Process not Found
2860	Process not Found
2700	Process not Found
1764	Process not Found
2420	Process not Found
2240	Process not Found
1836	taskkill.exe
1476	taskkill.exe
2744	Process not Found

Runs ping.exe 1 TTPs 3 IoCs

Remote System Discovery

T1018

pid	Process
1860	PING.EXE
1480	PING.EXE
604	PING.EXE

Suspicious behavior: EnumeratesProcesses 1 IoCs

pid	Process
1804	powershell.exe

Suspicious use of AdjustPrivilegeToken 1 IoCs

description	pid	Process
Token: SeDebugPrivilege	1804	powershell.exe

Suspicious use of WriteProcessMemory 30 IoCs

description	pid	Process	procid_target
PID 2040 wrote to memory of 1104	2040	cmd.exe	29
PID 2040 wrote to memory of 1104	2040	cmd.exe	29
PID 2040 wrote to memory of 1104	2040	cmd.exe	29
PID 1104 wrote to memory of 1948	1104	cmd.exe	31
PID 1104 wrote to memory of 1948	1104	cmd.exe	31
PID 1104 wrote to memory of 1948	1104	cmd.exe	31
PID 1104 wrote to memory of 1980	1104	cmd.exe	32
PID 1104 wrote to memory of 1980	1104	cmd.exe	32
PID 1104 wrote to memory of 1980	1104	cmd.exe	32
PID 1104 wrote to memory of 768	1104	cmd.exe	36
PID 1104 wrote to memory of 768	1104	cmd.exe	36
PID 1104 wrote to memory of 768	1104	cmd.exe	36
PID 768 wrote to memory of 588	768	cmd.exe	37
PID 768 wrote to memory of 588	768	cmd.exe	37
PID 768 wrote to memory of 588	768	cmd.exe	37
PID 768 wrote to memory of 1804	768	cmd.exe	39
PID 768 wrote to memory of 1804	768	cmd.exe	39
PID 768 wrote to memory of 1804	768	cmd.exe	39
PID 768 wrote to memory of 1700	768	cmd.exe	41
PID 768 wrote to memory of 1700	768	cmd.exe	41
PID 768 wrote to memory of 1700	768	cmd.exe	41
PID 768 wrote to memory of 1356	768	cmd.exe	364
PID 768 wrote to memory of 1356	768	cmd.exe	364
PID 768 wrote to memory of 1356	768	cmd.exe	364
PID 768 wrote to memory of 932	768	cmd.exe	317
PID 768 wrote to memory of 932	768	cmd.exe	317
PID 768 wrote to memory of 932	768	cmd.exe	317
PID 768 wrote to memory of 892	768	cmd.exe	1578
PID 768 wrote to memory of 892	768	cmd.exe	1578
PID 768 wrote to memory of 892	768	cmd.exe	1578

Views/modifies file attributes 1 TTPs 1 IoCs

evasion

Hidden Files and Directories

T1158

pid	Process
1116	attrib.exe

C:\Windows\system32\cmd.exe
cmd /c "C:\Users\Admin\AppData\Local\Temp\Wall.bat"
1⤵
- Suspicious use of WriteProcessMemory
PID:2040
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /K Wall.bat
  2⤵
  - Drops startup file
  - Suspicious use of WriteProcessMemory
  PID:1104
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /K C:\Users\Admin\Desktop\\Privacy.bat
    3⤵
    PID:1948
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /K Privacy.bat
    3⤵
    PID:1980
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /K C:\Users\Admin\Desktop\\Wall.bat
    3⤵
    - Drops startup file
    - Suspicious use of WriteProcessMemory
    PID:768
  - - C:\Windows\system32\cmd.exe
      C:\Windows\system32\cmd.exe /K Privacy.bat
      4⤵
      PID:588
  - - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      powershell curl https://upload.wikimedia.org/wikipedia/commons/thumb/4/48/Gay_Pride_Flag.svg/255px-Gay_Pride_Flag.svg.png -O Troll.png
      4⤵
      Suspicious behavior: EnumeratesProcesses
      Suspicious use of AdjustPrivilegeToken
      PID:1804
  - - C:\Windows\system32\timeout.exe
      timeout 2 /NOBREAK
      4⤵
      Delays execution with timeout.exe
      PID:1700
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1356
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:932
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:892
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1728
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1488
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1584
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1420
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:992
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1416
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:924
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1924
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:2004
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1328
  - - C:\Windows\System32\WScript.exe
      "C:\Windows\System32\WScript.exe" "C:\Users\Admin\Desktop\Wallpaper.vbs"
      4⤵
      PID:1648
  - - C:\Windows\system32\PING.EXE
      ping 127.0.0.1 -n 1 -w 500
      4⤵
      Runs ping.exe
      PID:1860
  - - C:\Windows\system32\PING.EXE
      ping 127.0.0.1 -n 1 -w 500
      4⤵
      Runs ping.exe
      PID:1480
  - - C:\Windows\system32\PING.EXE
      ping 127.0.0.1 -n 1 -w 500
      4⤵
      Runs ping.exe
      PID:604
  - - C:\Windows\system32\attrib.exe
      attrib +h Troll.png
      4⤵
      Views/modifies file attributes
      PID:1116
  - - C:\Windows\system32\taskkill.exe
      taskkill /f /im "windowtitle eq Privacy Shield"
      4⤵
      PID:1748
  - - C:\Windows\system32\cmd.exe
      C:\Windows\system32\cmd.exe /K Lol.bat /b
      4⤵
      PID:1720
    - - C:\Windows\system32\shutdown.exe
        
        shutdown /s /t 20 /c "YOUR COMPUTER HAS BEEN WRECKED! HAVE FUN GOING TO MR. DABBONDANZA!!!"
        5⤵
        
        PID:1252
    - - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K move.bat
        5⤵
        
        PID:1904
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        6⤵
        
        PID:308
      - C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        6⤵
        
        PID:932
      - C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        6⤵
        
        PID:1160
      - C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        6⤵
        
        PID:2024
      - C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        6⤵
        
        PID:812
      - C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        6⤵
        
        PID:1364
      - C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        6⤵
        
        PID:1544
      - C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        6⤵
        
        PID:520
      - C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        6⤵
        
        PID:1896
      - C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        6⤵
        
        PID:1944
      - C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        6⤵
        
        PID:268
      - C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        6⤵
        
        PID:1720
      - C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        6⤵
        
        PID:1488
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:1248
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:1916
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:1592
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:2044
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:1516
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:1584
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:1400
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:1384
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:1524
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:1116
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:1964
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:1364
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:1188
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:1804
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1900
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:624
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1592
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:1720
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:1364
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:1516
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:1208
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:1328
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:1204
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:836
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:764
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:1176
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:1004
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:1748
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:1056
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1688
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:1728
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1852
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:1160
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:1188
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:1208
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:1836
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:1808
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:1900
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:1992
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:1496
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:268
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:1028
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:1840
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:1396
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:1116
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:1944
      - C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        6⤵
        
        PID:1508
      - C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        6⤵
        
        PID:940
      - C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        6⤵
        
        PID:1516
      - C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        6⤵
        
        PID:2008
      - C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        6⤵
        
        PID:1728
      - C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        6⤵
        
        PID:1748
      - C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        6⤵
        
        PID:1476
      - C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        6⤵
        
        PID:812
      - C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        6⤵
        
        PID:2024
      - C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        6⤵
        
        PID:696
      - C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        6⤵
        
        PID:268
      - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        6⤵
        
        PID:1844
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:1804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:604
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1488
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1636
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1252
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1204
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1992
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1636
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1208
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1636
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1824
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1596
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1576
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1536
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1688
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1992
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1800
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1488
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1516
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1208
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:868
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:2068
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:2096
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2152
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:2184
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:2236
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:2264
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        7⤵
        
        PID:2256
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        
        PID:2544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:2328
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:2648
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:2848
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:2080
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:2456
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1688
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        6⤵
        Kills process with taskkill
        
        PID:1076
      - C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        6⤵
        
        PID:1932
      - C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        6⤵
        
        PID:1192
      - C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        6⤵
        
        PID:868
      - C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        6⤵
        
        PID:1160
      - C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        6⤵
        
        PID:1636
      - C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        6⤵
        
        PID:2008
      - C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        6⤵
        
        PID:1832
      - C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        6⤵
        
        PID:1496
      - C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        6⤵
        
        PID:1056
      - C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        6⤵
        
        PID:1640
      - C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        6⤵
        
        PID:1188
      - C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        6⤵
        
        PID:1840
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:1680
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:1248
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:1508
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:1548
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:1992
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:1264
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:1640
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:1136
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:1076
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:1840
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:1372
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:804
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:1252
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1764
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:1892
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:1476
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1256
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:1204
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:812
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:580
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:692
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:1208
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:1508
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:1688
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:624
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:1188
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:1516
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:892
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:1004
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1364
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:1576
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1488
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:1160
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:1536
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:2088
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:2164
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:2300
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:2448
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:2484
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:2624
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:2340
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:2840
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:3040
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:2372
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:928
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:2912
    - - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K move.bat
        5⤵
        
        PID:1148
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        6⤵
        
        PID:1676
      - C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        6⤵
        
        PID:1844
      - C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        6⤵
        
        PID:1836
      - C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        6⤵
        
        PID:1636
      - C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        6⤵
        
        PID:1668
      - C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        6⤵
        
        PID:1652
      - C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        6⤵
        
        PID:1892
      - C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        6⤵
        
        PID:1256
      - C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        6⤵
        
        PID:1252
      - C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        6⤵
        
        PID:1768
      - C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        6⤵
        
        PID:1264
      - C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        6⤵
        
        PID:1576
      - C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        6⤵
        
        PID:604
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:1548
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:2008
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:1356
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:1480
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:1636
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:520
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:1192
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:1528
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:580
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:1944
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:1508
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:1836
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:1824
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:520
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:2008
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:1372
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:268
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:804
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:1828
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:1636
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:1056
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:604
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:1800
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:1548
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:1992
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:932
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:1136
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:268
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:1840
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1636
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:812
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1524
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:1844
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:1548
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:1496
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:1004
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:1508
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:1028
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:696
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:1576
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:1800
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:1964
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:1588
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:1796
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:996
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:1400
      - C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        6⤵
        
        PID:1908
      - C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        6⤵
        
        PID:1524
      - C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        6⤵
        
        PID:624
      - C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        6⤵
        
        PID:1640
      - C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        6⤵
        
        PID:764
      - C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        6⤵
        
        PID:1680
      - C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        6⤵
        
        PID:1176
      - C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        6⤵
        
        PID:1656
      - C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        6⤵
        
        PID:1476
      - C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        6⤵
        
        PID:1248
      - C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        6⤵
        
        PID:868
      - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        6⤵
        
        PID:2044
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:1204
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:940
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:696
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1548
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:904
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1488
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1516
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1328
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:868
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:928
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:868
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:580
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1516
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1840
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1204
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1840
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1832
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:2104
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2124
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:2200
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:2244
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        7⤵
        
        PID:2292
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        Kills process with taskkill
        
        PID:2576
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:2088
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:2512
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:2948
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:2308
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:1832
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:2332
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2772
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:2828
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        6⤵
        
        PID:1496
      - C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        6⤵
        
        PID:1540
      - C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        6⤵
        
        PID:1188
      - C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        6⤵
        
        PID:1372
      - C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        6⤵
        
        PID:1908
      - C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        6⤵
        
        PID:1796
      - C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        6⤵
        
        PID:1540
      - C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        6⤵
        
        PID:1500
      - C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        6⤵
        
        PID:1576
      - C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        6⤵
        
        PID:1992
      - C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        6⤵
        
        PID:1488
      - C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        6⤵
        
        PID:1208
      - C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        6⤵
        
        PID:1484
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:1764
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:1636
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:604
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:1800
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:1836
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:1364
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:1708
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:1056
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:1564
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:1588
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:1188
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:1748
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:812
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:1536
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1748
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:1840
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1640
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:580
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:1516
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:624
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:1640
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:1252
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:2024
      - C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        6⤵
        
        PID:836
      - C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        6⤵
        
        PID:1248
      - C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        6⤵
        
        PID:804
      - C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        6⤵
        
        PID:1680
      - C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        6⤵
        
        PID:1364
      - C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        6⤵
        
        PID:836
      - C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        6⤵
        
        PID:1896
      - C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        6⤵
        
        PID:1384
      - C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        6⤵
        
        PID:1248
      - C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        6⤵
        
        PID:2024
      - C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        6⤵
        
        PID:2080
      - C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        6⤵
        
        PID:2208
      - C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        6⤵
        
        PID:2616
      - C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        6⤵
        
        PID:2468
      - C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        6⤵
        
        PID:2400
      - C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        6⤵
        
        PID:2372
      - C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        6⤵
        
        PID:2348
      - C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        6⤵
        
        PID:2832
      - C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        6⤵
        
        PID:3028
      - C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        6⤵
        
        PID:2184
      - C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        6⤵
        
        PID:2484
      - C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        6⤵
        
        PID:2320
      - C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        6⤵
        
        PID:2696
    - - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K C:\Users\Admin\Desktop\\Lol.bat
        5⤵
        
        PID:2020
      - C:\Windows\system32\shutdown.exe
        
        shutdown /s /t 20 /c "YOUR COMPUTER HAS BEEN WRECKED! HAVE FUN GOING TO MR. DABBONDANZA!!!"
        6⤵
        
        PID:1516
      - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K move.bat
        6⤵
        
        PID:1432
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:696
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1528
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1992
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1688
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1800
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1656
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:904
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1688
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1832
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:308
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1636
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1828
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1396
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1524
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:2012
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1708
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1796
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1536
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1524
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1252
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1584
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1596
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:696
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1256
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1916
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:308
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1828
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:1476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:1804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1204
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        7⤵
        
        PID:1528
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:1720
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:1892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        8⤵
        
        PID:1824
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        8⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        8⤵
        
        PID:1252
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        8⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        8⤵
        
        PID:1708
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        8⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        8⤵
        
        PID:1636
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        8⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        8⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        8⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        8⤵
        
        PID:1768
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        8⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        8⤵
        
        PID:1636
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        8⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        8⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        8⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        8⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        8⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        8⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        8⤵
        
        PID:1840
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        8⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        8⤵
        
        PID:1192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        8⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        8⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        8⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        8⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        8⤵
        
        PID:1836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        8⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        8⤵
        
        PID:1516
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        8⤵
        
        PID:1800
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        8⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        8⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        8⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        8⤵
        
        PID:892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        8⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        8⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        8⤵
        
        PID:868
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        8⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        8⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        8⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        8⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        8⤵
        
        PID:1548
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        8⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        8⤵
        
        PID:1248
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        8⤵
        
        PID:1488
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        8⤵
        
        PID:1256
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        8⤵
        
        PID:1804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        8⤵
        
        PID:904
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        8⤵
        
        PID:1516
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        8⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        8⤵
        
        PID:1548
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        8⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        8⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        8⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        8⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        8⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        8⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        8⤵
        
        PID:1764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:1548
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:1192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:1900
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        
        PID:1176
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        8⤵
        
        PID:1636
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        9⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        9⤵
        
        PID:2720
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        9⤵
        
        PID:3048
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        9⤵
        
        PID:2200
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        9⤵
        
        PID:2404
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        9⤵
        
        PID:2688
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:2824
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:3056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:2280
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:2436
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:2896
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1652
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:2044
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1488
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1808
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:940
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1004
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:940
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1800
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1536
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1808
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:580
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1824
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1248
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1500
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:904
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:940
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1536
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:580
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1808
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:580
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1500
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1496
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1004
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:696
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        Kills process with taskkill
        
        PID:1824
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        7⤵
        
        PID:1808
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:2816
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:3008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:2196
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:2452
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:2924
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        8⤵
        
        PID:2792
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:2136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:2216
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:2280
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:2420
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:2508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:2568
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:2592
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:2604
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:2476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:2360
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2332
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:2680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:3068
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:2168
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:2424
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:520
      - C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K move.bat
        6⤵
        
        PID:1560
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:1480
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1656
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:1824
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:1500
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1496
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:2012
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1612
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:868
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:996
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1396
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1528
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1676
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1612
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:1476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1208
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1396
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1800
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1160
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:928
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1584
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1768
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1992
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1496
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1156
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1688
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:300
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:904
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1156
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:2012
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:300
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:1584
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1536
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:604
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:2044
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:1364
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        7⤵
        
        PID:308
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        8⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        8⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        8⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        8⤵
        
        PID:1328
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        8⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        8⤵
        
        PID:604
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        8⤵
        
        PID:1992
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        8⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        8⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        8⤵
        
        PID:1328
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        8⤵
        
        PID:1252
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        8⤵
        
        PID:1548
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        8⤵
        
        PID:604
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        8⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        8⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        8⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        8⤵
        
        PID:904
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        8⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        8⤵
        
        PID:892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        8⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        8⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        8⤵
        
        PID:1056
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        8⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        8⤵
        
        PID:1908
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        8⤵
        
        PID:1536
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        8⤵
        
        PID:1668
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        8⤵
        
        PID:1256
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        8⤵
        
        PID:1248
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        8⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        8⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        8⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        8⤵
        
        PID:1400
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        8⤵
        
        PID:1116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        8⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        8⤵
        
        PID:1640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        8⤵
        
        PID:1708
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        8⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        8⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        8⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        8⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        8⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        8⤵
        
        PID:928
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        8⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        8⤵
        
        PID:1892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        8⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        8⤵
        
        PID:1708
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        8⤵
        
        PID:1836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        8⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        8⤵
        
        PID:1796
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        8⤵
        
        PID:1204
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        8⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        8⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        8⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        8⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        8⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        8⤵
        
        PID:1840
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        8⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        8⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:1764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:1680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:1840
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:1796
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        Kills process with taskkill
        
        PID:696
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        8⤵
        
        PID:1708
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        9⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        9⤵
        
        PID:2692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        9⤵
        
        PID:2996
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        9⤵
        
        PID:2216
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        9⤵
        
        PID:2340
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        9⤵
        
        PID:2744
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        9⤵
        
        PID:2960
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        9⤵
        
        PID:3004
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:2728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:2916
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:2172
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:2416
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:1208
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:2936
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        8⤵
        
        PID:2680
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:1596
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1076
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1844
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:1264
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1748
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1892
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:1372
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1488
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1992
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:1176
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1688
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1800
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:1708
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1484
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:1588
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1208
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:1384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1596
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:692
        
        C:\Windows\system32\mode.com
        
        mode con: cols=100 lines=10
        7⤵
        
        PID:1840
        
        C:\Windows\system32\mode.com
        
        mode con: cols=97 lines=10
        7⤵
        
        PID:1596
        
        C:\Windows\system32\mode.com
        
        mode con: cols=94 lines=10
        7⤵
        
        PID:520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=91 lines=10
        7⤵
        
        PID:1804
        
        C:\Windows\system32\mode.com
        
        mode con: cols=88 lines=10
        7⤵
        
        PID:1796
        
        C:\Windows\system32\mode.com
        
        mode con: cols=85 lines=10
        7⤵
        
        PID:1564
        
        C:\Windows\system32\mode.com
        
        mode con: cols=82 lines=10
        7⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=79 lines=10
        7⤵
        
        PID:868
        
        C:\Windows\system32\mode.com
        
        mode con: cols=76 lines=10
        7⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=73 lines=10
        7⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=70 lines=10
        7⤵
        
        PID:812
        
        C:\Windows\system32\mode.com
        
        mode con: cols=67 lines=10
        7⤵
        
        PID:268
        
        C:\Windows\system32\mode.com
        
        mode con: cols=64 lines=10
        7⤵
        
        PID:836
        
        C:\Windows\system32\mode.com
        
        mode con: cols=61 lines=10
        7⤵
        
        PID:1136
        
        C:\Windows\system32\mode.com
        
        mode con: cols=58 lines=10
        7⤵
        
        PID:1516
        
        C:\Windows\system32\mode.com
        
        mode con: cols=55 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=52 lines=10
        7⤵
        
        PID:1496
        
        C:\Windows\system32\mode.com
        
        mode con: cols=46 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:1508
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:624
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:1208
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:1028
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:1204
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:1476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:1328
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:1728
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:1932
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:1944
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:1188
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2024
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:1900
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1544
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:1896
        
        C:\Windows\system32\cmd.exe
        
        C:\Windows\system32\cmd.exe /K Move.bat
        7⤵
        
        PID:1836
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        8⤵
        Kills process with taskkill
        
        PID:1540
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        8⤵
        
        PID:2656
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        8⤵
        
        PID:2864
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        8⤵
        
        PID:3016
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        8⤵
        
        PID:2144
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        8⤵
        
        PID:2652
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        8⤵
        
        PID:1484
        
        C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe
        7⤵
        
        PID:2008
        
        C:\Windows\system32\mode.com
        
        mode con: cols=50 lines=10
        7⤵
        
        PID:1576
        
        C:\Windows\system32\mode.com
        
        mode con: cols=1 lines=10
        7⤵
        
        PID:1364
        
        C:\Windows\system32\mode.com
        
        mode con: cols=4 lines=10
        7⤵
        
        PID:2052
        
        C:\Windows\system32\mode.com
        
        mode con: cols=7 lines=10
        7⤵
        
        PID:2116
        
        C:\Windows\system32\mode.com
        
        mode con: cols=10 lines=10
        7⤵
        
        PID:2192
        
        C:\Windows\system32\mode.com
        
        mode con: cols=13 lines=10
        7⤵
        
        PID:2228
        
        C:\Windows\system32\mode.com
        
        mode con: cols=16 lines=10
        7⤵
        
        PID:2272
        
        C:\Windows\system32\mode.com
        
        mode con: cols=19 lines=10
        7⤵
        
        PID:2384
        
        C:\Windows\system32\mode.com
        
        mode con: cols=22 lines=10
        7⤵
        
        PID:2436
        
        C:\Windows\system32\mode.com
        
        mode con: cols=25 lines=10
        7⤵
        
        PID:2520
        
        C:\Windows\system32\mode.com
        
        mode con: cols=31 lines=10
        7⤵
        
        PID:2640
        
        C:\Windows\system32\mode.com
        
        mode con: cols=28 lines=10
        7⤵
        
        PID:2556
        
        C:\Windows\system32\mode.com
        
        mode con: cols=34 lines=10
        7⤵
        
        PID:2952
        
        C:\Windows\system32\mode.com
        
        mode con: cols=37 lines=10
        7⤵
        
        PID:2120
        
        C:\Windows\system32\mode.com
        
        mode con: cols=40 lines=10
        7⤵
        
        PID:2476
        
        C:\Windows\system32\mode.com
        
        mode con: cols=43 lines=10
        7⤵
        
        PID:2764
        
        C:\Windows\system32\mode.com
        
        mode con: cols=49 lines=10
        7⤵
        
        PID:2840
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1484
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1944
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:268
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1508
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1932
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:804
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1836
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1204
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1808
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1176
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1156
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1916
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1548
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1136
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1540
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1056
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1256
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:692
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:812
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1852
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:892
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1508
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1836
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1500
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1252
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1356
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1840
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1248
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1192
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1764
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1476
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1832
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1840
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1768
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1248
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1004
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1548
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1708
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:868
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1540
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1728
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1496
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1564
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:940
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1364
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:268
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1832
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1992
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1192
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1548
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1536
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1544
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:1028
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:2144
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:2316
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:2736
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:2856
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        
        PID:2076
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:2356
      - C:\Windows\system32\taskkill.exe
        
        taskkill /f /im explorer.exe /f
        6⤵
        Kills process with taskkill
        
        PID:1840

C:\Windows\system32\conhost.exe
\??\C:\Windows\system32\conhost.exe "6661456388214539-13136109341369060972-1579502731-11828702521916042794-1310328634"
1⤵
- Sets desktop wallpaper using registry
PID:1356

Network

MITRE ATT&CK Enterprise v6

Initial Access

Execution

Persistence

Hidden Files and Directories

T1158

Privilege Escalation

Defense Evasion

Hidden Files and Directories

T1158

Modify Registry

T1112

Credential Access

Discovery

Remote System Discovery

T1018

System Information Discovery

T1082

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Defacement

T1491

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Wall.bat

Filesize
4KB

MD5
5b0e787a10b96509bb38c60ed9dd530b

SHA1
a3c370eb91992fc091b780de3f996b3f1bedc46f

SHA256
b21f185108ba1b391c6149d6cc4ba1c5f127ce14c0bebd3e392c0b40ce189f32

SHA512
9f080fcbb8ed2ddaae3abcda2c2455edd7ea102dacb8e1375a08f12bdaf05633117dff6ff18bcd080892328704106b8aafdaf1b201d57cf5f5a8c5be5b12b1c2

Download Submit
C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Wall.bat

Filesize
4KB

MD5
5b0e787a10b96509bb38c60ed9dd530b

SHA1
a3c370eb91992fc091b780de3f996b3f1bedc46f

SHA256
b21f185108ba1b391c6149d6cc4ba1c5f127ce14c0bebd3e392c0b40ce189f32

SHA512
9f080fcbb8ed2ddaae3abcda2c2455edd7ea102dacb8e1375a08f12bdaf05633117dff6ff18bcd080892328704106b8aafdaf1b201d57cf5f5a8c5be5b12b1c2

Download Submit
C:\Users\Admin\Desktop\29263

Filesize
3B

MD5
bc949ea893a9384070c31f083ccefd26

SHA1
cbb8391cb65c20e2c05a2f29211e55c49939c3db

SHA256
6bdf66b5bf2a44e658bea2ee86695ab150a06e600bf67cd5cce245ad54962c61

SHA512
e4288e71070485637ec5825f510a7daa7e75ef6c71a1b755f51e1b0f2e58e5066837f58408ea74d75db42c49372c6027d433a869904fc5efaf4876dfcfde1287

Download Submit
C:\Users\Admin\Desktop\Lol.bat

Filesize
1KB

MD5
e1438b84ac0a6cfcadcfae251ea2e450

SHA1
9d32c97bcccae59b1066105ef401ddffb28623b3

SHA256
b8bb80417720dc3fdbc7e66f70d519ea0f72e55b6dc3523d11a889eb7a4ede9b

SHA512
85c78df58c3dcc24b67ac6145396cfe7c775fb6a6c0f367ee4e4ea754bfc12f1b1d3be47dc51a0ba9730fef427eb0190bac235d12d25593fd6765e529132907e

Download Submit
C:\Users\Admin\Desktop\Privacy.bat

Filesize
133B

MD5
db77fbbce6b06dc83c4ae97cba004c94

SHA1
d04a8dd33206183b707e1c1eb19a35d9ac838781

SHA256
a9a8e4cf1940fab8f7751b883245dd69964f498f1bd908c46c65702e58ac6729

SHA512
86de382edcefa451ce0720dfc1ae1d91c5347b8c7f7157a859c3cfe6d1127fecd852121da0c53da10c3168e28d40bbcab2fdf1fc258eb0dd370c34965e12f31f

Download Submit
C:\Users\Admin\Desktop\Wall.bat

Filesize
4KB

MD5
5b0e787a10b96509bb38c60ed9dd530b

SHA1
a3c370eb91992fc091b780de3f996b3f1bedc46f

SHA256
b21f185108ba1b391c6149d6cc4ba1c5f127ce14c0bebd3e392c0b40ce189f32

SHA512
9f080fcbb8ed2ddaae3abcda2c2455edd7ea102dacb8e1375a08f12bdaf05633117dff6ff18bcd080892328704106b8aafdaf1b201d57cf5f5a8c5be5b12b1c2

Download Submit
C:\Users\Admin\Desktop\Wallpaper.vbs

Filesize
391B

MD5
84ffa5f4184d7e7f6609025925c77493

SHA1
1795e11011e78a847ca4fccdba0cf66c323a7d8e

SHA256
d9ae8fd4cfc47915c428d7f1660b372b6ded3ab9a44abfab09bb561bbe3c6243

SHA512
7014c91ed8c1d4a7aa8ab57e628284ba08a35d07b2e41b9c855debd29c36e3fbc8edb7653ce16063c8b4400d523e5388e4184ceec30733f7891081a5730a5822

Download Submit
C:\Users\Admin\Desktop\Wallpaper.vbs

Filesize
391B

MD5
84ffa5f4184d7e7f6609025925c77493

SHA1
1795e11011e78a847ca4fccdba0cf66c323a7d8e

SHA256
d9ae8fd4cfc47915c428d7f1660b372b6ded3ab9a44abfab09bb561bbe3c6243

SHA512
7014c91ed8c1d4a7aa8ab57e628284ba08a35d07b2e41b9c855debd29c36e3fbc8edb7653ce16063c8b4400d523e5388e4184ceec30733f7891081a5730a5822

Download Submit
C:\Users\Admin\Desktop\file1

Filesize
4B

MD5
94d19f5b3cfa8beeb416456ccfb09bbd

SHA1
5a4459a77da61c64a4c09920992e89c992e36c3d

SHA256
92213166b606712b238db29140eaaac87be277b693b020226bd5bc78478838d5

SHA512
e79aaa22523825b4d1162b6c10b73a571f87e08b350abef83a2261073aa85f98d5ff80abb8b98cb9dec8c3a9aae7cc9faa344fa7a676188db6c51650700cf00b

Download Submit
C:\Users\Admin\Desktop\file2

Filesize
4B

MD5
94d19f5b3cfa8beeb416456ccfb09bbd

SHA1
5a4459a77da61c64a4c09920992e89c992e36c3d

SHA256
92213166b606712b238db29140eaaac87be277b693b020226bd5bc78478838d5

SHA512
e79aaa22523825b4d1162b6c10b73a571f87e08b350abef83a2261073aa85f98d5ff80abb8b98cb9dec8c3a9aae7cc9faa344fa7a676188db6c51650700cf00b

Download Submit
C:\Users\Admin\Desktop\file3

Filesize
4B

MD5
94d19f5b3cfa8beeb416456ccfb09bbd

SHA1
5a4459a77da61c64a4c09920992e89c992e36c3d

SHA256
92213166b606712b238db29140eaaac87be277b693b020226bd5bc78478838d5

SHA512
e79aaa22523825b4d1162b6c10b73a571f87e08b350abef83a2261073aa85f98d5ff80abb8b98cb9dec8c3a9aae7cc9faa344fa7a676188db6c51650700cf00b

Download Submit
C:\Users\Admin\Desktop\file4

Filesize
3B

MD5
bc949ea893a9384070c31f083ccefd26

SHA1
cbb8391cb65c20e2c05a2f29211e55c49939c3db

SHA256
6bdf66b5bf2a44e658bea2ee86695ab150a06e600bf67cd5cce245ad54962c61

SHA512
e4288e71070485637ec5825f510a7daa7e75ef6c71a1b755f51e1b0f2e58e5066837f58408ea74d75db42c49372c6027d433a869904fc5efaf4876dfcfde1287

Download Submit
C:\Users\Admin\Desktop\move.bat

Filesize
284B

MD5
71e4ff8764b9b68683447aa6ec3dce23

SHA1
a875a7b199a59fb4f8f35e005e3f1e5c789331ab

SHA256
85d8bba106f4cc807250b32e23010f729dc2a7b168435b4e4f2e6765cf4b291a

SHA512
e1bd500242cf02d0316bc84843a985b51939a642936a02fde038b6e2813ecae200cf000d980610f3950b372a2a9bab310ab2ca0c74f5c7cf5f2c6b750f5e0593

Download Submit
memory/1748-1965-0x0000000002820000-0x0000000002821000-memory.dmp

Filesize
4KB

Download
memory/1804-78-0x000000000248B000-0x00000000024C2000-memory.dmp

Filesize
220KB

Download
memory/1804-75-0x0000000002410000-0x0000000002418000-memory.dmp

Filesize
32KB

Download
memory/1804-76-0x0000000002480000-0x0000000002500000-memory.dmp

Filesize
512KB

Download
memory/1804-77-0x0000000002480000-0x0000000002500000-memory.dmp

Filesize
512KB

Download
memory/1804-74-0x000000001AFB0000-0x000000001B292000-memory.dmp

Filesize
2.9MB

Download
memory/2816-1067-0x0000000002980000-0x0000000002981000-memory.dmp

Filesize
4KB

Download

Analysis

Sharing

Errors

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v6

Replay Monitor

Loading Replay Monitor...

Downloads