Analysis

  • max time kernel
    1795s
  • max time network
    1801s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20231130-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20231130-enlocale:en-usos:windows10-2004-x64system
  • submitted
    02-12-2023 17:30

General

  • Target

    W-DAX-main/D WAX.exe

  • Size

    220KB

  • MD5

    72b51e28589fbeac9400380dddedb79a

  • SHA1

    4d14ab35e4425a8b1b1b655c2178b0ea2522e7f0

  • SHA256

    6ca01f81cc92345981212659aa05d5595a45e96a1f4a6f8678d21f1d24c96aa0

  • SHA512

    31cdc53b75d92b258ff5c160224e6212228d5ab42d5ed6b7e976439c0bd97cf444687079b95810e88c3ef36aa9670e4089578cf102baa37cc2f91d1dbe658cca

  • SSDEEP

    6144:w9/COjX6BAs8WN7wwZV/pt2qFnM/pte63AX:wVvXK8WNzfptHEptpM

Malware Config

Extracted

Family

xworm

Version

3.0

C2

16.ip.gl.ply.gg:59539

Attributes
  • Install_directory

    %AppData%

  • install_file

    USB.exe

Extracted

Path

C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

Ransom Note
MZ��������������������@������������������������������������������ �!�L�!This program cannot be run in DOS mode. $�������PE��L�\�������������"� P�����������־�� �������@�� ������������������������������`�������������������������������O���������������������������� ���H�8�������������������������������������������� ������������� ��H�����������.text���ܞ�� �������������������� ��`.rsrc���������������������������@��@.reloc�� ������������������������@��B�����������������������H������L��PL����0��ؘ���$�����������������������������������������(�� *&�(�� �*�s�� ���s �� ���s!�� ���s"�� ���*0�������~��o#�� +�*0�������~��o$�� +�*0�������~��o%�� +�*0�������~��o&�� +�*0�<������~��('�� ,!r��p���((�� o)�� s*�� �����~�� +�*0� ������~�� +�*"����*0�&������(��r��p~��o+�� (,�� t"�� +�*����r��ps%�����r'��p� ��~1��� ��s-�� � ��*(.�� *0���������(/��  +K� ~ ��o0�� � ,/~��rA��p(1�� o'���~ ��o2�� �~ ��(������� �i�-�(3�� +�(������i�-��"%(4��  �~�� o5�� o*���(6�� ���*���������"$��0���������(/��  +O� (�� ,;~��r[��p(1�� o'���o7�� ~ ��o7�� �o8�� ~ ��(������� �i�-�(3�� +�(������i�-��"%(4��  �~�� o5�� o*���(6�� ���*���������"$��0�P��� ���~ ��o0�� ,9o7�� ~ ��o7�� �~ ��o7�� o8�� ~ ��(9�� � , +��� +�*0���� ��� �W�� s:��  o;�� � �   1�o<�� �~ ��(1�� s=�� (>�� o?�� s@��  ���oA�� � ����oB�� �oC�� �  P���sD�� oE�� [oF�� oG�� �oH�� [oF�� oI�� �oJ�� ��ioK�� �oL�� sM�� s=��  ����W����ioN��  + oO�� ��ioN��  � �  -�oP�� ��"%(4��  �~�� o5�� o*���(6�� ���:�~��ru��p(1�� o(���~��ր��oP�� �oP�� �(Q�� ���*�������F3"$�����jW:����0���� ���(>�� o?��  �W�� s=�� �ioN�� &s@�� ���oA�� � ����oB�� � P���sD��   oE�� [oF�� oG�� �  oH�� [oF�� oI�� � oC�� � oJ�� � oR�� sM�� s=��  ����W����ioS�� +oK�� ��ioS�� ��  -��N%(4��  �~��r���p o5�� (1�� o*���(6�� �"%(4��  �~�� o5�� o*���(6�� ����oP�� �~��r���p(1�� o(����,%(4��  �~��r���p o5�� (1�� o*���(6�� ����oP�� �oP�� ���*4������>��,*������>"$����B!c,$���BO�����0�O��������(T�� ����sU�� (V�� �}��}��}��~0��sB��}��}��(���*�0����� ���sW�� } ��{ ��#�����@�@oX�� �{ �����sY�� oZ�� �{ ��o[�� �{$��r�po\�� �~ ��o]�� +-�(^�� {$��% o_�� r!�pr9�p(`�� o\�� ���(a�� -������o�� ��*������V�G������J�ob�� �oc�� �*�0����� ���(�� 9����{��~ ��o\�� �{"��r?�pod�� �{"��(e�� of�� �{!��r�po\�� �{��r�pod�� �{%��#'*(g�� oh�� �{��ri�po\�� �{ ��oi�� ���*��0��������{!��o_�� ~ ��(9�� � ,q{��r�poC���r��pr��p@(j�� &~ ��� ��{$��r �po\�� �(k�� (l�� �(3���(m�� (l�� �ru�pr��p@(j�� &�+�rX�pr��p(j�� &�*�0������~0��sB�� { ��o_�� ~n�� (o�� �rp�po0�� 9����r��po0�� ,#r��pop�� �oq�� (o�� ��+-�r��pop�� �oq�� r��pr��p@(j�� &� (-��,+r��poC���oC���r�pr��p@(j�� & +I�r�poC���rY�pr��p(j�� &��+!�r�poC���ru�pr��p(j�� &� +�*V�� ��sr�� (s�� &*��0�+��� ���, {���+ , {��o�� ���(t�� �*�0����������((�� su�� sv�� }��sw�� }��sx�� }��sw�� }��sw�� }��sy�� }��sy�� }��sw�� }��sz�� o���sw�� }��sx�� }��sw�� }��sz�� o���sx�� } ��sx�� }!��sw�� }"��sw�� }#��sx�� }$��sy�� }%��sw�� }&��{��o{�� �{%��o{�� �({�� �{��o|�� �{��r �p"���As}�� o~�� �{��(�� of�� �{�� ���� s��� o��� �{��r0 �po��� �{�� ����%s��� o��� �{��o��� �{��r> �pod�� �{��#'*(g�� o��� �{��o��� �{��rV �p"��As}�� o~�� �{��(��� o��� �{�� ��� ����s��� o��� �{��o��� �{��rh �po��� �{��o��� �{��o��� �{�� r�� !��s��� o��� �{��o��� �{��o��� �{��rz �po��� o\�� �{��o|�� �{��rV �p"��dAs}�� o~�� �{��(��� of�� �{�� )��`s��� o��� �{��r� �po��� �{��+s��� o��� �{��o��� �{��r� �pod�� �{��o|�� �{��rV �p"��dAs}�� o~�� �{��(��� of�� �{��`s��� o��� �{��r� �po��� �{�� ����s��� o��� �{��o��� �{��r� �pod�� �{��#'*(g�� oh�� �{��(��� of�� �{���s��� o��� �{��r� �po��� �{�� '�� s��� o��� �{��o��� �{��#'*(g�� oh�� �{��o��� {��o��� �{��(��� of�� �{��Ws��� o��� �{��r� �po��� �{�� e��Cs��� o��� �{��o��� �{��o|�� �{��rV �p"���As}�� o~�� �{��(��� of�� �{��T ���s��� o��� �{��r� �po��� �{��|s��� o��� �{�� o��� �{��r �pod�� �o��(��� o��� �o��o��� �o�� �� ��s��� o��� �o��r2 �po��� �o��Ks��� o��� �o�� o��� �o��rB �po��� �o��o��� �{��o|�� �{��rV �p"���As}�� o~�� �{��(��� of�� �{�� ���� A��s��� o��� �{��rR �po��� �{��-s��� o��� �{�� o��� �{��r` �pod�� �{��#'*(g�� o��� �{��o��� �{��(��� o��� �{�� �� ?��s��� o��� �{��rp �po��� �{��o��� �{�� ����s��� o��� �{�� o��� �{��o��� �{��o|�� �{��rV �p"�� As}�� o~�� �{��(��� of�� �{�� *�� ���s��� o��� �{��r� �po��� �{��ns��� o��� �{�� o��� �{��r� �pod�� �o��(��� o��� �o��o��� �o�� ��� ��s��� o��� �o��r� �po��� �o��Ks��� o��� �o��o��� �o��r� �po��� �o��o��� �{ ��#'*(g�� o��� �{ ��o��� �{ ��(��� o��� �{ ��1 ��s��� o��� �{ ��r� �po��� �{ �� ����s��� o��� �{ ��o��� �{ ��o��� �{ ��r� �po\�� �{!��#'*(g�� o��� �{!��o��� �{!��(��� o��� �{!�� ��� ��s��� o��� �{!��r� �po��� �{!�� ����s��� o��� �{!��o��� �{!��o��� �{!��r �po\�� �{"��o|�� �{"��rV �p"���As}�� o~�� �{"��(��� of�� �{"�� 7�� A��s��� o��� �{"��r2 �po��� �{"�� ����s��� o��� �{"��o��� �{"��r@ �pod�� �{#��o|�� �{#��rV �p"�� As}�� o~�� �{#��(��� of�� �{#�� ���� I��s��� o��� �{#��r� �po��� �{#��s��� o��� �{#��o��� �{#��r� �pod�� �{$��#'*(g�� o��� �{$��o��� �{$��rV �p"ff�@s}�� o~�� �{$��(��� o��� �{$��# l��s��� o��� �{$��o��� �{$��r� �po��� �{$��o��� �{$��o��� �{$�� [��;s��� o��� �{$��o��� �{$��o��� �{%��(��� oh�� �{%��o��� {&��o��� �{%��# ����s��� o��� �{%��r� �po��� �{%�� [�� ����s��� o��� �{%��o��� �{&��o|�� �{&��r �p"��HBs}�� o~�� �{&��(��� of�� �{&��/s��� o��� �{&��r� �po��� �{&�� $��Ls��� o��� �{&��o��� �{&��r� �pod�� �"���@"��PAs��� (��� �(��� �,/3(g�� o��� � �� X��s��� (��� �(��� �(��� {%��o��� �(��� {$��o��� �(��� {#��o��� �(��� {!��o��� �(��� {"��o��� �(��� o��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� o��o��� �(��� {��o��� �(��� { ��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� {��o��� �(��� of�� �(��� �r� �p(��� �(��� �r� �po��� �{��o��� �{��o��� �{%��o��� �{%��o��� �(��� �(��� �*&{��+�*0�7��������sU�� {�� ,o��� }��{�� ,o��� *&{��+�*���0�7��������sU�� {�� ,o��� }��{�� ,o��� *�0��������{��� ,N;}��{��� ,';}��{��� ,|��% J�T���+�|��% J�T��+�|��% J�T�{��-{��- {���+,��{&��r� �p|��(��� 0o��� |��(��� 0o��� |��(��� 0o��� (��� od�� �*.s-�� �'��*(.�� *�0��������(��� (��� ~'��r �p(1�� o2�� �~'��r$ �p(1�� o2�� �~'��rB �p(1�� o2�� �~'��rZ �p(1�� o2�� �~'��r� �p(1�� o2�� �~'��r� �p(1�� o2�� �~'��r6 �p(1�� o2�� �*0�h�����(#���s-�� ~'��o]�� 8$��(^�� (��� 9 �� r� �p(1�� s��� r� �po��� 8�����  o��� o���   r� �p(��� o���  + o��� t?��  o��� o2�� �� o���   -�� uI��,  uI��o�� ��� r� �p(��� o��� +o��� t?��o��� o2�� ��o��� -��uI��, uI��o�� �����i�:"������(a�� :��������o�� �� +�*AL�����u���A���������������������A��������������� ���F��S�����������(.�� �(��� }(��r�p})��}*��}+��*0�S�����{+��� ,a�{(��{)��(1�� (��� r0�p(��� rF�p(��� (��� (1�� o��� � o��� �� �,o�� ���8����{+���,;r0�p(��� rF�p(��� (��� (1�� (��� � (��� ��8������{(��{)��(1�� (��� r0�p(��� rF�p(��� (��� (1�� o��� � o��� ���,o�� ��r0�p(��� rF�p(��� (��� (1�� (��� � (��� ��*����&�7]� �������;����0�)��� ���{*��r��p(9�� � ,r��p(&�����*���0�P������{*��r��p(9�� � ,r\�p(&����+&{*��r\�p(9�� � ,r\�p(&����*0�)��� ���{*��rf�p(9�� � ,rr�p(&�����*>�rf�p(&���*Fr��ps%���,��*(.�� *�0�Z�������s��� r��p(��� ~,��o'���o��� o��� o��� �����, �� � �,o�� ��*������DL� ����0�W�������(��� �-��(��� �.��'(��� �/��rU�p�0��rJ�p�1��r��ps%���2��~0��sB���3��*(.�� *�0�O��� ���(7�� ,s��(��� ��+6�(6���(4���(1���(2���(8��� p��(��� �s��(��� ��*�0��������~2��rR�po'���($�� r�p o]�� +(^�� rj�p(��� �(a�� -�����o�� ��(o�� �(<�� (;�� (=��~0��sB��rn�poC���rY�p~1��(��� oC���r��poC���*�������1N�����0��������~3��r��poC���~<��,~<��+~;���O��s��� %�<��s��� ~=��,~=��+~;���P��s��� %�=��s��� ~>��,~>��+~;���Q��s��� %�>��s��� o��� �o��� �o��� �o��� �o��� �o��� �~3��r�p~ ��o��� ����(��� oC���(A���*0��������~?��,~?��+~;���R��s��� %�?��s��� ~@��,~@��+~;���S��s��� %�@��s��� ~A��,~A��+~;���T��s��� %�A��s��� o��� �o��� �o��� �o��� �o��� �o��� �*��0���������(��� o��� r��p(1�� (��� (1�� (o�� ��~��� r��po��� r �pr�pr�p(��� o��� �� �,o�� ��� %(4�� �~2�� o5�� o*���(6�� ���*�����<�Z� �������gh� $��0�M������r�pr �p����(��� � ,.�~��� r��po��� r �po��� �� �,o�� ����*������/�>� ����0�d�������(��� o��� r��p(1�� (��� (��� (��� (1�� (��� �(��� (o�� �� %(4�� �~2��o5�� o'���(6�� ���*�����AB� $��0�#������r�pr �p(��� � , +� +�*�0�;������(��� r��p(1�� (o�� ��s��� ~1��o��� �� �,o�� ��*���� �.� ����Fr��ps%���4��*(.�� *��0�m������~n�� ��r��psU�� r��poW�� ����% �o��� � � �,o�� ���"%(4�� �~4��o5�� o*���(6�� ��� +�*�������"6� �������=D�"$��0�3������s-�� r��p(��� r�p(��� o2�� � o2�� � +�*�0�n��� ���~n�� ��s��� r!�po��� o��� o��� o��� o��� � �,o�� ���"%(4�� �~4��o5�� o*���(6�� ��� +�*������(7� �������>E�"$��R�5���6���7��*(.�� *���0�F���!���(��� rM�p(1�� �8��( ��~8��o��� �~5��~8��~6��~7��`(@��&*B�(.�� �}9��*�0�}���"���s��� %rk�po��� �%r{�pr��po��� �%r��pr��po��� � ��s��� {9��s��� o��� o��� (��� &� �,o�� ��� (4�� �(6�� ���*������>�"`� ������6�8n� $��0���� ���(,�� (��� +�*��0� ���#���(��� +�*0����$������((�� +�*0� ���!���(��� +�*0����%���� ��� ,(��+ +� +�*&�� ��*&�(.�� �*���0�&���&���~��� � ��� , (��+���� ~��� +�*&�(.�� �*(.�� *.sM���;��*6�~.��(���*6�~/��(���*6�~-��(���*6�~.��(���*6�~/��(���*6�~-��(���*0�����'���(.�� �s��� }B��s��� }D��~n�� }E��s��� o��� �o��� �o��� �o��� �o��� �{B���X��s��� o��� �{B��o��� �{B��o��� &{B��o��� }C��{B��o��� �*��{B��o��� �{B��o��� �{C��o��� �{C��o��� �*��0�A���!���~n�� }E��{C��o��� �{C��r�po��� �{D��o��� &{E�� +�*���0�Q���(���o��� ,o��� r�p(9�� �+ ,{D��o��� &�+�|E��% Po��� (��� (��� Q�*���BSJB������ ���v4.0.30319�����l��� ��#~��������#Strings����T.�� ��#US�tC�����#GUID����C�����#Blob���������W� ����3�������������E���X���-����������H���(������ ��� ��������� ��������������������������3 ������ �v ��O������ ��� ��� �] � �) � �B � �I� ����O���� �d� �r� �� �� ����vb�}O���1��x� �?�����@� �4� � �] ��O��.�*n ��F ������ � ��g�z �g��g�� g�� g�� i �� � �� � i�=i�/ i��O��O�� �i�� �������i ��� �� ��� �j �! ��� �l ��O ��� ���o�*����!� ��� �[��� ��� �CO��� �YO ��O�>������� ��� ���� � � �u��$��� � �g�X �� ��� g�ag�~g�� g�� �mg�S  ����� i � ��F �k i�#i��i��i�) i�i��i�]� �� � ��� ��F ��F ��F ��F �� F ��i�}i�F ��i�� ����i��i��F �b i�Ji�yi�� i�)� �� h����  �� �� � ��� �.��U i�� ���� � �\ ��� �w���F �a��a���/��� ��O �3 � � � � ���������������S EM�������tEQ�����Ea������B?a������~Ja�� ������J�� ������Ja�'�!������Ja�(�%����xJa�,�+����� Ja�-�.����?Ja�4�9����%Ja�5�>������ Ja�9�B������a�:�D���v���a�:�K�!��9��a�;�M�������a�B�U�1�1b1�j1�r1�Jz�� ��r������ ��8 3��3��3�U ������ ��� ��e�� ��U��������������K��z������R������������������h��q�����������������-������. 3��3�� 3�E��� ���3�K3��3� 3��3�� �� ��� �����������3�43�� $6�������5����������K�����.�� ����Y3P ����"��X ����"��b ����(���� ����g��� ����C ��� ����/��� �������� ����}��D!����Z��[!����f��d!����s ��!����(����!����"���!������z��"������z��#�����P$��#�����76��%�����+ ��'����"� ��'������ ��(�����*  ��(������ �h)������ �*��������D+������!�\+���������+�����)��N:����A ��)�X:�� �A ��/��:����A Y)��:�� �A e/��:��������;����(����;����"���;������ ����<������6�d>����"?��>�������@�����f ��H@�����s���@������ ���@������

Signatures

  • Detect Xworm Payload 4 IoCs
  • Nitro

    A ransomware that demands Discord nitro gift codes to decrypt files.

  • Xworm

    Xworm is a remote access trojan written in C#.

  • Renames multiple (95) files with added filename extension

    This suggests ransomware activity of encrypting all the files on the system.

  • Checks computer location settings 2 TTPs 1 IoCs

    Looks up country code configured in the registry, likely geofence.

  • Drops startup file 2 IoCs
  • Executes dropped EXE 2 IoCs
  • Reads user/profile data of web browsers 2 TTPs

    Infostealers often target stored browser data, which can include saved credentials etc.

  • Adds Run key to start application 2 TTPs 2 IoCs
  • Drops desktop.ini file(s) 5 IoCs
  • Legitimate hosting services abused for malware hosting/C2 1 TTPs
  • Looks up external IP address via web service 1 IoCs

    Uses a legitimate IP lookup service to find the infected system's external IP.

  • Sets desktop wallpaper using registry 2 TTPs 1 IoCs
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Program crash 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 2 IoCs
  • Suspicious use of AdjustPrivilegeToken 45 IoCs
  • Suspicious use of WriteProcessMemory 11 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\W-DAX-main\D WAX.exe
    "C:\Users\Admin\AppData\Local\Temp\W-DAX-main\D WAX.exe"
    1⤵
    • Checks computer location settings
    • Adds Run key to start application
    • Suspicious use of WriteProcessMemory
    PID:1244
    • C:\Users\Admin\AppData\Local\Temp\SECURITY AVAST.exe
      "C:\Users\Admin\AppData\Local\Temp\SECURITY AVAST.exe"
      2⤵
      • Drops startup file
      • Executes dropped EXE
      • Suspicious use of AdjustPrivilegeToken
      PID:4304
    • C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe
      "C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe"
      2⤵
      • Executes dropped EXE
      • Adds Run key to start application
      • Drops desktop.ini file(s)
      • Sets desktop wallpaper using registry
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of WriteProcessMemory
      PID:1400
      • C:\Windows\SysWOW64\cmd.exe
        "cmd.exe"
        3⤵
        • Suspicious use of WriteProcessMemory
        PID:1464
        • C:\Windows\SysWOW64\Wbem\WMIC.exe
          wmic csproduct get uuid
          4⤵
          • Suspicious use of AdjustPrivilegeToken
          PID:3948
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1400 -s 1028
        3⤵
        • Program crash
        PID:3188
      • C:\Windows\SysWOW64\WerFault.exe
        C:\Windows\SysWOW64\WerFault.exe -u -p 1400 -s 1732
        3⤵
        • Program crash
        PID:2624
  • C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -pss -s 412 -p 1400 -ip 1400
    1⤵
      PID:4296
    • C:\Windows\SysWOW64\WerFault.exe
      C:\Windows\SysWOW64\WerFault.exe -pss -s 528 -p 1400 -ip 1400
      1⤵
        PID:4380

      Network

      MITRE ATT&CK Enterprise v15

      Replay Monitor

      Loading Replay Monitor...

      Downloads

      • C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

        Filesize

        106KB

        MD5

        9d45fedb0c67a1c04a89edb3ee707d44

        SHA1

        7773d0e37a0c478191f11e57b338a7a780001a3a

        SHA256

        7019f42701a888986b9dda599f0e8a6d21a762d409f539a05345778e39de7865

        SHA512

        88f99051e5023846d6cb1886031e6f390ac8c04b4f60ba1433edadb3239d23b8a817e20b06d6135a700b85d23ce8885714a8349d2f1c980a93b55a638262c7d6

      • C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

        Filesize

        106KB

        MD5

        9d45fedb0c67a1c04a89edb3ee707d44

        SHA1

        7773d0e37a0c478191f11e57b338a7a780001a3a

        SHA256

        7019f42701a888986b9dda599f0e8a6d21a762d409f539a05345778e39de7865

        SHA512

        88f99051e5023846d6cb1886031e6f390ac8c04b4f60ba1433edadb3239d23b8a817e20b06d6135a700b85d23ce8885714a8349d2f1c980a93b55a638262c7d6

      • C:\Users\Admin\AppData\Local\Temp\NitroRansomware.exe

        Filesize

        106KB

        MD5

        9d45fedb0c67a1c04a89edb3ee707d44

        SHA1

        7773d0e37a0c478191f11e57b338a7a780001a3a

        SHA256

        7019f42701a888986b9dda599f0e8a6d21a762d409f539a05345778e39de7865

        SHA512

        88f99051e5023846d6cb1886031e6f390ac8c04b4f60ba1433edadb3239d23b8a817e20b06d6135a700b85d23ce8885714a8349d2f1c980a93b55a638262c7d6

      • C:\Users\Admin\AppData\Local\Temp\SECURITY AVAST.exe

        Filesize

        104KB

        MD5

        cceba0ca8ed89f7c181bcfbbd934c591

        SHA1

        2166e325c5a65d751547e0a5b53f66e341e6ba40

        SHA256

        2f8785ef55401b2a906b9bc6a4d995bb58084c12577d39dae5a32d49525ae629

        SHA512

        c56d0716db3df6d657f199b3e879cb09ebc7cccef5a722ad651ee4c44e019ca7bd62f5954af6404ec235f53afe9f248300619c99e7bf0e4ba3a8d5f4180f0262

      • C:\Users\Admin\AppData\Local\Temp\SECURITY AVAST.exe

        Filesize

        104KB

        MD5

        cceba0ca8ed89f7c181bcfbbd934c591

        SHA1

        2166e325c5a65d751547e0a5b53f66e341e6ba40

        SHA256

        2f8785ef55401b2a906b9bc6a4d995bb58084c12577d39dae5a32d49525ae629

        SHA512

        c56d0716db3df6d657f199b3e879cb09ebc7cccef5a722ad651ee4c44e019ca7bd62f5954af6404ec235f53afe9f248300619c99e7bf0e4ba3a8d5f4180f0262

      • C:\Users\Admin\AppData\Local\Temp\SECURITY AVAST.exe

        Filesize

        104KB

        MD5

        cceba0ca8ed89f7c181bcfbbd934c591

        SHA1

        2166e325c5a65d751547e0a5b53f66e341e6ba40

        SHA256

        2f8785ef55401b2a906b9bc6a4d995bb58084c12577d39dae5a32d49525ae629

        SHA512

        c56d0716db3df6d657f199b3e879cb09ebc7cccef5a722ad651ee4c44e019ca7bd62f5954af6404ec235f53afe9f248300619c99e7bf0e4ba3a8d5f4180f0262

      • memory/1244-1-0x00007FFC5DD50000-0x00007FFC5E811000-memory.dmp

        Filesize

        10.8MB

      • memory/1244-3-0x000000001AED0000-0x000000001AEE0000-memory.dmp

        Filesize

        64KB

      • memory/1244-0-0x0000000000150000-0x000000000018E000-memory.dmp

        Filesize

        248KB

      • memory/1244-28-0x00007FFC5DD50000-0x00007FFC5E811000-memory.dmp

        Filesize

        10.8MB

      • memory/1400-29-0x0000000000AD0000-0x0000000000AF0000-memory.dmp

        Filesize

        128KB

      • memory/1400-34-0x00000000056B0000-0x00000000056C0000-memory.dmp

        Filesize

        64KB

      • memory/1400-143-0x0000000075110000-0x00000000758C0000-memory.dmp

        Filesize

        7.7MB

      • memory/1400-30-0x0000000075110000-0x00000000758C0000-memory.dmp

        Filesize

        7.7MB

      • memory/1400-31-0x0000000005960000-0x0000000005F04000-memory.dmp

        Filesize

        5.6MB

      • memory/1400-32-0x00000000053B0000-0x0000000005442000-memory.dmp

        Filesize

        584KB

      • memory/1400-33-0x0000000005450000-0x00000000054EC000-memory.dmp

        Filesize

        624KB

      • memory/1400-142-0x00000000010B0000-0x00000000010BA000-memory.dmp

        Filesize

        40KB

      • memory/1400-42-0x00000000056B0000-0x00000000056C0000-memory.dmp

        Filesize

        64KB

      • memory/1400-41-0x0000000075110000-0x00000000758C0000-memory.dmp

        Filesize

        7.7MB

      • memory/4304-40-0x00007FFC5DD50000-0x00007FFC5E811000-memory.dmp

        Filesize

        10.8MB

      • memory/4304-39-0x000000001BB10000-0x000000001BB20000-memory.dmp

        Filesize

        64KB

      • memory/4304-49-0x000000001BB10000-0x000000001BB20000-memory.dmp

        Filesize

        64KB

      • memory/4304-27-0x00007FFC5DD50000-0x00007FFC5E811000-memory.dmp

        Filesize

        10.8MB

      • memory/4304-26-0x0000000000F30000-0x0000000000F50000-memory.dmp

        Filesize

        128KB