bce121656b47443ceebe86a2e6aaccdae3153df56fc3a34c25c4098cd175c22d

Analysis

max time kernel
1s
max time network
151s
platform
windows10-2004_x64
resource
win10v2004-20231215-en
resource tags

arch:x64arch:x86image:win10v2004-20231215-enlocale:en-usos:windows10-2004-x64system
submitted
30/12/2023, 18:55

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

c0ff490e5471d6ca3bffa098edb85df8.exe
Size

155KB
MD5

c0ff490e5471d6ca3bffa098edb85df8
SHA1

a64a7c3291929c9976a091ae7544ad6ef91f5474
SHA256

bce121656b47443ceebe86a2e6aaccdae3153df56fc3a34c25c4098cd175c22d
SHA512

861e78be9dfd15b73ca7794aec18176661e47bcfbf73059260fce76f3e4562a9f4d06e333524dcfe62c0f8a092d26085d16a2c3973cb48a6ebe8ffba6d152e5e
SSDEEP

3072:tec1eyhbf/hBrbCuNq6f3xHcorrSEznYfzB9BSwWO:tecU6f/hBrbCuNqk3xHfrrSYOzLcK

Score

10^/10

persistence

Malware Config

Signatures

Adds autorun key to be loaded by Explorer.exe on startup 2 TTPs 14 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Pmannhhj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	Pdifoehl.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	Pmdkch32.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Pcijeb32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	Pmannhhj.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Pdifoehl.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Pmdkch32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	Pgioqq32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	c0ff490e5471d6ca3bffa098edb85df8.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	Pcijeb32.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Cohkokgj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FAA099-1BAE-816E-D711-115290CEE717}"	Cohkokgj.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	c0ff490e5471d6ca3bffa098edb85df8.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Pgioqq32.exe

Executes dropped EXE 7 IoCs

pid	Process
4228	Pcijeb32.exe
3880	Pmannhhj.exe
2668	Pdifoehl.exe
4752	Cohkokgj.exe
5068	Pmdkch32.exe
2332	Pgioqq32.exe
4200	Pqbdjfln.exe

Drops file in System32 directory 21 IoCs

description	ioc	Process
File created	C:\Windows\SysWOW64\Pcijeb32.exe	c0ff490e5471d6ca3bffa098edb85df8.exe
File created	C:\Windows\SysWOW64\Pmannhhj.exe	Pcijeb32.exe
File opened for modification	C:\Windows\SysWOW64\Pmannhhj.exe	Pcijeb32.exe
File created	C:\Windows\SysWOW64\Pgioqq32.exe	Pmdkch32.exe
File created	C:\Windows\SysWOW64\Kkbljp32.dll	Pmannhhj.exe
File opened for modification	C:\Windows\SysWOW64\Pmdkch32.exe	Cohkokgj.exe
File created	C:\Windows\SysWOW64\Mfilim32.dll	Cohkokgj.exe
File opened for modification	C:\Windows\SysWOW64\Pqbdjfln.exe	Pgioqq32.exe
File opened for modification	C:\Windows\SysWOW64\Pcijeb32.exe	c0ff490e5471d6ca3bffa098edb85df8.exe
File created	C:\Windows\SysWOW64\Halpnqlq.dll	c0ff490e5471d6ca3bffa098edb85df8.exe
File created	C:\Windows\SysWOW64\Pdifoehl.exe	Pmannhhj.exe
File opened for modification	C:\Windows\SysWOW64\Pdifoehl.exe	Pmannhhj.exe
File created	C:\Windows\SysWOW64\Pfjcgn32.exe	Pdifoehl.exe
File opened for modification	C:\Windows\SysWOW64\Pgioqq32.exe	Pmdkch32.exe
File created	C:\Windows\SysWOW64\Pqbdjfln.exe	Pgioqq32.exe
File created	C:\Windows\SysWOW64\Dbagnedl.dll	Pgioqq32.exe
File created	C:\Windows\SysWOW64\Hdoemjgn.dll	Pcijeb32.exe
File opened for modification	C:\Windows\SysWOW64\Pfjcgn32.exe	Pdifoehl.exe
File created	C:\Windows\SysWOW64\Ekphijkm.dll	Pdifoehl.exe
File created	C:\Windows\SysWOW64\Pmdkch32.exe	Cohkokgj.exe
File created	C:\Windows\SysWOW64\Ehaaclak.dll	Pmdkch32.exe

Program crash 1 IoCs

pid	pid_target	Process	procid_target
7324	8084	WerFault.exe	728

Modifies registry class 24 IoCs

description	ioc	Process
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	Pmdkch32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	Pgioqq32.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	c0ff490e5471d6ca3bffa098edb85df8.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}	c0ff490e5471d6ca3bffa098edb85df8.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	c0ff490e5471d6ca3bffa098edb85df8.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	Pdifoehl.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Mfilim32.dll"	Cohkokgj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	Cohkokgj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node	c0ff490e5471d6ca3bffa098edb85df8.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	Pmannhhj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	Pmannhhj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	Pdifoehl.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Ehaaclak.dll"	Pmdkch32.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	Pgioqq32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Dbagnedl.dll"	Pgioqq32.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID	c0ff490e5471d6ca3bffa098edb85df8.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Halpnqlq.dll"	c0ff490e5471d6ca3bffa098edb85df8.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	Pcijeb32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Hdoemjgn.dll"	Pcijeb32.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	Cohkokgj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32	Pmdkch32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ThreadingModel = "Apartment"	Pcijeb32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Kkbljp32.dll"	Pmannhhj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FAA099-1BAE-816E-D711-115290CEE717}\InProcServer32\ = "C:\\Windows\\SysWow64\\Ekphijkm.dll"	Pdifoehl.exe

Suspicious use of WriteProcessMemory 21 IoCs

description	pid	Process	procid_target
PID 1744 wrote to memory of 4228	1744	c0ff490e5471d6ca3bffa098edb85df8.exe	89
PID 1744 wrote to memory of 4228	1744	c0ff490e5471d6ca3bffa098edb85df8.exe	89
PID 1744 wrote to memory of 4228	1744	c0ff490e5471d6ca3bffa098edb85df8.exe	89
PID 4228 wrote to memory of 3880	4228	Pcijeb32.exe	328
PID 4228 wrote to memory of 3880	4228	Pcijeb32.exe	328
PID 4228 wrote to memory of 3880	4228	Pcijeb32.exe	328
PID 3880 wrote to memory of 2668	3880	Pmannhhj.exe	321
PID 3880 wrote to memory of 2668	3880	Pmannhhj.exe	321
PID 3880 wrote to memory of 2668	3880	Pmannhhj.exe	321
PID 2668 wrote to memory of 4752	2668	Pdifoehl.exe	878
PID 2668 wrote to memory of 4752	2668	Pdifoehl.exe	878
PID 2668 wrote to memory of 4752	2668	Pdifoehl.exe	878
PID 4752 wrote to memory of 5068	4752	Cohkokgj.exe	316
PID 4752 wrote to memory of 5068	4752	Cohkokgj.exe	316
PID 4752 wrote to memory of 5068	4752	Cohkokgj.exe	316
PID 5068 wrote to memory of 2332	5068	Pmdkch32.exe	90
PID 5068 wrote to memory of 2332	5068	Pmdkch32.exe	90
PID 5068 wrote to memory of 2332	5068	Pmdkch32.exe	90
PID 2332 wrote to memory of 4200	2332	Pgioqq32.exe	306
PID 2332 wrote to memory of 4200	2332	Pgioqq32.exe	306
PID 2332 wrote to memory of 4200	2332	Pgioqq32.exe	306

C:\Users\Admin\AppData\Local\Temp\c0ff490e5471d6ca3bffa098edb85df8.exe
"C:\Users\Admin\AppData\Local\Temp\c0ff490e5471d6ca3bffa098edb85df8.exe"
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:1744
- C:\Windows\SysWOW64\Pcijeb32.exe
  C:\Windows\system32\Pcijeb32.exe
  2⤵
  - Adds autorun key to be loaded by Explorer.exe on startup
  - Executes dropped EXE
  - Drops file in System32 directory
  - Modifies registry class
  - Suspicious use of WriteProcessMemory
  PID:4228
- - C:\Windows\SysWOW64\Pmannhhj.exe
    C:\Windows\system32\Pmannhhj.exe
    3⤵
    - Adds autorun key to be loaded by Explorer.exe on startup
    - Executes dropped EXE
    - Drops file in System32 directory
    - Modifies registry class
    - Suspicious use of WriteProcessMemory
    PID:3880

C:\Windows\SysWOW64\Pgioqq32.exe
C:\Windows\system32\Pgioqq32.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:2332
- C:\Windows\SysWOW64\Pqbdjfln.exe
  C:\Windows\system32\Pqbdjfln.exe
  2⤵
  - Executes dropped EXE
  PID:4200

C:\Windows\SysWOW64\Anmjcieo.exe
C:\Windows\system32\Anmjcieo.exe
1⤵
PID:3760
- C:\Windows\SysWOW64\Aqkgpedc.exe
  C:\Windows\system32\Aqkgpedc.exe
  2⤵
  PID:2368

C:\Windows\SysWOW64\Anogiicl.exe
C:\Windows\system32\Anogiicl.exe
1⤵
PID:2512
- C:\Windows\SysWOW64\Aqncedbp.exe
  C:\Windows\system32\Aqncedbp.exe
  2⤵
  PID:2772

C:\Windows\SysWOW64\Anfmjhmd.exe
C:\Windows\system32\Anfmjhmd.exe
1⤵
PID:2120
- C:\Windows\SysWOW64\Aadifclh.exe
  C:\Windows\system32\Aadifclh.exe
  2⤵
  PID:4688

C:\Windows\SysWOW64\Bagflcje.exe
C:\Windows\system32\Bagflcje.exe
1⤵
PID:408
- C:\Windows\SysWOW64\Bcebhoii.exe
  C:\Windows\system32\Bcebhoii.exe
  2⤵
  PID:2432
- - C:\Windows\SysWOW64\Dnmhpg32.exe
    C:\Windows\system32\Dnmhpg32.exe
    3⤵
    PID:2880
  - - C:\Windows\SysWOW64\Dbicpfdk.exe
      C:\Windows\system32\Dbicpfdk.exe
      4⤵
      PID:5200
    - - C:\Windows\SysWOW64\Ddgplado.exe
        
        C:\Windows\system32\Ddgplado.exe
        5⤵
        
        PID:4548

C:\Windows\SysWOW64\Bjokdipf.exe
C:\Windows\system32\Bjokdipf.exe
1⤵
PID:1560
- C:\Windows\SysWOW64\Baicac32.exe
  C:\Windows\system32\Baicac32.exe
  2⤵
  PID:4692
- - C:\Windows\SysWOW64\Bchomn32.exe
    C:\Windows\system32\Bchomn32.exe
    3⤵
    PID:4724
  - - C:\Windows\SysWOW64\Bclhhnca.exe
      C:\Windows\system32\Bclhhnca.exe
      4⤵
      PID:4332
    - - C:\Windows\SysWOW64\Bfkedibe.exe
        
        C:\Windows\system32\Bfkedibe.exe
        5⤵
        
        PID:4024
      - C:\Windows\SysWOW64\Bnbmefbg.exe
        
        C:\Windows\system32\Bnbmefbg.exe
        6⤵
        
        PID:4820
        
        C:\Windows\SysWOW64\Bcoenmao.exe
        
        C:\Windows\system32\Bcoenmao.exe
        7⤵
        
        PID:4280

C:\Windows\SysWOW64\Cmgjgcgo.exe
C:\Windows\system32\Cmgjgcgo.exe
1⤵
PID:3500
- C:\Windows\SysWOW64\Cdabcm32.exe
  C:\Windows\system32\Cdabcm32.exe
  2⤵
  PID:652
- - C:\Windows\SysWOW64\Chokikeb.exe
    C:\Windows\system32\Chokikeb.exe
    3⤵
    PID:884

C:\Windows\SysWOW64\Cjinkg32.exe
C:\Windows\system32\Cjinkg32.exe
1⤵
PID:4928

C:\Windows\SysWOW64\Cdfkolkf.exe
C:\Windows\system32\Cdfkolkf.exe
1⤵
PID:4748
- C:\Windows\SysWOW64\Cfdhkhjj.exe
  C:\Windows\system32\Cfdhkhjj.exe
  2⤵
  PID:4364
- - C:\Windows\SysWOW64\Cmnpgb32.exe
    C:\Windows\system32\Cmnpgb32.exe
    3⤵
    PID:5148

C:\Windows\SysWOW64\Cffdpghg.exe
C:\Windows\system32\Cffdpghg.exe
1⤵
PID:5228
- C:\Windows\SysWOW64\Cmqmma32.exe
  C:\Windows\system32\Cmqmma32.exe
  2⤵
  PID:5276
- - C:\Windows\SysWOW64\Dhfajjoj.exe
    C:\Windows\system32\Dhfajjoj.exe
    3⤵
    PID:5328
  - - C:\Windows\SysWOW64\Dopigd32.exe
      C:\Windows\system32\Dopigd32.exe
      4⤵
      PID:5368

C:\Windows\SysWOW64\Dejacond.exe
C:\Windows\system32\Dejacond.exe
1⤵
PID:5412
- C:\Windows\SysWOW64\Dhhnpjmh.exe
  C:\Windows\system32\Dhhnpjmh.exe
  2⤵
  PID:5464
- - C:\Windows\SysWOW64\Dmefhako.exe
    C:\Windows\system32\Dmefhako.exe
    3⤵
    PID:5504
  - - C:\Windows\SysWOW64\Ddonekbl.exe
      C:\Windows\system32\Ddonekbl.exe
      4⤵
      PID:5544
    - - C:\Windows\SysWOW64\Dfnjafap.exe
        
        C:\Windows\system32\Dfnjafap.exe
        5⤵
        
        PID:5584
      - C:\Windows\SysWOW64\Dmgbnq32.exe
        
        C:\Windows\system32\Dmgbnq32.exe
        6⤵
        
        PID:5624
        
        C:\Windows\SysWOW64\Ddakjkqi.exe
        
        C:\Windows\system32\Ddakjkqi.exe
        7⤵
        
        PID:5664
    - - C:\Windows\SysWOW64\Fflohaij.exe
        
        C:\Windows\system32\Fflohaij.exe
        5⤵
        
        PID:5560
      - C:\Windows\SysWOW64\Fijkdmhn.exe
        
        C:\Windows\system32\Fijkdmhn.exe
        6⤵
        
        PID:5756

C:\Windows\SysWOW64\Dfpgffpm.exe
C:\Windows\system32\Dfpgffpm.exe
1⤵
PID:5708
- C:\Windows\SysWOW64\Daekdooc.exe
  C:\Windows\system32\Daekdooc.exe
  2⤵
  PID:5748
- C:\Windows\SysWOW64\Enpmld32.exe
  C:\Windows\system32\Enpmld32.exe
  2⤵
  PID:2384

C:\Windows\SysWOW64\Doilmc32.exe
C:\Windows\system32\Doilmc32.exe
1⤵
PID:5828
- C:\Windows\SysWOW64\Eecdjmfi.exe
  C:\Windows\system32\Eecdjmfi.exe
  2⤵
  PID:5868
- C:\Windows\SysWOW64\Fmcjpl32.exe
  C:\Windows\system32\Fmcjpl32.exe
  2⤵
  PID:5964
- - C:\Windows\SysWOW64\Fpbflg32.exe
    C:\Windows\system32\Fpbflg32.exe
    3⤵
    PID:5544

C:\Windows\SysWOW64\Egdqae32.exe
C:\Windows\system32\Egdqae32.exe
1⤵
PID:5908
- C:\Windows\SysWOW64\Emoinpcd.exe
  C:\Windows\system32\Emoinpcd.exe
  2⤵
  PID:5948
- - C:\Windows\SysWOW64\Eefaomcg.exe
    C:\Windows\system32\Eefaomcg.exe
    3⤵
    PID:5988

C:\Windows\SysWOW64\Ehdmlhcj.exe
C:\Windows\system32\Ehdmlhcj.exe
1⤵
PID:6028
- C:\Windows\SysWOW64\Eonehbjg.exe
  C:\Windows\system32\Eonehbjg.exe
  2⤵
  PID:6068
- - C:\Windows\SysWOW64\Eehnem32.exe
    C:\Windows\system32\Eehnem32.exe
    3⤵
    PID:6108
  - - C:\Windows\SysWOW64\Eopbnbhd.exe
      C:\Windows\system32\Eopbnbhd.exe
      4⤵
      PID:5140

C:\Windows\SysWOW64\Eejjjl32.exe
C:\Windows\system32\Eejjjl32.exe
1⤵
PID:5216
- C:\Windows\SysWOW64\Ekgbccni.exe
  C:\Windows\system32\Ekgbccni.exe
  2⤵
  PID:5316
- - C:\Windows\SysWOW64\Eaakpm32.exe
    C:\Windows\system32\Eaakpm32.exe
    3⤵
    PID:5360
  - - C:\Windows\SysWOW64\Egnchd32.exe
      C:\Windows\system32\Egnchd32.exe
      4⤵
      PID:5500
    - - C:\Windows\SysWOW64\Emhldnkj.exe
        
        C:\Windows\system32\Emhldnkj.exe
        5⤵
        
        PID:5552
      - C:\Windows\SysWOW64\Fhmpagkp.exe
        
        C:\Windows\system32\Fhmpagkp.exe
        6⤵
        
        PID:5648
        
        C:\Windows\SysWOW64\Fnjhjn32.exe
        
        C:\Windows\system32\Fnjhjn32.exe
        7⤵
        
        PID:5744
        
        C:\Windows\SysWOW64\Fojedapj.exe
        
        C:\Windows\system32\Fojedapj.exe
        8⤵
        
        PID:4460
        
        C:\Windows\SysWOW64\Fedmqk32.exe
        
        C:\Windows\system32\Fedmqk32.exe
        9⤵
        
        PID:5888
        
        C:\Windows\SysWOW64\Fgeihcme.exe
        
        C:\Windows\system32\Fgeihcme.exe
        10⤵
        
        PID:5956
      - C:\Windows\SysWOW64\Hekgfj32.exe
        
        C:\Windows\system32\Hekgfj32.exe
        6⤵
        
        PID:6056
        
        C:\Windows\SysWOW64\Hmbphg32.exe
        
        C:\Windows\system32\Hmbphg32.exe
        7⤵
        
        PID:12576

C:\Windows\SysWOW64\Dddhpjof.exe
C:\Windows\system32\Dddhpjof.exe
1⤵
PID:5788

C:\Windows\SysWOW64\Folaiqng.exe
C:\Windows\system32\Folaiqng.exe
1⤵
PID:6020
- C:\Windows\SysWOW64\Fajnfl32.exe
  C:\Windows\system32\Fajnfl32.exe
  2⤵
  PID:6088

C:\Windows\SysWOW64\Fdijbg32.exe
C:\Windows\system32\Fdijbg32.exe
1⤵
PID:5132
- C:\Windows\SysWOW64\Fggfnc32.exe
  C:\Windows\system32\Fggfnc32.exe
  2⤵
  PID:5264

C:\Windows\SysWOW64\Fonnop32.exe
C:\Windows\system32\Fonnop32.exe
1⤵
PID:1212
- C:\Windows\SysWOW64\Fehfljca.exe
  C:\Windows\system32\Fehfljca.exe
  2⤵
  PID:5572
- - C:\Windows\SysWOW64\Fhgbhfbe.exe
    C:\Windows\system32\Fhgbhfbe.exe
    3⤵
    PID:5780
  - - C:\Windows\SysWOW64\Foqkdp32.exe
      C:\Windows\system32\Foqkdp32.exe
      4⤵
      PID:5856
    - - C:\Windows\SysWOW64\Gekcaj32.exe
        
        C:\Windows\system32\Gekcaj32.exe
        5⤵
        
        PID:6008

C:\Windows\SysWOW64\Ghipne32.exe
C:\Windows\system32\Ghipne32.exe
1⤵
PID:6100
- C:\Windows\SysWOW64\Gglpibgm.exe
  C:\Windows\system32\Gglpibgm.exe
  2⤵
  PID:5272
- - C:\Windows\SysWOW64\Gnfhfl32.exe
    C:\Windows\system32\Gnfhfl32.exe
    3⤵
    PID:4888
  - - C:\Windows\SysWOW64\Gempgj32.exe
      C:\Windows\system32\Gempgj32.exe
      4⤵
      PID:5692
    - - C:\Windows\SysWOW64\Gkjhoq32.exe
        
        C:\Windows\system32\Gkjhoq32.exe
        5⤵
        
        PID:5860

C:\Windows\SysWOW64\Goedpofl.exe
C:\Windows\system32\Goedpofl.exe
1⤵
PID:6076
- C:\Windows\SysWOW64\Gadqlkep.exe
  C:\Windows\system32\Gadqlkep.exe
  2⤵
  PID:5336
- - C:\Windows\SysWOW64\Gdbmhf32.exe
    C:\Windows\system32\Gdbmhf32.exe
    3⤵
    PID:3296

C:\Windows\SysWOW64\Gohaeo32.exe
C:\Windows\system32\Gohaeo32.exe
1⤵
PID:6024
- C:\Windows\SysWOW64\Gfbibikg.exe
  C:\Windows\system32\Gfbibikg.exe
  2⤵
  PID:5220
- - C:\Windows\SysWOW64\Ggcfja32.exe
    C:\Windows\system32\Ggcfja32.exe
    3⤵
    PID:5820
  - - C:\Windows\SysWOW64\Gnmnfkia.exe
      C:\Windows\system32\Gnmnfkia.exe
      4⤵
      PID:464
    - - C:\Windows\SysWOW64\Ghbbcd32.exe
        
        C:\Windows\system32\Ghbbcd32.exe
        5⤵
        
        PID:5700
      - C:\Windows\SysWOW64\Hnoklk32.exe
        
        C:\Windows\system32\Hnoklk32.exe
        6⤵
        
        PID:5196
        
        C:\Windows\SysWOW64\Hdicienl.exe
        
        C:\Windows\system32\Hdicienl.exe
        7⤵
        
        PID:5968
        
        C:\Windows\SysWOW64\Hghoeqmp.exe
        
        C:\Windows\system32\Hghoeqmp.exe
        8⤵
        
        PID:6164
        
        C:\Windows\SysWOW64\Hbmcbime.exe
        
        C:\Windows\system32\Hbmcbime.exe
        9⤵
        
        PID:6208
        
        C:\Windows\SysWOW64\Hgjljpkm.exe
        
        C:\Windows\system32\Hgjljpkm.exe
        10⤵
        
        PID:6252
        
        C:\Windows\SysWOW64\Hoadkn32.exe
        
        C:\Windows\system32\Hoadkn32.exe
        11⤵
        
        PID:6292
        
        C:\Windows\SysWOW64\Hbpphi32.exe
        
        C:\Windows\system32\Hbpphi32.exe
        12⤵
        
        PID:6336
        
        C:\Windows\SysWOW64\Lobjni32.exe
        
        C:\Windows\system32\Lobjni32.exe
        7⤵
        
        PID:12772
  - - C:\Windows\SysWOW64\Ilqoobdd.exe
      C:\Windows\system32\Ilqoobdd.exe
      4⤵
      PID:5616

C:\Windows\SysWOW64\Hdnldd32.exe
C:\Windows\system32\Hdnldd32.exe
1⤵
PID:6384
- C:\Windows\SysWOW64\Hglipp32.exe
  C:\Windows\system32\Hglipp32.exe
  2⤵
  PID:6428
- - C:\Windows\SysWOW64\Hocqam32.exe
    C:\Windows\system32\Hocqam32.exe
    3⤵
    PID:6472

C:\Windows\SysWOW64\Hbbmmi32.exe
C:\Windows\system32\Hbbmmi32.exe
1⤵
PID:6520
- C:\Windows\SysWOW64\Hhlejcpm.exe
  C:\Windows\system32\Hhlejcpm.exe
  2⤵
  PID:6564
- - C:\Windows\SysWOW64\Hgoeep32.exe
    C:\Windows\system32\Hgoeep32.exe
    3⤵
    PID:6604
  - - C:\Windows\SysWOW64\Hninbj32.exe
      C:\Windows\system32\Hninbj32.exe
      4⤵
      PID:6648

C:\Windows\SysWOW64\Hdbfodfa.exe
C:\Windows\system32\Hdbfodfa.exe
1⤵
PID:6696
- C:\Windows\SysWOW64\Hgabkoee.exe
  C:\Windows\system32\Hgabkoee.exe
  2⤵
  PID:6744
- - C:\Windows\SysWOW64\Ibffhhek.exe
    C:\Windows\system32\Ibffhhek.exe
    3⤵
    PID:6796
  - - C:\Windows\SysWOW64\Ihqoeb32.exe
      C:\Windows\system32\Ihqoeb32.exe
      4⤵
      PID:6836
    - - C:\Windows\SysWOW64\Iokgal32.exe
        
        C:\Windows\system32\Iokgal32.exe
        5⤵
        
        PID:6884
      - C:\Windows\SysWOW64\Lfodbqfa.exe
        
        C:\Windows\system32\Lfodbqfa.exe
        6⤵
        
        PID:6956
        
        C:\Windows\SysWOW64\Mfaqhp32.exe
        
        C:\Windows\system32\Mfaqhp32.exe
        7⤵
        
        PID:7000

C:\Windows\SysWOW64\Cdhhdlid.exe
C:\Windows\system32\Cdhhdlid.exe
1⤵
PID:5188

C:\Windows\SysWOW64\Cagobalc.exe
C:\Windows\system32\Cagobalc.exe
1⤵
PID:4712

C:\Windows\SysWOW64\Cjmgfgdf.exe
C:\Windows\system32\Cjmgfgdf.exe
1⤵
PID:4940

C:\Windows\SysWOW64\Bjmnoi32.exe
C:\Windows\system32\Bjmnoi32.exe
1⤵
PID:2776

C:\Windows\SysWOW64\Agoabn32.exe
C:\Windows\system32\Agoabn32.exe
1⤵
PID:4784

C:\Windows\SysWOW64\Afoeiklb.exe
C:\Windows\system32\Afoeiklb.exe
1⤵
PID:1168

C:\Windows\SysWOW64\Acqimo32.exe
C:\Windows\system32\Acqimo32.exe
1⤵
PID:4360

C:\Windows\SysWOW64\Amgapeea.exe
C:\Windows\system32\Amgapeea.exe
1⤵
PID:3336

C:\Windows\SysWOW64\Afmhck32.exe
C:\Windows\system32\Afmhck32.exe
1⤵
PID:2148

C:\Windows\SysWOW64\Mhbmphjm.exe
C:\Windows\system32\Mhbmphjm.exe
1⤵
PID:7044
- C:\Windows\SysWOW64\Mpieqeko.exe
  C:\Windows\system32\Mpieqeko.exe
  2⤵
  PID:7088
- - C:\Windows\SysWOW64\Molelb32.exe
    C:\Windows\system32\Molelb32.exe
    3⤵
    PID:7132

C:\Windows\SysWOW64\Mefmimif.exe
C:\Windows\system32\Mefmimif.exe
1⤵
PID:5716
- C:\Windows\SysWOW64\Mibijk32.exe
  C:\Windows\system32\Mibijk32.exe
  2⤵
  PID:4904

C:\Windows\SysWOW64\Mlpeff32.exe
C:\Windows\system32\Mlpeff32.exe
1⤵
PID:6228
- C:\Windows\SysWOW64\Moobbb32.exe
  C:\Windows\system32\Moobbb32.exe
  2⤵
  PID:6272
- C:\Windows\SysWOW64\Npbceggm.exe
  C:\Windows\system32\Npbceggm.exe
  2⤵
  PID:6236
- - C:\Windows\SysWOW64\Ngjkfd32.exe
    C:\Windows\system32\Ngjkfd32.exe
    3⤵
    PID:6360

C:\Windows\SysWOW64\Mffjcopi.exe
C:\Windows\system32\Mffjcopi.exe
1⤵
PID:6348
- C:\Windows\SysWOW64\Midfokpm.exe
  C:\Windows\system32\Midfokpm.exe
  2⤵
  PID:6420
- - C:\Windows\SysWOW64\Mlbbkfoq.exe
    C:\Windows\system32\Mlbbkfoq.exe
    3⤵
    PID:6480
  - - C:\Windows\SysWOW64\Mblkhq32.exe
      C:\Windows\system32\Mblkhq32.exe
      4⤵
      PID:5028
    - - C:\Windows\SysWOW64\Nchjdo32.exe
        
        C:\Windows\system32\Nchjdo32.exe
        5⤵
        
        PID:6628
      - C:\Windows\SysWOW64\Ohqbhdpj.exe
        
        C:\Windows\system32\Ohqbhdpj.exe
        6⤵
        
        PID:6688
- C:\Windows\SysWOW64\Aphnnafb.exe
  C:\Windows\system32\Aphnnafb.exe
  2⤵
  PID:13352
- - C:\Windows\SysWOW64\Ahofoogd.exe
    C:\Windows\system32\Ahofoogd.exe
    3⤵
    PID:6552

C:\Windows\SysWOW64\Aeklkchg.exe
C:\Windows\system32\Aeklkchg.exe
1⤵
PID:2880

C:\Windows\SysWOW64\Anadoi32.exe
C:\Windows\system32\Anadoi32.exe
1⤵
PID:1080
- C:\Windows\SysWOW64\Bheplb32.exe
  C:\Windows\system32\Bheplb32.exe
  2⤵
  PID:12144
- - C:\Windows\SysWOW64\Ckclhn32.exe
    C:\Windows\system32\Ckclhn32.exe
    3⤵
    PID:12264
  - - C:\Windows\SysWOW64\Camddhoi.exe
      C:\Windows\system32\Camddhoi.exe
      4⤵
      PID:4612

C:\Windows\SysWOW64\Afjlnk32.exe
C:\Windows\system32\Afjlnk32.exe
1⤵
PID:5044

C:\Windows\SysWOW64\Afhohlbj.exe
C:\Windows\system32\Afhohlbj.exe
1⤵
PID:3652

C:\Windows\SysWOW64\Pedbahod.exe
C:\Windows\system32\Pedbahod.exe
1⤵
PID:4052
- C:\Windows\SysWOW64\Pomgjn32.exe
  C:\Windows\system32\Pomgjn32.exe
  2⤵
  PID:3144

C:\Windows\SysWOW64\Ocffempp.exe
C:\Windows\system32\Ocffempp.exe
1⤵
PID:6872

C:\Windows\SysWOW64\Pcicklnn.exe
C:\Windows\system32\Pcicklnn.exe
1⤵
PID:6892
- C:\Windows\SysWOW64\Phelcc32.exe
  C:\Windows\system32\Phelcc32.exe
  2⤵
  PID:2560
- - C:\Windows\SysWOW64\Ppmcdq32.exe
    C:\Windows\system32\Ppmcdq32.exe
    3⤵
    PID:7040

C:\Windows\SysWOW64\Pckppl32.exe
C:\Windows\system32\Pckppl32.exe
1⤵
PID:7080
- C:\Windows\SysWOW64\Pfillg32.exe
  C:\Windows\system32\Pfillg32.exe
  2⤵
  PID:7160
- - C:\Windows\SysWOW64\Ppopjp32.exe
    C:\Windows\system32\Ppopjp32.exe
    3⤵
    PID:6240
- - C:\Windows\SysWOW64\Cpbjkn32.exe
    C:\Windows\system32\Cpbjkn32.exe
    3⤵
    PID:7164

C:\Windows\SysWOW64\Pcmlfl32.exe
C:\Windows\system32\Pcmlfl32.exe
1⤵
PID:6376
- C:\Windows\SysWOW64\Pjgebf32.exe
  C:\Windows\system32\Pjgebf32.exe
  2⤵
  PID:6460
- - C:\Windows\SysWOW64\Phjenbhp.exe
    C:\Windows\system32\Phjenbhp.exe
    3⤵
    PID:6596
  - - C:\Windows\SysWOW64\Podmkm32.exe
      C:\Windows\system32\Podmkm32.exe
      4⤵
      PID:5940
    - - C:\Windows\SysWOW64\Qcbfakec.exe
        
        C:\Windows\system32\Qcbfakec.exe
        5⤵
        
        PID:6664
      - C:\Windows\SysWOW64\Qgnbaj32.exe
        
        C:\Windows\system32\Qgnbaj32.exe
        6⤵
        
        PID:6820
        
        C:\Windows\SysWOW64\Bddcenpi.exe
        
        C:\Windows\system32\Bddcenpi.exe
        7⤵
        
        PID:3864
- C:\Windows\SysWOW64\Bgelgi32.exe
  C:\Windows\system32\Bgelgi32.exe
  2⤵
  PID:7448

C:\Windows\SysWOW64\Qjlnnemp.exe
C:\Windows\system32\Qjlnnemp.exe
1⤵
PID:2896
- C:\Windows\SysWOW64\Qljjjqlc.exe
  C:\Windows\system32\Qljjjqlc.exe
  2⤵
  PID:3560

C:\Windows\SysWOW64\Qgpogili.exe
C:\Windows\system32\Qgpogili.exe
1⤵
PID:6948
- C:\Windows\SysWOW64\Qhakoa32.exe
  C:\Windows\system32\Qhakoa32.exe
  2⤵
  PID:7056

C:\Windows\SysWOW64\Qlmgopjq.exe
C:\Windows\system32\Qlmgopjq.exe
1⤵
PID:7140
- C:\Windows\SysWOW64\Aokcklid.exe
  C:\Windows\system32\Aokcklid.exe
  2⤵
  PID:6288
- - C:\Windows\SysWOW64\Agbkmijg.exe
    C:\Windows\system32\Agbkmijg.exe
    3⤵
    PID:6448

C:\Windows\SysWOW64\Ajqgidij.exe
C:\Windows\system32\Ajqgidij.exe
1⤵
PID:4008
- C:\Windows\SysWOW64\Amodep32.exe
  C:\Windows\system32\Amodep32.exe
  2⤵
  PID:6656

C:\Windows\SysWOW64\Aompak32.exe
C:\Windows\system32\Aompak32.exe
1⤵
PID:3824
- C:\Windows\SysWOW64\Agdhbi32.exe
  C:\Windows\system32\Agdhbi32.exe
  2⤵
  PID:3864
- - C:\Windows\SysWOW64\Bknlbhhe.exe
    C:\Windows\system32\Bknlbhhe.exe
    3⤵
    PID:4772

C:\Windows\SysWOW64\Ahfdjanb.exe
C:\Windows\system32\Ahfdjanb.exe
1⤵
PID:6924
- C:\Windows\SysWOW64\Aqmlknnd.exe
  C:\Windows\system32\Aqmlknnd.exe
  2⤵
  PID:7164
- - C:\Windows\SysWOW64\Aggegh32.exe
    C:\Windows\system32\Aggegh32.exe
    3⤵
    PID:6232
- - C:\Windows\SysWOW64\Chiblk32.exe
    C:\Windows\system32\Chiblk32.exe
    3⤵
    PID:6200

C:\Windows\SysWOW64\Ajeadd32.exe
C:\Windows\system32\Ajeadd32.exe
1⤵
PID:4536
- C:\Windows\SysWOW64\Amcmpodi.exe
  C:\Windows\system32\Amcmpodi.exe
  2⤵
  PID:6640

C:\Windows\SysWOW64\Aobilkcl.exe
C:\Windows\system32\Aobilkcl.exe
1⤵
PID:6816
- C:\Windows\SysWOW64\Acnemi32.exe
  C:\Windows\system32\Acnemi32.exe
  2⤵
  PID:4756
- - C:\Windows\SysWOW64\Aflaie32.exe
    C:\Windows\system32\Aflaie32.exe
    3⤵
    PID:6244

C:\Windows\SysWOW64\Aijnep32.exe
C:\Windows\system32\Aijnep32.exe
1⤵
PID:4396
- C:\Windows\SysWOW64\Aqaffn32.exe
  C:\Windows\system32\Aqaffn32.exe
  2⤵
  PID:6828
- - C:\Windows\SysWOW64\Aglnbhal.exe
    C:\Windows\system32\Aglnbhal.exe
    3⤵
    PID:7112
  - - C:\Windows\SysWOW64\Ajjjocap.exe
      C:\Windows\system32\Ajjjocap.exe
      4⤵
      PID:3732

C:\Windows\SysWOW64\Bqdblmhl.exe
C:\Windows\system32\Bqdblmhl.exe
1⤵
PID:6880
- C:\Windows\SysWOW64\Bcbohigp.exe
  C:\Windows\system32\Bcbohigp.exe
  2⤵
  PID:6792

C:\Windows\SysWOW64\Bfqkddfd.exe
C:\Windows\system32\Bfqkddfd.exe
1⤵
PID:7196
- C:\Windows\SysWOW64\Bjlgdc32.exe
  C:\Windows\system32\Bjlgdc32.exe
  2⤵
  PID:7240
- - C:\Windows\SysWOW64\Boipmj32.exe
    C:\Windows\system32\Boipmj32.exe
    3⤵
    PID:7288

C:\Windows\SysWOW64\Bfchidda.exe
C:\Windows\system32\Bfchidda.exe
1⤵
PID:7332
- C:\Windows\SysWOW64\Biadeoce.exe
  C:\Windows\system32\Biadeoce.exe
  2⤵
  PID:7396
- - C:\Windows\SysWOW64\Bgbdcgld.exe
    C:\Windows\system32\Bgbdcgld.exe
    3⤵
    PID:7436
  - - C:\Windows\SysWOW64\Bjaqpbkh.exe
      C:\Windows\system32\Bjaqpbkh.exe
      4⤵
      PID:7480
    - - C:\Windows\SysWOW64\Bidqko32.exe
        
        C:\Windows\system32\Bidqko32.exe
        5⤵
        
        PID:7524
- - C:\Windows\SysWOW64\Dhbebj32.exe
    C:\Windows\system32\Dhbebj32.exe
    3⤵
    PID:848

C:\Windows\SysWOW64\Bqkill32.exe
C:\Windows\system32\Bqkill32.exe
1⤵
PID:7564
- C:\Windows\SysWOW64\Bciehh32.exe
  C:\Windows\system32\Bciehh32.exe
  2⤵
  PID:7600

C:\Windows\SysWOW64\Bfhadc32.exe
C:\Windows\system32\Bfhadc32.exe
1⤵
PID:7648
- C:\Windows\SysWOW64\Bjcmebie.exe
  C:\Windows\system32\Bjcmebie.exe
  2⤵
  PID:7684

C:\Windows\SysWOW64\Bmbiamhi.exe
C:\Windows\system32\Bmbiamhi.exe
1⤵
PID:7736
- C:\Windows\SysWOW64\Bppfmigl.exe
  C:\Windows\system32\Bppfmigl.exe
  2⤵
  PID:7792

C:\Windows\SysWOW64\Bjfjka32.exe
C:\Windows\system32\Bjfjka32.exe
1⤵
PID:7892
- C:\Windows\SysWOW64\Cmdfgm32.exe
  C:\Windows\system32\Cmdfgm32.exe
  2⤵
  PID:7940

C:\Windows\SysWOW64\Ccnncgmc.exe
C:\Windows\system32\Ccnncgmc.exe
1⤵
PID:8048
- C:\Windows\SysWOW64\Cjhfpa32.exe
  C:\Windows\system32\Cjhfpa32.exe
  2⤵
  PID:8092

C:\Windows\SysWOW64\Cpbbch32.exe
C:\Windows\system32\Cpbbch32.exe
1⤵
PID:8004

C:\Windows\SysWOW64\Cmfclm32.exe
C:\Windows\system32\Cmfclm32.exe
1⤵
PID:8136
- C:\Windows\SysWOW64\Cglgjeci.exe
  C:\Windows\system32\Cglgjeci.exe
  2⤵
  PID:8172
- - C:\Windows\SysWOW64\Cjjcfabm.exe
    C:\Windows\system32\Cjjcfabm.exe
    3⤵
    PID:7248

C:\Windows\SysWOW64\Cadlbk32.exe
C:\Windows\system32\Cadlbk32.exe
1⤵
PID:940
- C:\Windows\SysWOW64\Ccchof32.exe
  C:\Windows\system32\Ccchof32.exe
  2⤵
  PID:7392
- - C:\Windows\SysWOW64\Cfadkb32.exe
    C:\Windows\system32\Cfadkb32.exe
    3⤵
    PID:7472

C:\Windows\SysWOW64\Cippgm32.exe
C:\Windows\system32\Cippgm32.exe
1⤵
PID:7548
- C:\Windows\SysWOW64\Caghhk32.exe
  C:\Windows\system32\Caghhk32.exe
  2⤵
  PID:7628
- - C:\Windows\SysWOW64\Cceddf32.exe
    C:\Windows\system32\Cceddf32.exe
    3⤵
    PID:7720

C:\Windows\SysWOW64\Cfcqpa32.exe
C:\Windows\system32\Cfcqpa32.exe
1⤵
PID:7788
- C:\Windows\SysWOW64\Cibmlmeb.exe
  C:\Windows\system32\Cibmlmeb.exe
  2⤵
  PID:7868
- - C:\Windows\SysWOW64\Caienjfd.exe
    C:\Windows\system32\Caienjfd.exe
    3⤵
    PID:7988
  - - C:\Windows\SysWOW64\Cgcmjd32.exe
      C:\Windows\system32\Cgcmjd32.exe
      4⤵
      PID:8072
    - - C:\Windows\SysWOW64\Cjaifp32.exe
        
        C:\Windows\system32\Cjaifp32.exe
        5⤵
        
        PID:8160
      - C:\Windows\SysWOW64\Dmpfbk32.exe
        
        C:\Windows\system32\Dmpfbk32.exe
        6⤵
        
        PID:7388
        
        C:\Windows\SysWOW64\Gknkpjfb.exe
        
        C:\Windows\system32\Gknkpjfb.exe
        7⤵
        
        PID:7460
        
        C:\Windows\SysWOW64\Gahcmd32.exe
        
        C:\Windows\system32\Gahcmd32.exe
        8⤵
        
        PID:7672

C:\Windows\SysWOW64\Bggnof32.exe
C:\Windows\system32\Bggnof32.exe
1⤵
PID:7844

C:\Windows\SysWOW64\Ophjiaql.exe
C:\Windows\system32\Ophjiaql.exe
1⤵
PID:6760

C:\Windows\SysWOW64\Qgcbgo32.exe
C:\Windows\system32\Qgcbgo32.exe
1⤵
PID:2320

C:\Windows\SysWOW64\Qqijje32.exe
C:\Windows\system32\Qqijje32.exe
1⤵
PID:1272

C:\Windows\SysWOW64\Qdbiedpa.exe
C:\Windows\system32\Qdbiedpa.exe
1⤵
PID:2732

C:\Windows\SysWOW64\Qnhahj32.exe
C:\Windows\system32\Qnhahj32.exe
1⤵
PID:4620

C:\Windows\SysWOW64\Pfaigm32.exe
C:\Windows\system32\Pfaigm32.exe
1⤵
PID:3260

C:\Windows\SysWOW64\Pqdqof32.exe
C:\Windows\system32\Pqdqof32.exe
1⤵
PID:2188

C:\Windows\SysWOW64\Pgllfp32.exe
C:\Windows\system32\Pgllfp32.exe
1⤵
PID:3276

C:\Windows\SysWOW64\Gpkchqdj.exe
C:\Windows\system32\Gpkchqdj.exe
1⤵
PID:7836
- C:\Windows\SysWOW64\Hhbkinel.exe
  C:\Windows\system32\Hhbkinel.exe
  2⤵
  PID:7948

C:\Windows\SysWOW64\Hgelek32.exe
C:\Windows\system32\Hgelek32.exe
1⤵
PID:8060
- C:\Windows\SysWOW64\Hjchaf32.exe
  C:\Windows\system32\Hjchaf32.exe
  2⤵
  PID:1208

C:\Windows\SysWOW64\Hnodaecc.exe
C:\Windows\system32\Hnodaecc.exe
1⤵
PID:6936
- C:\Windows\SysWOW64\Hpmpnp32.exe
  C:\Windows\system32\Hpmpnp32.exe
  2⤵
  PID:6912
- - C:\Windows\SysWOW64\Hnaqgd32.exe
    C:\Windows\system32\Hnaqgd32.exe
    3⤵
    PID:7416
  - - C:\Windows\SysWOW64\Hpdfnolo.exe
      C:\Windows\system32\Hpdfnolo.exe
      4⤵
      PID:7680
    - - C:\Windows\SysWOW64\Hacbhb32.exe
        
        C:\Windows\system32\Hacbhb32.exe
        5⤵
        
        PID:7880
      - C:\Windows\SysWOW64\Iahlcaol.exe
        
        C:\Windows\system32\Iahlcaol.exe
        6⤵
        
        PID:8132
        
        C:\Windows\SysWOW64\Idghpmnp.exe
        
        C:\Windows\system32\Idghpmnp.exe
        7⤵
        
        PID:976

C:\Windows\SysWOW64\Pmdkch32.exe
C:\Windows\system32\Pmdkch32.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:5068

C:\Windows\SysWOW64\Pfjcgn32.exe
C:\Windows\system32\Pfjcgn32.exe
1⤵
PID:4752
- C:\Windows\SysWOW64\Cbfgkffn.exe
  C:\Windows\system32\Cbfgkffn.exe
  2⤵
  PID:1548
- - C:\Windows\SysWOW64\Cdecgbfa.exe
    C:\Windows\system32\Cdecgbfa.exe
    3⤵
    PID:4584

C:\Windows\SysWOW64\Pdifoehl.exe
C:\Windows\system32\Pdifoehl.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:2668

C:\Windows\SysWOW64\Igedlh32.exe
C:\Windows\system32\Igedlh32.exe
1⤵
PID:472
- C:\Windows\SysWOW64\Ijcahd32.exe
  C:\Windows\system32\Ijcahd32.exe
  2⤵
  PID:3532
- - C:\Windows\SysWOW64\Iakiia32.exe
    C:\Windows\system32\Iakiia32.exe
    3⤵
    PID:6660
  - - C:\Windows\SysWOW64\Idieem32.exe
      C:\Windows\system32\Idieem32.exe
      4⤵
      PID:1616
    - - C:\Windows\SysWOW64\Jnmijq32.exe
        
        C:\Windows\system32\Jnmijq32.exe
        5⤵
        
        PID:7592
      - C:\Windows\SysWOW64\Jnpfop32.exe
        
        C:\Windows\system32\Jnpfop32.exe
        6⤵
        
        PID:8000

C:\Windows\SysWOW64\Kqnbkl32.exe
C:\Windows\system32\Kqnbkl32.exe
1⤵
PID:2588
- C:\Windows\SysWOW64\Kiejmi32.exe
  C:\Windows\system32\Kiejmi32.exe
  2⤵
  PID:1712
- - C:\Windows\SysWOW64\Kkcfid32.exe
    C:\Windows\system32\Kkcfid32.exe
    3⤵
    PID:3988

C:\Windows\SysWOW64\Knbbep32.exe
C:\Windows\system32\Knbbep32.exe
1⤵
PID:6916
- C:\Windows\SysWOW64\Kbmoen32.exe
  C:\Windows\system32\Kbmoen32.exe
  2⤵
  PID:2352

C:\Windows\SysWOW64\Kelkaj32.exe
C:\Windows\system32\Kelkaj32.exe
1⤵
PID:3908
- C:\Windows\SysWOW64\Kgjgne32.exe
  C:\Windows\system32\Kgjgne32.exe
  2⤵
  PID:4696
- - C:\Windows\SysWOW64\Kkfcndce.exe
    C:\Windows\system32\Kkfcndce.exe
    3⤵
    PID:7812
  - - C:\Windows\SysWOW64\Kbpkkn32.exe
      C:\Windows\system32\Kbpkkn32.exe
      4⤵
      PID:3436

C:\Windows\SysWOW64\Kqbkfkal.exe
C:\Windows\system32\Kqbkfkal.exe
1⤵
PID:3076
- C:\Windows\SysWOW64\Kijchhbo.exe
  C:\Windows\system32\Kijchhbo.exe
  2⤵
  PID:6944

C:\Windows\SysWOW64\Kjkpoq32.exe
C:\Windows\system32\Kjkpoq32.exe
1⤵
PID:8196
- C:\Windows\SysWOW64\Knflpoqf.exe
  C:\Windows\system32\Knflpoqf.exe
  2⤵
  PID:8236
- - C:\Windows\SysWOW64\Keqdmihc.exe
    C:\Windows\system32\Keqdmihc.exe
    3⤵
    PID:8284
  - - C:\Windows\SysWOW64\Kgopidgf.exe
      C:\Windows\system32\Kgopidgf.exe
      4⤵
      PID:8324

C:\Windows\SysWOW64\Kjmmepfj.exe
C:\Windows\system32\Kjmmepfj.exe
1⤵
PID:8364
- C:\Windows\SysWOW64\Kbddfmgl.exe
  C:\Windows\system32\Kbddfmgl.exe
  2⤵
  PID:8408
- - C:\Windows\SysWOW64\Kecabifp.exe
    C:\Windows\system32\Kecabifp.exe
    3⤵
    PID:8452
  - - C:\Windows\SysWOW64\Kgamnded.exe
      C:\Windows\system32\Kgamnded.exe
      4⤵
      PID:8492
    - - C:\Windows\SysWOW64\Knkekn32.exe
        
        C:\Windows\system32\Knkekn32.exe
        5⤵
        
        PID:8532

C:\Windows\SysWOW64\Lbgalmej.exe
C:\Windows\system32\Lbgalmej.exe
1⤵
PID:8576
- C:\Windows\SysWOW64\Leenhhdn.exe
  C:\Windows\system32\Leenhhdn.exe
  2⤵
  PID:8616
- - C:\Windows\SysWOW64\Lgcjdd32.exe
    C:\Windows\system32\Lgcjdd32.exe
    3⤵
    PID:8668

C:\Windows\SysWOW64\Ljbfpo32.exe
C:\Windows\system32\Ljbfpo32.exe
1⤵
PID:8708
- C:\Windows\SysWOW64\Lnnbqnjn.exe
  C:\Windows\system32\Lnnbqnjn.exe
  2⤵
  PID:8752

C:\Windows\SysWOW64\Licfngjd.exe
C:\Windows\system32\Licfngjd.exe
1⤵
PID:8792
- C:\Windows\SysWOW64\Lgffic32.exe
  C:\Windows\system32\Lgffic32.exe
  2⤵
  PID:8828

C:\Windows\SysWOW64\Ljdceo32.exe
C:\Windows\system32\Ljdceo32.exe
1⤵
PID:8872
- C:\Windows\SysWOW64\Lbkkgl32.exe
  C:\Windows\system32\Lbkkgl32.exe
  2⤵
  PID:8908
- - C:\Windows\SysWOW64\Lankbigo.exe
    C:\Windows\system32\Lankbigo.exe
    3⤵
    PID:8952

C:\Windows\SysWOW64\Lghcocol.exe
C:\Windows\system32\Lghcocol.exe
1⤵
PID:8992
- C:\Windows\SysWOW64\Ljgpkonp.exe
  C:\Windows\system32\Ljgpkonp.exe
  2⤵
  PID:9040

C:\Windows\SysWOW64\Lnbklm32.exe
C:\Windows\system32\Lnbklm32.exe
1⤵
PID:9080
- C:\Windows\SysWOW64\Laqhhi32.exe
  C:\Windows\system32\Laqhhi32.exe
  2⤵
  PID:9128
- - C:\Windows\SysWOW64\Lihpif32.exe
    C:\Windows\system32\Lihpif32.exe
    3⤵
    PID:9172

C:\Windows\SysWOW64\Lndham32.exe
C:\Windows\system32\Lndham32.exe
1⤵
PID:8216
- C:\Windows\SysWOW64\Lacdmh32.exe
  C:\Windows\system32\Lacdmh32.exe
  2⤵
  PID:8312
- - C:\Windows\SysWOW64\Lijlof32.exe
    C:\Windows\system32\Lijlof32.exe
    3⤵
    PID:8388

C:\Windows\SysWOW64\Llhikacp.exe
C:\Windows\system32\Llhikacp.exe
1⤵
PID:8476
- C:\Windows\SysWOW64\Mngegmbc.exe
  C:\Windows\system32\Mngegmbc.exe
  2⤵
  PID:8584
- - C:\Windows\SysWOW64\Meamcg32.exe
    C:\Windows\system32\Meamcg32.exe
    3⤵
    PID:8644
  - - C:\Windows\SysWOW64\Mhoipb32.exe
      C:\Windows\system32\Mhoipb32.exe
      4⤵
      PID:8820
    - - C:\Windows\SysWOW64\Mniallpq.exe
        
        C:\Windows\system32\Mniallpq.exe
        5⤵
        
        PID:8896
      - C:\Windows\SysWOW64\Mahnhhod.exe
        
        C:\Windows\system32\Mahnhhod.exe
        6⤵
        
        PID:8960

C:\Windows\SysWOW64\Miofjepg.exe
C:\Windows\system32\Miofjepg.exe
1⤵
PID:9012
- C:\Windows\SysWOW64\Meefofek.exe
  C:\Windows\system32\Meefofek.exe
  2⤵
  PID:9124
- - C:\Windows\SysWOW64\Mlpokp32.exe
    C:\Windows\system32\Mlpokp32.exe
    3⤵
    PID:9160
  - - C:\Windows\SysWOW64\Mjbogmdb.exe
      C:\Windows\system32\Mjbogmdb.exe
      4⤵
      PID:8228
    - - C:\Windows\SysWOW64\Malgcg32.exe
        
        C:\Windows\system32\Malgcg32.exe
        5⤵
        
        PID:8348

C:\Windows\SysWOW64\Mehcdfch.exe
C:\Windows\system32\Mehcdfch.exe
1⤵
PID:8432
- C:\Windows\SysWOW64\Mhfppabl.exe
  C:\Windows\system32\Mhfppabl.exe
  2⤵
  PID:8304

C:\Windows\SysWOW64\Mjellmbp.exe
C:\Windows\system32\Mjellmbp.exe
1⤵
PID:8748
- C:\Windows\SysWOW64\Mblcnj32.exe
  C:\Windows\system32\Mblcnj32.exe
  2⤵
  PID:8904

C:\Windows\SysWOW64\Maodigil.exe
C:\Windows\system32\Maodigil.exe
1⤵
PID:9004
- C:\Windows\SysWOW64\Mifljdjo.exe
  C:\Windows\system32\Mifljdjo.exe
  2⤵
  PID:9152

C:\Windows\SysWOW64\Mldhfpib.exe
C:\Windows\system32\Mldhfpib.exe
1⤵
PID:1908
- C:\Windows\SysWOW64\Njghbl32.exe
  C:\Windows\system32\Njghbl32.exe
  2⤵
  PID:8444

C:\Windows\SysWOW64\Nbnpcj32.exe
C:\Windows\system32\Nbnpcj32.exe
1⤵
PID:5260
- C:\Windows\SysWOW64\Naaqofgj.exe
  C:\Windows\system32\Naaqofgj.exe
  2⤵
  PID:8860
- - C:\Windows\SysWOW64\Njiegl32.exe
    C:\Windows\system32\Njiegl32.exe
    3⤵
    PID:9036
  - - C:\Windows\SysWOW64\Nbqmiinl.exe
      C:\Windows\system32\Nbqmiinl.exe
      4⤵
      PID:9208
    - - C:\Windows\SysWOW64\Neoieenp.exe
        
        C:\Windows\system32\Neoieenp.exe
        5⤵
        
        PID:8596

C:\Windows\SysWOW64\Nhmeapmd.exe
C:\Windows\system32\Nhmeapmd.exe
1⤵
PID:5384
- C:\Windows\SysWOW64\Nliaao32.exe
  C:\Windows\system32\Nliaao32.exe
  2⤵
  PID:9164

C:\Windows\SysWOW64\Nognnj32.exe
C:\Windows\system32\Nognnj32.exe
1⤵
PID:8652
- C:\Windows\SysWOW64\Nafjjf32.exe
  C:\Windows\system32\Nafjjf32.exe
  2⤵
  PID:8988
- - C:\Windows\SysWOW64\Nimbkc32.exe
    C:\Windows\system32\Nimbkc32.exe
    3⤵
    PID:8556

C:\Windows\SysWOW64\Nknobkje.exe
C:\Windows\system32\Nknobkje.exe
1⤵
PID:8524
- C:\Windows\SysWOW64\Nojjcj32.exe
  C:\Windows\system32\Nojjcj32.exe
  2⤵
  PID:8268
- - C:\Windows\SysWOW64\Neccpd32.exe
    C:\Windows\system32\Neccpd32.exe
    3⤵
    PID:9232

C:\Windows\SysWOW64\Niooqcad.exe
C:\Windows\system32\Niooqcad.exe
1⤵
PID:9276
- C:\Windows\SysWOW64\Nlnkmnah.exe
  C:\Windows\system32\Nlnkmnah.exe
  2⤵
  PID:9320

C:\Windows\SysWOW64\Nolgijpk.exe
C:\Windows\system32\Nolgijpk.exe
1⤵
PID:9356
- C:\Windows\SysWOW64\Nbgcih32.exe
  C:\Windows\system32\Nbgcih32.exe
  2⤵
  PID:9404

C:\Windows\SysWOW64\Nefped32.exe
C:\Windows\system32\Nefped32.exe
1⤵
PID:9444
- C:\Windows\SysWOW64\Nhdlao32.exe
  C:\Windows\system32\Nhdlao32.exe
  2⤵
  PID:9488

C:\Windows\SysWOW64\Okchnk32.exe
C:\Windows\system32\Okchnk32.exe
1⤵
PID:9536
- C:\Windows\SysWOW64\Objpoh32.exe
  C:\Windows\system32\Objpoh32.exe
  2⤵
  PID:9584

C:\Windows\SysWOW64\Oampjeml.exe
C:\Windows\system32\Oampjeml.exe
1⤵
PID:9620
- C:\Windows\SysWOW64\Oidhlb32.exe
  C:\Windows\system32\Oidhlb32.exe
  2⤵
  PID:9664

C:\Windows\SysWOW64\Olbdhn32.exe
C:\Windows\system32\Olbdhn32.exe
1⤵
PID:9712
- C:\Windows\SysWOW64\Okedcjcm.exe
  C:\Windows\system32\Okedcjcm.exe
  2⤵
  PID:9752
- - C:\Windows\SysWOW64\Oaompd32.exe
    C:\Windows\system32\Oaompd32.exe
    3⤵
    PID:9796
  - - C:\Windows\SysWOW64\Ohiemobf.exe
      C:\Windows\system32\Ohiemobf.exe
      4⤵
      PID:9836

C:\Windows\SysWOW64\Okgaijaj.exe
C:\Windows\system32\Okgaijaj.exe
1⤵
PID:9876
- C:\Windows\SysWOW64\Oboijgbl.exe
  C:\Windows\system32\Oboijgbl.exe
  2⤵
  PID:9924

C:\Windows\SysWOW64\Okjnnj32.exe
C:\Windows\system32\Okjnnj32.exe
1⤵
PID:9964
- C:\Windows\SysWOW64\Ooejohhq.exe
  C:\Windows\system32\Ooejohhq.exe
  2⤵
  PID:10004

C:\Windows\SysWOW64\Oadfkdgd.exe
C:\Windows\system32\Oadfkdgd.exe
1⤵
PID:10048
- C:\Windows\SysWOW64\Olijhmgj.exe
  C:\Windows\system32\Olijhmgj.exe
  2⤵
  PID:10096

C:\Windows\SysWOW64\Oklkdi32.exe
C:\Windows\system32\Oklkdi32.exe
1⤵
PID:10132
- C:\Windows\SysWOW64\Obcceg32.exe
  C:\Windows\system32\Obcceg32.exe
  2⤵
  PID:10176

C:\Windows\SysWOW64\Oafcqcea.exe
C:\Windows\system32\Oafcqcea.exe
1⤵
PID:10224
- C:\Windows\SysWOW64\Ohpkmn32.exe
  C:\Windows\system32\Ohpkmn32.exe
  2⤵
  PID:9244

C:\Windows\SysWOW64\Pkogiikb.exe
C:\Windows\system32\Pkogiikb.exe
1⤵
PID:9308
- C:\Windows\SysWOW64\Pojcjh32.exe
  C:\Windows\system32\Pojcjh32.exe
  2⤵
  PID:9396
- - C:\Windows\SysWOW64\Pedlgbkh.exe
    C:\Windows\system32\Pedlgbkh.exe
    3⤵
    PID:9436

C:\Windows\SysWOW64\Piphgq32.exe
C:\Windows\system32\Piphgq32.exe
1⤵
PID:9516
- C:\Windows\SysWOW64\Plndcl32.exe
  C:\Windows\system32\Plndcl32.exe
  2⤵
  PID:9592

C:\Windows\SysWOW64\Polppg32.exe
C:\Windows\system32\Polppg32.exe
1⤵
PID:9660
- C:\Windows\SysWOW64\Pakllc32.exe
  C:\Windows\system32\Pakllc32.exe
  2⤵
  PID:9744
- - C:\Windows\SysWOW64\Phedhmhi.exe
    C:\Windows\system32\Phedhmhi.exe
    3⤵
    PID:9788
  - - C:\Windows\SysWOW64\Pkcadhgm.exe
      C:\Windows\system32\Pkcadhgm.exe
      4⤵
      PID:9872

C:\Windows\SysWOW64\Peieba32.exe
C:\Windows\system32\Peieba32.exe
1⤵
PID:10000
- C:\Windows\SysWOW64\Pidabppl.exe
  C:\Windows\system32\Pidabppl.exe
  2⤵
  PID:10084

C:\Windows\SysWOW64\Plbmokop.exe
C:\Windows\system32\Plbmokop.exe
1⤵
PID:10156
- C:\Windows\SysWOW64\Poajkgnc.exe
  C:\Windows\system32\Poajkgnc.exe
  2⤵
  PID:10216
- - C:\Windows\SysWOW64\Pcmeke32.exe
    C:\Windows\system32\Pcmeke32.exe
    3⤵
    PID:9300
  - - C:\Windows\SysWOW64\Phincl32.exe
      C:\Windows\system32\Phincl32.exe
      4⤵
      PID:9412

C:\Windows\SysWOW64\Plejdkmm.exe
C:\Windows\system32\Plejdkmm.exe
1⤵
PID:9504
- C:\Windows\SysWOW64\Pocfpf32.exe
  C:\Windows\system32\Pocfpf32.exe
  2⤵
  PID:9632

C:\Windows\SysWOW64\Pabblb32.exe
C:\Windows\system32\Pabblb32.exe
1⤵
PID:9720
- C:\Windows\SysWOW64\Piijno32.exe
  C:\Windows\system32\Piijno32.exe
  2⤵
  PID:9844

C:\Windows\SysWOW64\Qhlkilba.exe
C:\Windows\system32\Qhlkilba.exe
1⤵
PID:9984
- C:\Windows\SysWOW64\Qkjgegae.exe
  C:\Windows\system32\Qkjgegae.exe
  2⤵
  PID:10092

C:\Windows\SysWOW64\Qcaofebg.exe
C:\Windows\system32\Qcaofebg.exe
1⤵
PID:10192
- C:\Windows\SysWOW64\Qadoba32.exe
  C:\Windows\system32\Qadoba32.exe
  2⤵
  PID:9264

C:\Windows\SysWOW64\Qhngolpo.exe
C:\Windows\system32\Qhngolpo.exe
1⤵
PID:9452
- C:\Windows\SysWOW64\Qljcoj32.exe
  C:\Windows\system32\Qljcoj32.exe
  2⤵
  PID:9564

C:\Windows\SysWOW64\Qohpkf32.exe
C:\Windows\system32\Qohpkf32.exe
1⤵
PID:9780
- C:\Windows\SysWOW64\Qebhhp32.exe
  C:\Windows\system32\Qebhhp32.exe
  2⤵
  PID:9992

C:\Windows\SysWOW64\Allpejfe.exe
C:\Windows\system32\Allpejfe.exe
1⤵
PID:9480
- C:\Windows\SysWOW64\Acfhad32.exe
  C:\Windows\system32\Acfhad32.exe
  2⤵
  PID:9388
- - C:\Windows\SysWOW64\Aeddnp32.exe
    C:\Windows\system32\Aeddnp32.exe
    3⤵
    PID:9644
  - - C:\Windows\SysWOW64\Alnmjjdb.exe
      C:\Windows\system32\Alnmjjdb.exe
      4⤵
      PID:9956
    - - C:\Windows\SysWOW64\Aomifecf.exe
        
        C:\Windows\system32\Aomifecf.exe
        5⤵
        
        PID:10160

C:\Windows\SysWOW64\Achegd32.exe
C:\Windows\system32\Achegd32.exe
1⤵
PID:9580
- C:\Windows\SysWOW64\Afgacokc.exe
  C:\Windows\system32\Afgacokc.exe
  2⤵
  PID:9996

C:\Windows\SysWOW64\Alqjpi32.exe
C:\Windows\system32\Alqjpi32.exe
1⤵
PID:9376
- C:\Windows\SysWOW64\Aoofle32.exe
  C:\Windows\system32\Aoofle32.exe
  2⤵
  PID:9364
- - C:\Windows\SysWOW64\Aanbhp32.exe
    C:\Windows\system32\Aanbhp32.exe
    3⤵
    PID:5604
  - - C:\Windows\SysWOW64\Alcfei32.exe
      C:\Windows\system32\Alcfei32.exe
      4⤵
      PID:10272
    - - C:\Windows\SysWOW64\Akffafgg.exe
        
        C:\Windows\system32\Akffafgg.exe
        5⤵
        
        PID:10320
      - C:\Windows\SysWOW64\Ajggomog.exe
        
        C:\Windows\system32\Ajggomog.exe
        6⤵
        
        PID:10364

C:\Windows\SysWOW64\Aleckinj.exe
C:\Windows\system32\Aleckinj.exe
1⤵
PID:10404
- C:\Windows\SysWOW64\Aodogdmn.exe
  C:\Windows\system32\Aodogdmn.exe
  2⤵
  PID:10452
- - C:\Windows\SysWOW64\Abbkcpma.exe
    C:\Windows\system32\Abbkcpma.exe
    3⤵
    PID:10496

C:\Windows\SysWOW64\Bkkple32.exe
C:\Windows\system32\Bkkple32.exe
1⤵
PID:10568
- C:\Windows\SysWOW64\Bcahmb32.exe
  C:\Windows\system32\Bcahmb32.exe
  2⤵
  PID:10616
- - C:\Windows\SysWOW64\Bbdhiojo.exe
    C:\Windows\system32\Bbdhiojo.exe
    3⤵
    PID:10652

C:\Windows\SysWOW64\Bjlpjm32.exe
C:\Windows\system32\Bjlpjm32.exe
1⤵
PID:10692
- C:\Windows\SysWOW64\Bljlfh32.exe
  C:\Windows\system32\Bljlfh32.exe
  2⤵
  PID:10736

C:\Windows\SysWOW64\Bcddcbab.exe
C:\Windows\system32\Bcddcbab.exe
1⤵
PID:10820
- C:\Windows\SysWOW64\Bfbaonae.exe
  C:\Windows\system32\Bfbaonae.exe
  2⤵
  PID:10868
- - C:\Windows\SysWOW64\Bhamkipi.exe
    C:\Windows\system32\Bhamkipi.exe
    3⤵
    PID:10908

C:\Windows\SysWOW64\Bohibc32.exe
C:\Windows\system32\Bohibc32.exe
1⤵
PID:10776

C:\Windows\SysWOW64\Bbiado32.exe
C:\Windows\system32\Bbiado32.exe
1⤵
PID:10940
- C:\Windows\SysWOW64\Bhcjqinf.exe
  C:\Windows\system32\Bhcjqinf.exe
  2⤵
  PID:10992
- - C:\Windows\SysWOW64\Bkafmd32.exe
    C:\Windows\system32\Bkafmd32.exe
    3⤵
    PID:11052
  - - C:\Windows\SysWOW64\Glcaambb.exe
      C:\Windows\system32\Glcaambb.exe
      4⤵
      PID:11096
    - - C:\Windows\SysWOW64\Gmbmkpie.exe
        
        C:\Windows\system32\Gmbmkpie.exe
        5⤵
        
        PID:11136
      - C:\Windows\SysWOW64\Gbofcghl.exe
        
        C:\Windows\system32\Gbofcghl.exe
        6⤵
        
        PID:11176
        
        C:\Windows\SysWOW64\Giinpa32.exe
        
        C:\Windows\system32\Giinpa32.exe
        7⤵
        
        PID:11216
        
        C:\Windows\SysWOW64\Gmiclo32.exe
        
        C:\Windows\system32\Gmiclo32.exe
        8⤵
        
        PID:11256
        
        C:\Windows\SysWOW64\Gipdap32.exe
        
        C:\Windows\system32\Gipdap32.exe
        9⤵
        
        PID:10260
        
        C:\Windows\SysWOW64\Hgdejd32.exe
        
        C:\Windows\system32\Hgdejd32.exe
        10⤵
        
        PID:10332
        
        C:\Windows\SysWOW64\Hdhedh32.exe
        
        C:\Windows\system32\Hdhedh32.exe
        11⤵
        
        PID:10400

C:\Windows\SysWOW64\Bhldpj32.exe
C:\Windows\system32\Bhldpj32.exe
1⤵
PID:10532

C:\Windows\SysWOW64\Pcjiff32.exe
C:\Windows\system32\Pcjiff32.exe
1⤵
PID:9944

C:\Windows\SysWOW64\Llflea32.exe
C:\Windows\system32\Llflea32.exe
1⤵
PID:9212

C:\Windows\SysWOW64\Hdjbiheb.exe
C:\Windows\system32\Hdjbiheb.exe
1⤵
PID:10492
- C:\Windows\SysWOW64\Hcmbee32.exe
  C:\Windows\system32\Hcmbee32.exe
  2⤵
  PID:6528
- - C:\Windows\SysWOW64\Higjaoci.exe
    C:\Windows\system32\Higjaoci.exe
    3⤵
    PID:6160

C:\Windows\SysWOW64\Hmbfbn32.exe
C:\Windows\system32\Hmbfbn32.exe
1⤵
PID:10604
- C:\Windows\SysWOW64\Hpabni32.exe
  C:\Windows\system32\Hpabni32.exe
  2⤵
  PID:10660
- - C:\Windows\SysWOW64\Hcpojd32.exe
    C:\Windows\system32\Hcpojd32.exe
    3⤵
    PID:10716
  - - C:\Windows\SysWOW64\Hdokdg32.exe
      C:\Windows\system32\Hdokdg32.exe
      4⤵
      PID:10828
    - - C:\Windows\SysWOW64\Hildmn32.exe
        
        C:\Windows\system32\Hildmn32.exe
        5⤵
        
        PID:10844
      - C:\Windows\SysWOW64\Igdnabjh.exe
        
        C:\Windows\system32\Igdnabjh.exe
        6⤵
        
        PID:10932
        
        C:\Windows\SysWOW64\Ipoopgnf.exe
        
        C:\Windows\system32\Ipoopgnf.exe
        7⤵
        
        PID:11020
        
        C:\Windows\SysWOW64\Jknfcofa.exe
        
        C:\Windows\system32\Jknfcofa.exe
        8⤵
        
        PID:7756
        
        C:\Windows\SysWOW64\Jnlbojee.exe
        
        C:\Windows\system32\Jnlbojee.exe
        9⤵
        
        PID:7116
        
        C:\Windows\SysWOW64\Jqknkedi.exe
        
        C:\Windows\system32\Jqknkedi.exe
        10⤵
        
        PID:11080
        
        C:\Windows\SysWOW64\Kcndbp32.exe
        
        C:\Windows\system32\Kcndbp32.exe
        11⤵
        
        PID:11160
        
        C:\Windows\SysWOW64\Kkeldnpi.exe
        
        C:\Windows\system32\Kkeldnpi.exe
        12⤵
        
        PID:11224
        
        C:\Windows\SysWOW64\Kqbdldnq.exe
        
        C:\Windows\system32\Kqbdldnq.exe
        13⤵
        
        PID:10268
        
        C:\Windows\SysWOW64\Kgninn32.exe
        
        C:\Windows\system32\Kgninn32.exe
        14⤵
        
        PID:7584
        
        C:\Windows\SysWOW64\Kdbjhbbd.exe
        
        C:\Windows\system32\Kdbjhbbd.exe
        15⤵
        
        PID:10460
        
        C:\Windows\SysWOW64\Lcggio32.exe
        
        C:\Windows\system32\Lcggio32.exe
        16⤵
        
        PID:6512
        
        C:\Windows\SysWOW64\Ljaoeini.exe
        
        C:\Windows\system32\Ljaoeini.exe
        17⤵
        
        PID:10576
        
        C:\Windows\SysWOW64\Lmdemd32.exe
        
        C:\Windows\system32\Lmdemd32.exe
        18⤵
        
        PID:10704
        
        C:\Windows\SysWOW64\Lenicahg.exe
        
        C:\Windows\system32\Lenicahg.exe
        19⤵
        
        PID:10784
        
        C:\Windows\SysWOW64\Mglfplgk.exe
        
        C:\Windows\system32\Mglfplgk.exe
        20⤵
        
        PID:10860

C:\Windows\SysWOW64\Mnfnlf32.exe
C:\Windows\system32\Mnfnlf32.exe
1⤵
PID:10916
- C:\Windows\SysWOW64\Mccfdmmo.exe
  C:\Windows\system32\Mccfdmmo.exe
  2⤵
  PID:11032
- - C:\Windows\SysWOW64\Mmkkmc32.exe
    C:\Windows\system32\Mmkkmc32.exe
    3⤵
    PID:4960

C:\Windows\SysWOW64\Maggnali.exe
C:\Windows\system32\Maggnali.exe
1⤵
PID:11212
- C:\Windows\SysWOW64\Mgaokl32.exe
  C:\Windows\system32\Mgaokl32.exe
  2⤵
  PID:10256
- - C:\Windows\SysWOW64\Meepdp32.exe
    C:\Windows\system32\Meepdp32.exe
    3⤵
    PID:10464
  - - C:\Windows\SysWOW64\Megljppl.exe
      C:\Windows\system32\Megljppl.exe
      4⤵
      PID:6396
    - - C:\Windows\SysWOW64\Mgehfkop.exe
        
        C:\Windows\system32\Mgehfkop.exe
        5⤵
        
        PID:10080
      - C:\Windows\SysWOW64\Napjdpcn.exe
        
        C:\Windows\system32\Napjdpcn.exe
        6⤵
        
        PID:10984
        
        C:\Windows\SysWOW64\Ngjbaj32.exe
        
        C:\Windows\system32\Ngjbaj32.exe
        7⤵
        
        PID:5540
        
        C:\Windows\SysWOW64\Njkkbehl.exe
        
        C:\Windows\system32\Njkkbehl.exe
        8⤵
        
        PID:11124
        
        C:\Windows\SysWOW64\Nlkgmh32.exe
        
        C:\Windows\system32\Nlkgmh32.exe
        9⤵
        
        PID:10392
        
        C:\Windows\SysWOW64\Njmhhefi.exe
        
        C:\Windows\system32\Njmhhefi.exe
        10⤵
        
        PID:10516
        
        C:\Windows\SysWOW64\Ndflak32.exe
        
        C:\Windows\system32\Ndflak32.exe
        11⤵
        
        PID:5484
        
        C:\Windows\SysWOW64\Nlmdbh32.exe
        
        C:\Windows\system32\Nlmdbh32.exe
        12⤵
        
        PID:11024
        
        C:\Windows\SysWOW64\Najmjokc.exe
        
        C:\Windows\system32\Najmjokc.exe
        13⤵
        
        PID:7068

C:\Windows\SysWOW64\Oeehkn32.exe
C:\Windows\system32\Oeehkn32.exe
1⤵
PID:10528
- C:\Windows\SysWOW64\Ojbacd32.exe
  C:\Windows\system32\Ojbacd32.exe
  2⤵
  PID:10960
- - C:\Windows\SysWOW64\Onnmdcjm.exe
    C:\Windows\system32\Onnmdcjm.exe
    3⤵
    PID:11244

C:\Windows\SysWOW64\Oalipoiq.exe
C:\Windows\system32\Oalipoiq.exe
1⤵
PID:5172
- C:\Windows\SysWOW64\Olanmgig.exe
  C:\Windows\system32\Olanmgig.exe
  2⤵
  PID:10700

C:\Windows\SysWOW64\Onpjichj.exe
C:\Windows\system32\Onpjichj.exe
1⤵
PID:5784
- C:\Windows\SysWOW64\Oejbfmpg.exe
  C:\Windows\system32\Oejbfmpg.exe
  2⤵
  PID:11296
- - C:\Windows\SysWOW64\Odmbaj32.exe
    C:\Windows\system32\Odmbaj32.exe
    3⤵
    PID:11332

C:\Windows\SysWOW64\Oldjcg32.exe
C:\Windows\system32\Oldjcg32.exe
1⤵
PID:11376
- C:\Windows\SysWOW64\Oobfob32.exe
  C:\Windows\system32\Oobfob32.exe
  2⤵
  PID:11416
- - C:\Windows\SysWOW64\Oelolmnd.exe
    C:\Windows\system32\Oelolmnd.exe
    3⤵
    PID:11456
  - - C:\Windows\SysWOW64\Ohkkhhmh.exe
      C:\Windows\system32\Ohkkhhmh.exe
      4⤵
      PID:11496

C:\Windows\SysWOW64\Oodcdb32.exe
C:\Windows\system32\Oodcdb32.exe
1⤵
PID:11576
- C:\Windows\SysWOW64\Oacoqnci.exe
  C:\Windows\system32\Oacoqnci.exe
  2⤵
  PID:11624
- - C:\Windows\SysWOW64\Ohmhmh32.exe
    C:\Windows\system32\Ohmhmh32.exe
    3⤵
    PID:11660
  - - C:\Windows\SysWOW64\Okkdic32.exe
      C:\Windows\system32\Okkdic32.exe
      4⤵
      PID:11700

C:\Windows\SysWOW64\Omjpeo32.exe
C:\Windows\system32\Omjpeo32.exe
1⤵
PID:11748
- C:\Windows\SysWOW64\Peahgl32.exe
  C:\Windows\system32\Peahgl32.exe
  2⤵
  PID:11792
- - C:\Windows\SysWOW64\Phodcg32.exe
    C:\Windows\system32\Phodcg32.exe
    3⤵
    PID:11832
  - - C:\Windows\SysWOW64\Pmlmkn32.exe
      C:\Windows\system32\Pmlmkn32.exe
      4⤵
      PID:11872
    - - C:\Windows\SysWOW64\Pecellgl.exe
        
        C:\Windows\system32\Pecellgl.exe
        5⤵
        
        PID:11908

C:\Windows\SysWOW64\Phaahggp.exe
C:\Windows\system32\Phaahggp.exe
1⤵
PID:11948
- C:\Windows\SysWOW64\Plmmif32.exe
  C:\Windows\system32\Plmmif32.exe
  2⤵
  PID:11988
- - C:\Windows\SysWOW64\Pmoiqneg.exe
    C:\Windows\system32\Pmoiqneg.exe
    3⤵
    PID:12036

C:\Windows\SysWOW64\Pefabkej.exe
C:\Windows\system32\Pefabkej.exe
1⤵
PID:12076
- C:\Windows\SysWOW64\Phdnngdn.exe
  C:\Windows\system32\Phdnngdn.exe
  2⤵
  PID:12116

C:\Windows\SysWOW64\Pkbjjbda.exe
C:\Windows\system32\Pkbjjbda.exe
1⤵
PID:12160
- C:\Windows\SysWOW64\Pmaffnce.exe
  C:\Windows\system32\Pmaffnce.exe
  2⤵
  PID:12204
- - C:\Windows\SysWOW64\Pdkoch32.exe
    C:\Windows\system32\Pdkoch32.exe
    3⤵
    PID:12244
  - - C:\Windows\SysWOW64\Plbfdekd.exe
      C:\Windows\system32\Plbfdekd.exe
      4⤵
      PID:12284

C:\Windows\SysWOW64\Pmcclm32.exe
C:\Windows\system32\Pmcclm32.exe
1⤵
PID:11324
- C:\Windows\SysWOW64\Paoollik.exe
  C:\Windows\system32\Paoollik.exe
  2⤵
  PID:11408

C:\Windows\SysWOW64\Pocpfphe.exe
C:\Windows\system32\Pocpfphe.exe
1⤵
PID:11528
- C:\Windows\SysWOW64\Qmepam32.exe
  C:\Windows\system32\Qmepam32.exe
  2⤵
  PID:11620

C:\Windows\SysWOW64\Qhkdof32.exe
C:\Windows\system32\Qhkdof32.exe
1⤵
PID:11740
- C:\Windows\SysWOW64\Qmhlgmmm.exe
  C:\Windows\system32\Qmhlgmmm.exe
  2⤵
  PID:11780

C:\Windows\SysWOW64\Qeodhjmo.exe
C:\Windows\system32\Qeodhjmo.exe
1⤵
PID:4144
- C:\Windows\SysWOW64\Qlimed32.exe
  C:\Windows\system32\Qlimed32.exe
  2⤵
  PID:11904
- - C:\Windows\SysWOW64\Aogiap32.exe
    C:\Windows\system32\Aogiap32.exe
    3⤵
    PID:11996
  - - C:\Windows\SysWOW64\Ahbjoe32.exe
      C:\Windows\system32\Ahbjoe32.exe
      4⤵
      PID:12016

C:\Windows\SysWOW64\Aolblopj.exe
C:\Windows\system32\Aolblopj.exe
1⤵
PID:12108
- C:\Windows\SysWOW64\Aajohjon.exe
  C:\Windows\system32\Aajohjon.exe
  2⤵
  PID:12156

C:\Windows\SysWOW64\Aehgnied.exe
C:\Windows\system32\Aehgnied.exe
1⤵
PID:11488
- C:\Windows\SysWOW64\Ahgcjddh.exe
  C:\Windows\system32\Ahgcjddh.exe
  2⤵
  PID:11556
- - C:\Windows\SysWOW64\Akepfpcl.exe
    C:\Windows\system32\Akepfpcl.exe
    3⤵
    PID:11668

C:\Windows\SysWOW64\Anclbkbp.exe
C:\Windows\system32\Anclbkbp.exe
1⤵
PID:11684
- C:\Windows\SysWOW64\Aekddhcb.exe
  C:\Windows\system32\Aekddhcb.exe
  2⤵
  PID:3496
- - C:\Windows\SysWOW64\Adndoe32.exe
    C:\Windows\system32\Adndoe32.exe
    3⤵
    PID:3476

C:\Windows\SysWOW64\Alelqb32.exe
C:\Windows\system32\Alelqb32.exe
1⤵
PID:11956
- C:\Windows\SysWOW64\Bochmn32.exe
  C:\Windows\system32\Bochmn32.exe
  2⤵
  PID:2924

C:\Windows\SysWOW64\Bhkmec32.exe
C:\Windows\system32\Bhkmec32.exe
1⤵
PID:11972
- C:\Windows\SysWOW64\Bkjiao32.exe
  C:\Windows\system32\Bkjiao32.exe
  2⤵
  PID:2832

C:\Windows\SysWOW64\Blielbfi.exe
C:\Windows\system32\Blielbfi.exe
1⤵
PID:4284
- C:\Windows\SysWOW64\Bohbhmfm.exe
  C:\Windows\system32\Bohbhmfm.exe
  2⤵
  PID:4672

C:\Windows\SysWOW64\Bddjpd32.exe
C:\Windows\system32\Bddjpd32.exe
1⤵
PID:11648
- C:\Windows\SysWOW64\Bhpfqcln.exe
  C:\Windows\system32\Bhpfqcln.exe
  2⤵
  PID:1756

C:\Windows\SysWOW64\Blnoga32.exe
C:\Windows\system32\Blnoga32.exe
1⤵
PID:3680
- C:\Windows\SysWOW64\Bnoknihb.exe
  C:\Windows\system32\Bnoknihb.exe
  2⤵
  PID:1896

C:\Windows\SysWOW64\Bakgoh32.exe
C:\Windows\system32\Bakgoh32.exe
1⤵
PID:1512
- C:\Windows\SysWOW64\Bdickcpo.exe
  C:\Windows\system32\Bdickcpo.exe
  2⤵
  PID:1080

C:\Windows\SysWOW64\Cfipef32.exe
C:\Windows\system32\Cfipef32.exe
1⤵
PID:3984
- C:\Windows\SysWOW64\Chglab32.exe
  C:\Windows\system32\Chglab32.exe
  2⤵
  PID:3828

C:\Windows\SysWOW64\Cndeii32.exe
C:\Windows\system32\Cndeii32.exe
1⤵
PID:5012
- C:\Windows\SysWOW64\Cfkmkf32.exe
  C:\Windows\system32\Cfkmkf32.exe
  2⤵
  PID:2680

C:\Windows\SysWOW64\Cdnmfclj.exe
C:\Windows\system32\Cdnmfclj.exe
1⤵
PID:11840
- C:\Windows\SysWOW64\Cleegp32.exe
  C:\Windows\system32\Cleegp32.exe
  2⤵
  PID:2276
- - C:\Windows\SysWOW64\Cnfaohbj.exe
    C:\Windows\system32\Cnfaohbj.exe
    3⤵
    PID:11936

C:\Windows\SysWOW64\Clgbmp32.exe
C:\Windows\system32\Clgbmp32.exe
1⤵
PID:12148
- C:\Windows\SysWOW64\Ckjbhmad.exe
  C:\Windows\system32\Ckjbhmad.exe
  2⤵
  PID:4160
- - C:\Windows\SysWOW64\Cnindhpg.exe
    C:\Windows\system32\Cnindhpg.exe
    3⤵
    PID:11360

C:\Windows\SysWOW64\Cljobphg.exe
C:\Windows\system32\Cljobphg.exe
1⤵
PID:3440
- C:\Windows\SysWOW64\Cohkokgj.exe
  C:\Windows\system32\Cohkokgj.exe
  2⤵
  - Adds autorun key to be loaded by Explorer.exe on startup
  - Executes dropped EXE
  - Drops file in System32 directory
  - Modifies registry class
  - Suspicious use of WriteProcessMemory
  PID:4752

C:\Windows\SysWOW64\Chqogq32.exe
C:\Windows\system32\Chqogq32.exe
1⤵
PID:4012
- C:\Windows\SysWOW64\Dkokcl32.exe
  C:\Windows\system32\Dkokcl32.exe
  2⤵
  PID:2432

C:\Windows\SysWOW64\Domdjj32.exe
C:\Windows\system32\Domdjj32.exe
1⤵
PID:5300
- C:\Windows\SysWOW64\Dbkqfe32.exe
  C:\Windows\system32\Dbkqfe32.exe
  2⤵
  PID:11772

C:\Windows\SysWOW64\Ddjmba32.exe
C:\Windows\system32\Ddjmba32.exe
1⤵
PID:4692
- C:\Windows\SysWOW64\Dkceokii.exe
  C:\Windows\system32\Dkceokii.exe
  2⤵
  PID:4384

C:\Windows\SysWOW64\Ddligq32.exe
C:\Windows\system32\Ddligq32.exe
1⤵
PID:568
- C:\Windows\SysWOW64\Dmcain32.exe
  C:\Windows\system32\Dmcain32.exe
  2⤵
  PID:5516

C:\Windows\SysWOW64\Doaneiop.exe
C:\Windows\system32\Doaneiop.exe
1⤵
PID:11464
- C:\Windows\SysWOW64\Dndnpf32.exe
  C:\Windows\system32\Dndnpf32.exe
  2⤵
  PID:5600

C:\Windows\SysWOW64\Dflfac32.exe
C:\Windows\system32\Dflfac32.exe
1⤵
PID:3836
- C:\Windows\SysWOW64\Dijbno32.exe
  C:\Windows\system32\Dijbno32.exe
  2⤵
  PID:2912
- - C:\Windows\SysWOW64\Dkhnjk32.exe
    C:\Windows\system32\Dkhnjk32.exe
    3⤵
    PID:812

C:\Windows\SysWOW64\Dngjff32.exe
C:\Windows\system32\Dngjff32.exe
1⤵
PID:12228
- C:\Windows\SysWOW64\Dbbffdlq.exe
  C:\Windows\system32\Dbbffdlq.exe
  2⤵
  PID:11404

C:\Windows\SysWOW64\Deqcbpld.exe
C:\Windows\system32\Deqcbpld.exe
1⤵
PID:11616
- C:\Windows\SysWOW64\Emhkdmlg.exe
  C:\Windows\system32\Emhkdmlg.exe
  2⤵
  PID:4948

C:\Windows\SysWOW64\Ekkkoj32.exe
C:\Windows\system32\Ekkkoj32.exe
1⤵
PID:5388
- C:\Windows\SysWOW64\Enigke32.exe
  C:\Windows\system32\Enigke32.exe
  2⤵
  PID:4532
- - C:\Windows\SysWOW64\Efpomccg.exe
    C:\Windows\system32\Efpomccg.exe
    3⤵
    PID:4780

C:\Windows\SysWOW64\Eiokinbk.exe
C:\Windows\system32\Eiokinbk.exe
1⤵
PID:11572
- C:\Windows\SysWOW64\Ekmhejao.exe
  C:\Windows\system32\Ekmhejao.exe
  2⤵
  PID:5804

C:\Windows\SysWOW64\Eoideh32.exe
C:\Windows\system32\Eoideh32.exe
1⤵
PID:5276
- C:\Windows\SysWOW64\Ebgpad32.exe
  C:\Windows\system32\Ebgpad32.exe
  2⤵
  PID:408
- - C:\Windows\SysWOW64\Eeelnp32.exe
    C:\Windows\system32\Eeelnp32.exe
    3⤵
    PID:5508

C:\Windows\SysWOW64\Emmdom32.exe
C:\Windows\system32\Emmdom32.exe
1⤵
PID:5416
- C:\Windows\SysWOW64\Ekodjiol.exe
  C:\Windows\system32\Ekodjiol.exe
  2⤵
  PID:5588

C:\Windows\SysWOW64\Ekdnei32.exe
C:\Windows\system32\Ekdnei32.exe
1⤵
PID:5400
- C:\Windows\SysWOW64\Eppjfgcp.exe
  C:\Windows\system32\Eppjfgcp.exe
  2⤵
  PID:5292
- - C:\Windows\SysWOW64\Efjbcakl.exe
    C:\Windows\system32\Efjbcakl.exe
    3⤵
    PID:5156

C:\Windows\SysWOW64\Fihnomjp.exe
C:\Windows\system32\Fihnomjp.exe
1⤵
PID:5828

C:\Windows\SysWOW64\Fligqhga.exe
C:\Windows\system32\Fligqhga.exe
1⤵
PID:5948
- C:\Windows\SysWOW64\Fpdcag32.exe
  C:\Windows\system32\Fpdcag32.exe
  2⤵
  PID:5192

C:\Windows\SysWOW64\Fbbpmb32.exe
C:\Windows\system32\Fbbpmb32.exe
1⤵
PID:5136
- C:\Windows\SysWOW64\Fealin32.exe
  C:\Windows\system32\Fealin32.exe
  2⤵
  PID:5836

C:\Windows\SysWOW64\Fimhjl32.exe
C:\Windows\system32\Fimhjl32.exe
1⤵
PID:5916
- C:\Windows\SysWOW64\Fmhdkknd.exe
  C:\Windows\system32\Fmhdkknd.exe
  2⤵
  PID:6016

C:\Windows\SysWOW64\Fnipbc32.exe
C:\Windows\system32\Fnipbc32.exe
1⤵
PID:5972
- C:\Windows\SysWOW64\Ffqhcq32.exe
  C:\Windows\system32\Ffqhcq32.exe
  2⤵
  PID:12300

C:\Windows\SysWOW64\Fiodpl32.exe
C:\Windows\system32\Fiodpl32.exe
1⤵
PID:12340
- C:\Windows\SysWOW64\Fmkqpkla.exe
  C:\Windows\system32\Fmkqpkla.exe
  2⤵
  PID:12384

C:\Windows\SysWOW64\Fpimlfke.exe
C:\Windows\system32\Fpimlfke.exe
1⤵
PID:12420
- C:\Windows\SysWOW64\Fbgihaji.exe
  C:\Windows\system32\Fbgihaji.exe
  2⤵
  PID:12468

C:\Windows\SysWOW64\Fefedmil.exe
C:\Windows\system32\Fefedmil.exe
1⤵
PID:12508
- C:\Windows\SysWOW64\Fiaael32.exe
  C:\Windows\system32\Fiaael32.exe
  2⤵
  PID:12552
- - C:\Windows\SysWOW64\Fnnjmbpm.exe
    C:\Windows\system32\Fnnjmbpm.exe
    3⤵
    PID:12592

C:\Windows\SysWOW64\Gblbca32.exe
C:\Windows\system32\Gblbca32.exe
1⤵
PID:12708
- C:\Windows\SysWOW64\Gfhndpol.exe
  C:\Windows\system32\Gfhndpol.exe
  2⤵
  PID:12752

C:\Windows\SysWOW64\Gncchb32.exe
C:\Windows\system32\Gncchb32.exe
1⤵
PID:12876
- C:\Windows\SysWOW64\Gfjkjo32.exe
  C:\Windows\system32\Gfjkjo32.exe
  2⤵
  PID:12916

C:\Windows\SysWOW64\Gihgfk32.exe
C:\Windows\system32\Gihgfk32.exe
1⤵
PID:12956
- C:\Windows\SysWOW64\Glgcbf32.exe
  C:\Windows\system32\Glgcbf32.exe
  2⤵
  PID:13000

C:\Windows\SysWOW64\Gmfplibd.exe
C:\Windows\system32\Gmfplibd.exe
1⤵
PID:13124
- C:\Windows\SysWOW64\Gpelhd32.exe
  C:\Windows\system32\Gpelhd32.exe
  2⤵
  PID:13164

C:\Windows\SysWOW64\Gbchdp32.exe
C:\Windows\system32\Gbchdp32.exe
1⤵
PID:13208
- C:\Windows\SysWOW64\Geaepk32.exe
  C:\Windows\system32\Geaepk32.exe
  2⤵
  PID:13248

C:\Windows\SysWOW64\Hffken32.exe
C:\Windows\system32\Hffken32.exe
1⤵
PID:12292
- C:\Windows\SysWOW64\Hidgai32.exe
  C:\Windows\system32\Hidgai32.exe
  2⤵
  PID:5448
- - C:\Windows\SysWOW64\Hlbcnd32.exe
    C:\Windows\system32\Hlbcnd32.exe
    3⤵
    PID:12392

C:\Windows\SysWOW64\Hoaojp32.exe
C:\Windows\system32\Hoaojp32.exe
1⤵
PID:12436
- C:\Windows\SysWOW64\Hfhgkmpj.exe
  C:\Windows\system32\Hfhgkmpj.exe
  2⤵
  PID:5552

C:\Windows\SysWOW64\Hfjdqmng.exe
C:\Windows\system32\Hfjdqmng.exe
1⤵
PID:12692
- C:\Windows\SysWOW64\Hiipmhmk.exe
  C:\Windows\system32\Hiipmhmk.exe
  2⤵
  PID:12736
- - C:\Windows\SysWOW64\Hlglidlo.exe
    C:\Windows\system32\Hlglidlo.exe
    3⤵
    PID:12780

C:\Windows\SysWOW64\Hpchib32.exe
C:\Windows\system32\Hpchib32.exe
1⤵
PID:12828
- C:\Windows\SysWOW64\Ifmqfm32.exe
  C:\Windows\system32\Ifmqfm32.exe
  2⤵
  PID:12852

C:\Windows\SysWOW64\Ipjoja32.exe
C:\Windows\system32\Ipjoja32.exe
1⤵
PID:13256
- C:\Windows\SysWOW64\Ibhkfm32.exe
  C:\Windows\system32\Ibhkfm32.exe
  2⤵
  PID:13280

C:\Windows\SysWOW64\Igdgglfl.exe
C:\Windows\system32\Igdgglfl.exe
1⤵
PID:13304
- C:\Windows\SysWOW64\Iibccgep.exe
  C:\Windows\system32\Iibccgep.exe
  2⤵
  PID:5820

C:\Windows\SysWOW64\Ieidhh32.exe
C:\Windows\system32\Ieidhh32.exe
1⤵
PID:12548
- C:\Windows\SysWOW64\Ilcldb32.exe
  C:\Windows\system32\Ilcldb32.exe
  2⤵
  PID:5652
- - C:\Windows\SysWOW64\Joahqn32.exe
    C:\Windows\system32\Joahqn32.exe
    3⤵
    PID:5352
  - - C:\Windows\SysWOW64\Jekqmhia.exe
      C:\Windows\system32\Jekqmhia.exe
      4⤵
      PID:4660
    - - C:\Windows\SysWOW64\Jleijb32.exe
        
        C:\Windows\system32\Jleijb32.exe
        5⤵
        
        PID:6012
      - C:\Windows\SysWOW64\Jcoaglhk.exe
        
        C:\Windows\system32\Jcoaglhk.exe
        6⤵
        
        PID:12704
        
        C:\Windows\SysWOW64\Johnamkm.exe
        
        C:\Windows\system32\Johnamkm.exe
        7⤵
        
        PID:6168
        
        C:\Windows\SysWOW64\Jllokajf.exe
        
        C:\Windows\system32\Jllokajf.exe
        8⤵
        
        PID:12820
        
        C:\Windows\SysWOW64\Jgbchj32.exe
        
        C:\Windows\system32\Jgbchj32.exe
        9⤵
        
        PID:5132
        
        C:\Windows\SysWOW64\Jnlkedai.exe
        
        C:\Windows\system32\Jnlkedai.exe
        10⤵
        
        PID:4844

C:\Windows\SysWOW64\Ioolkncg.exe
C:\Windows\system32\Ioolkncg.exe
1⤵
PID:12456

C:\Windows\SysWOW64\Komhll32.exe
C:\Windows\system32\Komhll32.exe
1⤵
PID:6052
- C:\Windows\SysWOW64\Kgdpni32.exe
  C:\Windows\system32\Kgdpni32.exe
  2⤵
  PID:2412
- - C:\Windows\SysWOW64\Kjblje32.exe
    C:\Windows\system32\Kjblje32.exe
    3⤵
    PID:13032
  - - C:\Windows\SysWOW64\Kpmdfonj.exe
      C:\Windows\system32\Kpmdfonj.exe
      4⤵
      PID:13120
    - - C:\Windows\SysWOW64\Kgflcifg.exe
        
        C:\Windows\system32\Kgflcifg.exe
        5⤵
        
        PID:6476
      - C:\Windows\SysWOW64\Kjeiodek.exe
        
        C:\Windows\system32\Kjeiodek.exe
        6⤵
        
        PID:6520
        
        C:\Windows\SysWOW64\Kpoalo32.exe
        
        C:\Windows\system32\Kpoalo32.exe
        7⤵
        
        PID:6568
        
        C:\Windows\SysWOW64\Kgiiiidd.exe
        
        C:\Windows\system32\Kgiiiidd.exe
        8⤵
        
        PID:6076
        
        C:\Windows\SysWOW64\Kncaec32.exe
        
        C:\Windows\system32\Kncaec32.exe
        9⤵
        
        PID:6400
        
        C:\Windows\SysWOW64\Kpanan32.exe
        
        C:\Windows\system32\Kpanan32.exe
        10⤵
        
        PID:13276

C:\Windows\SysWOW64\Kcpjnjii.exe
C:\Windows\system32\Kcpjnjii.exe
1⤵
PID:6064
- C:\Windows\SysWOW64\Kjjbjd32.exe
  C:\Windows\system32\Kjjbjd32.exe
  2⤵
  PID:12372
- - C:\Windows\SysWOW64\Klhnfo32.exe
    C:\Windows\system32\Klhnfo32.exe
    3⤵
    PID:6796
  - - C:\Windows\SysWOW64\Kcbfcigf.exe
      C:\Windows\system32\Kcbfcigf.exe
      4⤵
      PID:5700
    - - C:\Windows\SysWOW64\Kfpcoefj.exe
        
        C:\Windows\system32\Kfpcoefj.exe
        5⤵
        
        PID:5612
      - C:\Windows\SysWOW64\Lljklo32.exe
        
        C:\Windows\system32\Lljklo32.exe
        6⤵
        
        PID:5968
        
        C:\Windows\SysWOW64\Lgpoihnl.exe
        
        C:\Windows\system32\Lgpoihnl.exe
        7⤵
        
        PID:6140
        
        C:\Windows\SysWOW64\Lnjgfb32.exe
        
        C:\Windows\system32\Lnjgfb32.exe
        8⤵
        
        PID:12840
        
        C:\Windows\SysWOW64\Lqhdbm32.exe
        
        C:\Windows\system32\Lqhdbm32.exe
        9⤵
        
        PID:6256
        
        C:\Windows\SysWOW64\Lcgpni32.exe
        
        C:\Windows\system32\Lcgpni32.exe
        10⤵
        
        PID:12992
        
        C:\Windows\SysWOW64\Ljqhkckn.exe
        
        C:\Windows\system32\Ljqhkckn.exe
        11⤵
        
        PID:6428
        
        C:\Windows\SysWOW64\Llodgnja.exe
        
        C:\Windows\system32\Llodgnja.exe
        12⤵
        
        PID:13216

C:\Windows\SysWOW64\Lgdidgjg.exe
C:\Windows\system32\Lgdidgjg.exe
1⤵
PID:5336
- C:\Windows\SysWOW64\Ljceqb32.exe
  C:\Windows\system32\Ljceqb32.exe
  2⤵
  PID:6444
- - C:\Windows\SysWOW64\Lopmii32.exe
    C:\Windows\system32\Lopmii32.exe
    3⤵
    PID:12364
  - - C:\Windows\SysWOW64\Lfjfecno.exe
      C:\Windows\system32\Lfjfecno.exe
      4⤵
      PID:6624
    - - C:\Windows\SysWOW64\Lmdnbn32.exe
        
        C:\Windows\system32\Lmdnbn32.exe
        5⤵
        
        PID:5196

C:\Windows\SysWOW64\Lgibpf32.exe
C:\Windows\system32\Lgibpf32.exe
1⤵
PID:12868
- C:\Windows\SysWOW64\Lncjlq32.exe
  C:\Windows\system32\Lncjlq32.exe
  2⤵
  PID:13064
- - C:\Windows\SysWOW64\Mqafhl32.exe
    C:\Windows\system32\Mqafhl32.exe
    3⤵
    PID:13244
  - - C:\Windows\SysWOW64\Mcpcdg32.exe
      C:\Windows\system32\Mcpcdg32.exe
      4⤵
      PID:5216
    - - C:\Windows\SysWOW64\Mfnoqc32.exe
        
        C:\Windows\system32\Mfnoqc32.exe
        5⤵
        
        PID:12500
      - C:\Windows\SysWOW64\Mmhgmmbf.exe
        
        C:\Windows\system32\Mmhgmmbf.exe
        6⤵
        
        PID:6756

C:\Windows\SysWOW64\Mogcihaj.exe
C:\Windows\system32\Mogcihaj.exe
1⤵
PID:6992
- C:\Windows\SysWOW64\Mfqlfb32.exe
  C:\Windows\system32\Mfqlfb32.exe
  2⤵
  PID:13204
- - C:\Windows\SysWOW64\Mmkdcm32.exe
    C:\Windows\system32\Mmkdcm32.exe
    3⤵
    PID:13228
  - - C:\Windows\SysWOW64\Moipoh32.exe
      C:\Windows\system32\Moipoh32.exe
      4⤵
      PID:12400
    - - C:\Windows\SysWOW64\Mgphpe32.exe
        
        C:\Windows\system32\Mgphpe32.exe
        5⤵
        
        PID:4836

C:\Windows\SysWOW64\Mnjqmpgg.exe
C:\Windows\system32\Mnjqmpgg.exe
1⤵
PID:6260
- C:\Windows\SysWOW64\Mqimikfj.exe
  C:\Windows\system32\Mqimikfj.exe
  2⤵
  PID:7064
- - C:\Windows\SysWOW64\Mokmdh32.exe
    C:\Windows\system32\Mokmdh32.exe
    3⤵
    PID:1012

C:\Windows\SysWOW64\Mgbefe32.exe
C:\Windows\system32\Mgbefe32.exe
1⤵
PID:6280
- C:\Windows\SysWOW64\Mjaabq32.exe
  C:\Windows\system32\Mjaabq32.exe
  2⤵
  PID:12660

C:\Windows\SysWOW64\Mnmmboed.exe
C:\Windows\system32\Mnmmboed.exe
1⤵
PID:6888
- C:\Windows\SysWOW64\Mqkiok32.exe
  C:\Windows\system32\Mqkiok32.exe
  2⤵
  PID:6340

C:\Windows\SysWOW64\Nncccnol.exe
C:\Windows\system32\Nncccnol.exe
1⤵
PID:13396
- C:\Windows\SysWOW64\Npepkf32.exe
  C:\Windows\system32\Npepkf32.exe
  2⤵
  PID:13440
- - C:\Windows\SysWOW64\Nfohgqlg.exe
    C:\Windows\system32\Nfohgqlg.exe
    3⤵
    PID:13476

C:\Windows\SysWOW64\Nnfpinmi.exe
C:\Windows\system32\Nnfpinmi.exe
1⤵
PID:13512
- C:\Windows\SysWOW64\Nadleilm.exe
  C:\Windows\system32\Nadleilm.exe
  2⤵
  PID:13552
- - C:\Windows\SysWOW64\Ngndaccj.exe
    C:\Windows\system32\Ngndaccj.exe
    3⤵
    PID:13588
  - - C:\Windows\SysWOW64\Nmkmjjaa.exe
      C:\Windows\system32\Nmkmjjaa.exe
      4⤵
      PID:13624

C:\Windows\SysWOW64\Npiiffqe.exe
C:\Windows\system32\Npiiffqe.exe
1⤵
PID:13660
- C:\Windows\SysWOW64\Nfcabp32.exe
  C:\Windows\system32\Nfcabp32.exe
  2⤵
  PID:13696
- - C:\Windows\SysWOW64\Omnjojpo.exe
    C:\Windows\system32\Omnjojpo.exe
    3⤵
    PID:13732

C:\Windows\SysWOW64\Oplfkeob.exe
C:\Windows\system32\Oplfkeob.exe
1⤵
PID:13768
- C:\Windows\SysWOW64\Offnhpfo.exe
  C:\Windows\system32\Offnhpfo.exe
  2⤵
  PID:13804
- - C:\Windows\SysWOW64\Onmfimga.exe
    C:\Windows\system32\Onmfimga.exe
    3⤵
    PID:13840
  - - C:\Windows\SysWOW64\Opnbae32.exe
      C:\Windows\system32\Opnbae32.exe
      4⤵
      PID:13876
    - - C:\Windows\SysWOW64\Ogekbb32.exe
        
        C:\Windows\system32\Ogekbb32.exe
        5⤵
        
        PID:13912

C:\Windows\SysWOW64\Ojdgnn32.exe
C:\Windows\system32\Ojdgnn32.exe
1⤵
PID:13948
- C:\Windows\SysWOW64\Ombcji32.exe
  C:\Windows\system32\Ombcji32.exe
  2⤵
  PID:13984
- - C:\Windows\SysWOW64\Opqofe32.exe
    C:\Windows\system32\Opqofe32.exe
    3⤵
    PID:14028
  - - C:\Windows\SysWOW64\Oclkgccf.exe
      C:\Windows\system32\Oclkgccf.exe
      4⤵
      PID:14064

C:\Windows\SysWOW64\Ofkgcobj.exe
C:\Windows\system32\Ofkgcobj.exe
1⤵
PID:14108
- C:\Windows\SysWOW64\Onapdl32.exe
  C:\Windows\system32\Onapdl32.exe
  2⤵
  PID:14152
- - C:\Windows\SysWOW64\Oaplqh32.exe
    C:\Windows\system32\Oaplqh32.exe
    3⤵
    PID:14196

C:\Windows\SysWOW64\Ogjdmbil.exe
C:\Windows\system32\Ogjdmbil.exe
1⤵
PID:14240
- C:\Windows\SysWOW64\Ojhpimhp.exe
  C:\Windows\system32\Ojhpimhp.exe
  2⤵
  PID:14276
- - C:\Windows\SysWOW64\Omgmeigd.exe
    C:\Windows\system32\Omgmeigd.exe
    3⤵
    PID:14312
  - - C:\Windows\SysWOW64\Ocaebc32.exe
      C:\Windows\system32\Ocaebc32.exe
      4⤵
      PID:7136
    - - C:\Windows\SysWOW64\Pjkmomfn.exe
        
        C:\Windows\system32\Pjkmomfn.exe
        5⤵
        
        PID:13364
      - C:\Windows\SysWOW64\Pmiikh32.exe
        
        C:\Windows\system32\Pmiikh32.exe
        6⤵
        
        PID:13428

C:\Windows\SysWOW64\Ppgegd32.exe
C:\Windows\system32\Ppgegd32.exe
1⤵
PID:6556
- C:\Windows\SysWOW64\Phonha32.exe
  C:\Windows\system32\Phonha32.exe
  2⤵
  PID:13548
- - C:\Windows\SysWOW64\Pjmjdm32.exe
    C:\Windows\system32\Pjmjdm32.exe
    3⤵
    PID:13620
  - - C:\Windows\SysWOW64\Pagbaglh.exe
      C:\Windows\system32\Pagbaglh.exe
      4⤵
      PID:13684

C:\Windows\SysWOW64\Pfdjinjo.exe
C:\Windows\system32\Pfdjinjo.exe
1⤵
PID:13812
- C:\Windows\SysWOW64\Pnkbkk32.exe
  C:\Windows\system32\Pnkbkk32.exe
  2⤵
  PID:13884
- - C:\Windows\SysWOW64\Paiogf32.exe
    C:\Windows\system32\Paiogf32.exe
    3⤵
    PID:13940

C:\Windows\SysWOW64\Pdhkcb32.exe
C:\Windows\system32\Pdhkcb32.exe
1⤵
PID:13992
- C:\Windows\SysWOW64\Pjbcplpe.exe
  C:\Windows\system32\Pjbcplpe.exe
  2⤵
  PID:14056

C:\Windows\SysWOW64\Pnplfj32.exe
C:\Windows\system32\Pnplfj32.exe
1⤵
PID:6364
- C:\Windows\SysWOW64\Panhbfep.exe
  C:\Windows\system32\Panhbfep.exe
  2⤵
  PID:13404

C:\Windows\SysWOW64\Qjiipk32.exe
C:\Windows\system32\Qjiipk32.exe
1⤵
PID:13972
- C:\Windows\SysWOW64\Qmgelf32.exe
  C:\Windows\system32\Qmgelf32.exe
  2⤵
  PID:14036

C:\Windows\SysWOW64\Afpjel32.exe
C:\Windows\system32\Afpjel32.exe
1⤵
PID:1816
- C:\Windows\SysWOW64\Aogbfi32.exe
  C:\Windows\system32\Aogbfi32.exe
  2⤵
  PID:3948
- - C:\Windows\SysWOW64\Aaenbd32.exe
    C:\Windows\system32\Aaenbd32.exe
    3⤵
    PID:6348

C:\Windows\SysWOW64\Aagkhd32.exe
C:\Windows\system32\Aagkhd32.exe
1⤵
PID:13632
- C:\Windows\SysWOW64\Adfgdpmi.exe
  C:\Windows\system32\Adfgdpmi.exe
  2⤵
  PID:7076

C:\Windows\SysWOW64\Ahaceo32.exe
C:\Windows\system32\Ahaceo32.exe
1⤵
PID:13796
- C:\Windows\SysWOW64\Akpoaj32.exe
  C:\Windows\system32\Akpoaj32.exe
  2⤵
  PID:6332

C:\Windows\SysWOW64\Aokkahlo.exe
C:\Windows\system32\Aokkahlo.exe
1⤵
PID:6240
- C:\Windows\SysWOW64\Apmhiq32.exe
  C:\Windows\system32\Apmhiq32.exe
  2⤵
  PID:14100

C:\Windows\SysWOW64\Aaoaic32.exe
C:\Windows\system32\Aaoaic32.exe
1⤵
PID:7040
- C:\Windows\SysWOW64\Bdmmeo32.exe
  C:\Windows\system32\Bdmmeo32.exe
  2⤵
  PID:13668

C:\Windows\SysWOW64\Bmeandma.exe
C:\Windows\system32\Bmeandma.exe
1⤵
PID:6532
- C:\Windows\SysWOW64\Baannc32.exe
  C:\Windows\system32\Baannc32.exe
  2⤵
  PID:920

C:\Windows\SysWOW64\Bpfkpp32.exe
C:\Windows\system32\Bpfkpp32.exe
1⤵
PID:14264
- C:\Windows\SysWOW64\Bhmbqm32.exe
  C:\Windows\system32\Bhmbqm32.exe
  2⤵
  PID:6416

C:\Windows\SysWOW64\Boihcf32.exe
C:\Windows\system32\Boihcf32.exe
1⤵
PID:14048
- C:\Windows\SysWOW64\Bahdob32.exe
  C:\Windows\system32\Bahdob32.exe
  2⤵
  PID:6864
- - C:\Windows\SysWOW64\Bdfpkm32.exe
    C:\Windows\system32\Bdfpkm32.exe
    3⤵
    PID:6376

C:\Windows\SysWOW64\Boldhf32.exe
C:\Windows\system32\Boldhf32.exe
1⤵
PID:4756
- C:\Windows\SysWOW64\Cpmapodj.exe
  C:\Windows\system32\Cpmapodj.exe
  2⤵
  PID:14260

C:\Windows\SysWOW64\Cnaaib32.exe
C:\Windows\system32\Cnaaib32.exe
1⤵
PID:4500
- C:\Windows\SysWOW64\Cponen32.exe
  C:\Windows\system32\Cponen32.exe
  2⤵
  PID:7620
- - C:\Windows\SysWOW64\Chfegk32.exe
    C:\Windows\system32\Chfegk32.exe
    3⤵
    PID:7156

C:\Windows\SysWOW64\Ckebcg32.exe
C:\Windows\system32\Ckebcg32.exe
1⤵
PID:7764
- C:\Windows\SysWOW64\Cncnob32.exe
  C:\Windows\system32\Cncnob32.exe
  2⤵
  PID:7160

C:\Windows\SysWOW64\Coegoe32.exe
C:\Windows\system32\Coegoe32.exe
1⤵
PID:7192
- C:\Windows\SysWOW64\Cacckp32.exe
  C:\Windows\system32\Cacckp32.exe
  2⤵
  PID:7284
- - C:\Windows\SysWOW64\Cpfcfmlp.exe
    C:\Windows\system32\Cpfcfmlp.exe
    3⤵
    PID:1880

C:\Windows\SysWOW64\Cgqlcg32.exe
C:\Windows\system32\Cgqlcg32.exe
1⤵
PID:7820
- C:\Windows\SysWOW64\Cklhcfle.exe
  C:\Windows\system32\Cklhcfle.exe
  2⤵
  PID:7556
- - C:\Windows\SysWOW64\Dafppp32.exe
    C:\Windows\system32\Dafppp32.exe
    3⤵
    PID:1536

C:\Windows\SysWOW64\Dddllkbf.exe
C:\Windows\system32\Dddllkbf.exe
1⤵
PID:2016
- C:\Windows\SysWOW64\Dgcihgaj.exe
  C:\Windows\system32\Dgcihgaj.exe
  2⤵
  PID:6588

C:\Windows\SysWOW64\Dkqaoe32.exe
C:\Windows\system32\Dkqaoe32.exe
1⤵
PID:8084
- C:\Windows\SysWOW64\WerFault.exe
  C:\Windows\SysWOW64\WerFault.exe -u -p 8084 -s 420
  2⤵
  - Program crash
  PID:7324

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 436 -p 8084 -ip 8084
1⤵
PID:8008

C:\Windows\SysWOW64\Dpkmal32.exe
C:\Windows\system32\Dpkmal32.exe
1⤵
PID:7396

C:\Windows\SysWOW64\Dnmaea32.exe
C:\Windows\system32\Dnmaea32.exe
1⤵
PID:8068

C:\Windows\SysWOW64\Dkndie32.exe
C:\Windows\system32\Dkndie32.exe
1⤵
PID:7832

C:\Windows\SysWOW64\Cgnomg32.exe
C:\Windows\system32\Cgnomg32.exe
1⤵
PID:7580

C:\Windows\SysWOW64\Cdpcal32.exe
C:\Windows\system32\Cdpcal32.exe
1⤵
PID:7336

C:\Windows\SysWOW64\Caageq32.exe
C:\Windows\system32\Caageq32.exe
1⤵
PID:8064

C:\Windows\SysWOW64\Cocjiehd.exe
C:\Windows\system32\Cocjiehd.exe
1⤵
PID:7964

C:\Windows\SysWOW64\Ckgohf32.exe
C:\Windows\system32\Ckgohf32.exe
1⤵
PID:14148

C:\Windows\SysWOW64\Bphgeo32.exe
C:\Windows\system32\Bphgeo32.exe
1⤵
PID:6820

C:\Windows\SysWOW64\Bogkmgba.exe
C:\Windows\system32\Bogkmgba.exe
1⤵
PID:6860

C:\Windows\SysWOW64\Bgpcliao.exe
C:\Windows\system32\Bgpcliao.exe
1⤵
PID:3928

C:\Windows\SysWOW64\Bmhocd32.exe
C:\Windows\system32\Bmhocd32.exe
1⤵
PID:6188

C:\Windows\SysWOW64\Boenhgdd.exe
C:\Windows\system32\Boenhgdd.exe
1⤵
PID:7060

C:\Windows\SysWOW64\Bgnffj32.exe
C:\Windows\system32\Bgnffj32.exe
1⤵
PID:6616

C:\Windows\SysWOW64\Bkgeainn.exe
C:\Windows\system32\Bkgeainn.exe
1⤵
PID:13868

C:\Windows\SysWOW64\Aopemh32.exe
C:\Windows\system32\Aopemh32.exe
1⤵
PID:3092

C:\Windows\SysWOW64\Agimkk32.exe
C:\Windows\system32\Agimkk32.exe
1⤵
PID:6904

C:\Windows\SysWOW64\Adkqoohc.exe
C:\Windows\system32\Adkqoohc.exe
1⤵
PID:5008

C:\Windows\SysWOW64\Aaldccip.exe
C:\Windows\system32\Aaldccip.exe
1⤵
PID:5256

C:\Windows\SysWOW64\Aonhghjl.exe
C:\Windows\system32\Aonhghjl.exe
1⤵
PID:3696

C:\Windows\SysWOW64\Aggpfkjj.exe
C:\Windows\system32\Aggpfkjj.exe
1⤵
PID:6644

C:\Windows\SysWOW64\Aknbkjfh.exe
C:\Windows\system32\Aknbkjfh.exe
1⤵
PID:13536

C:\Windows\SysWOW64\Ahmjjoig.exe
C:\Windows\system32\Ahmjjoig.exe
1⤵
PID:14180

C:\Windows\SysWOW64\Qpeahb32.exe
C:\Windows\system32\Qpeahb32.exe
1⤵
PID:14144

C:\Windows\SysWOW64\Qhjmdp32.exe
C:\Windows\system32\Qhjmdp32.exe
1⤵
PID:13920

C:\Windows\SysWOW64\Qdoacabq.exe
C:\Windows\system32\Qdoacabq.exe
1⤵
PID:13800

C:\Windows\SysWOW64\Qaqegecm.exe
C:\Windows\system32\Qaqegecm.exe
1⤵
PID:13728

C:\Windows\SysWOW64\Qobhkjdi.exe
C:\Windows\system32\Qobhkjdi.exe
1⤵
PID:13612

C:\Windows\SysWOW64\Pdmdnadc.exe
C:\Windows\system32\Pdmdnadc.exe
1⤵
PID:13472

C:\Windows\SysWOW64\Pfiddm32.exe
C:\Windows\system32\Pfiddm32.exe
1⤵
PID:14296

C:\Windows\SysWOW64\Pdjgha32.exe
C:\Windows\system32\Pdjgha32.exe
1⤵
PID:14228

C:\Windows\SysWOW64\Palklf32.exe
C:\Windows\system32\Palklf32.exe
1⤵
PID:14188

C:\Windows\SysWOW64\Pmpolgoi.exe
C:\Windows\system32\Pmpolgoi.exe
1⤵
PID:14120

C:\Windows\SysWOW64\Pdenmbkk.exe
C:\Windows\system32\Pdenmbkk.exe
1⤵
PID:13752

C:\Windows\SysWOW64\Nflkbanj.exe
C:\Windows\system32\Nflkbanj.exe
1⤵
PID:13356

C:\Windows\SysWOW64\Nmdgikhi.exe
C:\Windows\system32\Nmdgikhi.exe
1⤵
PID:6228

C:\Windows\SysWOW64\Njfkmphe.exe
C:\Windows\system32\Njfkmphe.exe
1⤵
PID:7020

C:\Windows\SysWOW64\Nclbpf32.exe
C:\Windows\system32\Nclbpf32.exe
1⤵
PID:6176

C:\Windows\SysWOW64\Nqmfdj32.exe
C:\Windows\system32\Nqmfdj32.exe
1⤵
PID:7092

C:\Windows\SysWOW64\Nnojho32.exe
C:\Windows\system32\Nnojho32.exe
1⤵
PID:12620

C:\Windows\SysWOW64\Imkbnf32.exe
C:\Windows\system32\Imkbnf32.exe
1⤵
PID:6264

C:\Windows\SysWOW64\Iedjmioj.exe
C:\Windows\system32\Iedjmioj.exe
1⤵
PID:5492

C:\Windows\SysWOW64\Ibfnqmpf.exe
C:\Windows\system32\Ibfnqmpf.exe
1⤵
PID:772

C:\Windows\SysWOW64\Ipgbdbqb.exe
C:\Windows\system32\Ipgbdbqb.exe
1⤵
PID:13172

C:\Windows\SysWOW64\Imiehfao.exe
C:\Windows\system32\Imiehfao.exe
1⤵
PID:5896

C:\Windows\SysWOW64\Iebngial.exe
C:\Windows\system32\Iebngial.exe
1⤵
PID:13080

C:\Windows\SysWOW64\Ifomll32.exe
C:\Windows\system32\Ifomll32.exe
1⤵
PID:13028

C:\Windows\SysWOW64\Iohejo32.exe
C:\Windows\system32\Iohejo32.exe
1⤵
PID:5452

C:\Windows\SysWOW64\Iliinc32.exe
C:\Windows\system32\Iliinc32.exe
1⤵
PID:12936

C:\Windows\SysWOW64\Iepaaico.exe
C:\Windows\system32\Iepaaico.exe
1⤵
PID:12908

C:\Windows\SysWOW64\Hoclopne.exe
C:\Windows\system32\Hoclopne.exe
1⤵
PID:12636

C:\Windows\SysWOW64\Hpqldc32.exe
C:\Windows\system32\Hpqldc32.exe
1⤵
PID:5736

C:\Windows\SysWOW64\Hoobdp32.exe
C:\Windows\system32\Hoobdp32.exe
1⤵
PID:13284

C:\Windows\SysWOW64\Geohklaa.exe
C:\Windows\system32\Geohklaa.exe
1⤵
PID:13084

C:\Windows\SysWOW64\Gnepna32.exe
C:\Windows\system32\Gnepna32.exe
1⤵
PID:13040

C:\Windows\SysWOW64\Gppcmeem.exe
C:\Windows\system32\Gppcmeem.exe
1⤵
PID:12832

C:\Windows\SysWOW64\Gmafajfi.exe
C:\Windows\system32\Gmafajfi.exe
1⤵
PID:12788

C:\Windows\SysWOW64\Glbjggof.exe
C:\Windows\system32\Glbjggof.exe
1⤵
PID:12664

C:\Windows\SysWOW64\Gfeaopqo.exe
C:\Windows\system32\Gfeaopqo.exe
1⤵
PID:12628

C:\Windows\SysWOW64\Eifaim32.exe
C:\Windows\system32\Eifaim32.exe
1⤵
PID:5764

C:\Windows\SysWOW64\Efgemb32.exe
C:\Windows\system32\Efgemb32.exe
1⤵
PID:5840

C:\Windows\SysWOW64\Ekaapi32.exe
C:\Windows\system32\Ekaapi32.exe
1⤵
PID:5708

C:\Windows\SysWOW64\Eicedn32.exe
C:\Windows\system32\Eicedn32.exe
1⤵
PID:6044

C:\Windows\SysWOW64\Efeihb32.exe
C:\Windows\system32\Efeihb32.exe
1⤵
PID:5668

C:\Windows\SysWOW64\Ennqfenp.exe
C:\Windows\system32\Ennqfenp.exe
1⤵
PID:5280

C:\Windows\SysWOW64\Dbnmke32.exe
C:\Windows\system32\Dbnmke32.exe
1⤵
PID:12020

C:\Windows\SysWOW64\Dooaoj32.exe
C:\Windows\system32\Dooaoj32.exe
1⤵
PID:5164

C:\Windows\SysWOW64\Cdbfab32.exe
C:\Windows\system32\Cdbfab32.exe
1⤵
PID:11504

C:\Windows\SysWOW64\Cfnjpfcl.exe
C:\Windows\system32\Cfnjpfcl.exe
1⤵
PID:4976

C:\Windows\SysWOW64\Clchbqoo.exe
C:\Windows\system32\Clchbqoo.exe
1⤵
PID:1992

C:\Windows\SysWOW64\Bedgjgkg.exe
C:\Windows\system32\Bedgjgkg.exe
1⤵
PID:2644

C:\Windows\SysWOW64\Bojomm32.exe
C:\Windows\system32\Bojomm32.exe
1⤵
PID:11828

C:\Windows\SysWOW64\Bafndi32.exe
C:\Windows\system32\Bafndi32.exe
1⤵
PID:11516

C:\Windows\SysWOW64\Bdbnjdfg.exe
C:\Windows\system32\Bdbnjdfg.exe
1⤵
PID:4880

C:\Windows\SysWOW64\Bepmoh32.exe
C:\Windows\system32\Bepmoh32.exe
1⤵
PID:12212

C:\Windows\SysWOW64\Boeebnhp.exe
C:\Windows\system32\Boeebnhp.exe
1⤵
PID:1356

C:\Windows\SysWOW64\Baadiiif.exe
C:\Windows\system32\Baadiiif.exe
1⤵
PID:3664

C:\Windows\SysWOW64\Anaomkdb.exe
C:\Windows\system32\Anaomkdb.exe
1⤵
PID:4180

C:\Windows\SysWOW64\Akccap32.exe
C:\Windows\system32\Akccap32.exe
1⤵
PID:11344

C:\Windows\SysWOW64\Alpbecod.exe
C:\Windows\system32\Alpbecod.exe
1⤵
PID:12280

C:\Windows\SysWOW64\Adikdfna.exe
C:\Windows\system32\Adikdfna.exe
1⤵
PID:2576

C:\Windows\SysWOW64\Qemhbj32.exe
C:\Windows\system32\Qemhbj32.exe
1⤵
PID:11672

C:\Windows\SysWOW64\Phigif32.exe
C:\Windows\system32\Phigif32.exe
1⤵
PID:11448

C:\Windows\SysWOW64\Olfghg32.exe
C:\Windows\system32\Olfghg32.exe
1⤵
PID:11532

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Windows\SysWOW64\Aeklkchg.exe

Filesize
155KB

MD5
1c8c24c2f9e8c2ea66b1303ddc4b4016

SHA1
8ab8949047a0f097b7d0716b91aeabcb07046a1b

SHA256
53f9df545cdcb94c81ada4b1f49b0c031e113567fc1c1adbe60cd58da56fd450

SHA512
3d8dba5fa98a795740a8c116d3a3870a284dbbb605c469634c20c001ff52a065aa7780468d38efac13d605707ac4ac6c74fbb315893ee5d3ea82ce33c8e5198d

Download Submit
C:\Windows\SysWOW64\Afhohlbj.exe

Filesize
155KB

MD5
601a0f28f731eaf1dd349a720a28945c

SHA1
0d7c357fd2a9ca98d0d491519bad6c73d6a28cdc

SHA256
d09c3f3dd0d24040a5ca9f62987cb79168d0ba216e4e074b8c7ce6619826b9c9

SHA512
8dde139361ba37580db9429a2e1da0384315596e9fea68097a20f7e0e7ebb81eb42c68db12b021eb5383ef79958c0ef83e0e0268ea95aeb8f42966e5fe287c45

Download Submit
C:\Windows\SysWOW64\Afjlnk32.exe

Filesize
155KB

MD5
ee136c29ee9e7bd0272bf422f544b217

SHA1
5d35d7ef7639294bf5ce7aa02cee4db8e23c10a6

SHA256
e7d8567b6b514aa9e61150f4ae05e25eb2235eb27e05494283a7d927fff878da

SHA512
b22c7bda3333bd3116320343d23eee2165394fb40a885bf782686f47e92e36219e126d4a5e6d6971892db8b9be067e91cd043116ca0db76b003eddf6c7ad67b1

Download Submit
C:\Windows\SysWOW64\Afmhck32.exe

Filesize
94KB

MD5
5e3c59112596b36430437c83652b4e84

SHA1
8673d26f55b38d64c7e5a6e953e2f3f3d7792d9c

SHA256
78f937d32cb91d1c2867d661790ac6bc9a0a18bf0968948c6129c36704b60d90

SHA512
4478a8dcfd6c6bd883cabd964fb8c4f9d1b267652c826df95367e22125253cb2d5c5f9eece47f036fbf2f5f10b83149f8e7f495cb82fd2a1e74a222e42740507

Download Submit
C:\Windows\SysWOW64\Anadoi32.exe

Filesize
155KB

MD5
e377bf47de48f8801508653d1a6423e6

SHA1
2e60bd01b08fd91e2948395bb48ccaba9a32ef78

SHA256
86276dd4813084e5cb445be801f35efef7fd319c575ed658fe39904c638fbc31

SHA512
633a3042dbff2f9ddba8642de09b721dcfb2d0b9e21545b164fd2bad2f574dc7913c229ed9b5d1a614ab9ab914263bcf05a5fd253ad864ff5baa77c6f6ecdac4

Download Submit
C:\Windows\SysWOW64\Anadoi32.exe

Filesize
155KB

MD5
78e710c81f84449aa2308a036d41a242

SHA1
bee7d7a7f4acf28d0fc6758ed43e0acf16095029

SHA256
8a1843d58032c4ec36448d8864bb4bc7718e8e7c829e71fafd7f063f6f91d77c

SHA512
00e533ad5927ef01652ffe1ac32543c9da46f583bd3dd1a05d536ea97ed38b026014c566908056df5976b2a117763849e2ad3e53e97851494b1ad0a83309e174

Download Submit
C:\Windows\SysWOW64\Anmjcieo.exe

Filesize
155KB

MD5
b7b3e2cd2f19abbce1a5d755ce3d75f3

SHA1
3544eecd80a30ffaa508c65f1f24200048ae14df

SHA256
5571030505874dc40ca8df7af089950bd18070d6c46d8b84dd4004925ff841dc

SHA512
b27a6285ef89f87b5a840a641df13fe7eacc94b78a474e6646e72279a6fa74202c9c1733ec2b0b9080ac14feb8ba50d660d374db4a12c021ca8454076e5857ad

Download Submit
C:\Windows\SysWOW64\Anmjcieo.exe

Filesize
155KB

MD5
20f11c72f32bdc7e35aa8af8947d65a4

SHA1
001ca4f4c170d77ac13c4f980cab2745965d6f9d

SHA256
c6525693225d2d4984cc9e7fedd42ca39f05560314b443fae0cb28a30043cd21

SHA512
42877095a866eef9d1ac3ba59bdc9d199e9f1b62d55556c630d1e1445b9a8d26d85b1cea4e9def3a1fdf23a5c0c16066f71a6e0040284eae7f95a221c99e068b

Download Submit
C:\Windows\SysWOW64\Anogiicl.exe

Filesize
155KB

MD5
e985abb56f1130c0dc16abd2e3b224f5

SHA1
b06d5ef834c04e34b8bf73894e649e3d258f311e

SHA256
17230947097f8a40fdf2a746e7470db585db902f37c1aceccaf6b3f1622aa9e6

SHA512
e6d5f2a706a8b9a099a3dcfa3b748639089c7de2ea67a3cf7b540a3fb9bd8495b32b33ce0fd9524a2ed27b97318d8fc8e48a0d6e2afeab20a8053a4bf6dad510

Download Submit
C:\Windows\SysWOW64\Anogiicl.exe

Filesize
155KB

MD5
3121485d06ffb58f4a913a6a0f79fb9c

SHA1
f55ca07d9d84ba13a9684ebed64e5e764f313994

SHA256
a7e9739962547a18942aec557c7e15b4902bc1a0395b9764192f6f6e147fb329

SHA512
2b4c73819df3e0bf91f50a39c1212763161eb4d88e5dc932cd8832172275c46dfaff1024f67507f783ce845a806c70f88291c1521fd168120ad40fc1fb5f6c09

Download Submit
C:\Windows\SysWOW64\Aqkgpedc.exe

Filesize
155KB

MD5
500f6693c7ff370d6b54556201ce5e14

SHA1
229fd3dcc566c6f3ed54d2fed05bc12db0d65a60

SHA256
9a4f100cf454e5a1fa56be0401150312e219c08d9690e2ffe645bc1ba9d560db

SHA512
bd9ddc15c483dcf8bab0f1539efe55f1c042e78100764e7c51c68f7d0a01ba6a7590884d89c55783192fe27daacdb5f9c9268063b950164e8dd2692cd795087c

Download Submit
C:\Windows\SysWOW64\Aqncedbp.exe

Filesize
155KB

MD5
eb5c5707673d373d284fda12402aaa1d

SHA1
84002072f879774f7fa9470bd0491a85d7b67d85

SHA256
10e189dacf7ceb4a63fdd539269a84b487b29fa3f8f0b0cd0e4d520a267a5e80

SHA512
ff9c5615093eed4f0e2af2dbd4bee5528825ba1e157e8ad6ee84dcdc5efad2a42e278dd2e3b719c4f423ff31b21c7b23c60846b0db6a29c38923cff9264b4d6a

Download Submit
C:\Windows\SysWOW64\Clchbqoo.exe

Filesize
3KB

MD5
6cb09fd7061b9b4eb58bf9ebca054b9c

SHA1
6d860658440c61797dd59dc906eba3175cd0d6c7

SHA256
3f33b3b97ec3d6a9d0dee40332c663b8f6d4014e5e22223345ad1d9a8b1ff17c

SHA512
13b6e769e4577587e81e114c9cd1c0ea2aa7022ceb7520494d1e567d6ce60a8a2437978c499c63bee1bb5e354b8188320f3e47fa1c8bcf5dd74b418d914ed044

Download Submit
C:\Windows\SysWOW64\Geohklaa.exe

Filesize
155KB

MD5
0e0f427fcfc5a3e3d88da9b458467b89

SHA1
2c09287c9cb0c413b59f03ad51a08c361fb073c4

SHA256
c9774a56fcd40ca94c6ef2f93653cf660cbb8264f963d17cfc764afca6ac9cb5

SHA512
ce78ab45aa5b3a69d08d3a15807e30ed8bedcb80b5d75a46bde060d90466e5c195877da91fd57889669941999ae6f4e78d9b7924822d3e9433d5a375f2b913bb

Download Submit
C:\Windows\SysWOW64\Ipgbdbqb.exe

Filesize
155KB

MD5
fbc4c22ab1e55ea71477f11a906226d0

SHA1
0aaaed3acaf31ced99593117d6ab45e95a91a8fe

SHA256
8183ffbb07a5a7a27441ecffb7cc66e77237aef977caa2cdc649abed485f16b1

SHA512
9202576f01a43856da4088b1b43a43f10b723586ed1b91eda46545db2eb28d474a72520b61bb1c2129925e7ef0d1be11335fc6def16e5d3b20362b415a568df1

Download Submit
C:\Windows\SysWOW64\Kbmoen32.exe

Filesize
155KB

MD5
caa12fd8014e8bf3f19e5ad983b7b3b3

SHA1
47e35973eaa243576ee2b070a4629c88d7c4fc54

SHA256
b80170108c8571b497ce3ae048d7cb9b058dde5bede0f289b93cf01aff880025

SHA512
d42ebd6dfc226e726e604d2c087e64129f7b053de5e81e7531b6066ecf8171b40646fc17eae988c46510bb2b6534f988a68c5d86c93b85eec0887d77d300c5ff

Download Submit
C:\Windows\SysWOW64\Kgdpni32.exe

Filesize
151KB

MD5
404a941badc25567c249aa279e6d1ed8

SHA1
9e2d5a9c4d0c0e5ba7bb12576af6e72e6df434b2

SHA256
fb9c8ff2ca50c8497e71bbfd1133e287e8692106d47d061f91f195933da19dfb

SHA512
6a4fef82f584361afa09de6541eb0f5c038fa21ca7b7295de3e40635d970d31fdd9fa4fdb1512c1f32b5d8173eed9b7ccc378022148542b9f4b8d49250261fb1

Download Submit
C:\Windows\SysWOW64\Mgphpe32.exe

Filesize
20KB

MD5
ebe404abe9b78bc4bb6f168cd018acb4

SHA1
42a9449611aa00db16bc69d38aca981264a4da4f

SHA256
b66024542fd94b9f5ce2b92320b2bc62411758ba7f12e6742608f7450928c37d

SHA512
5b46c43d1aa92ddf5efd8ce165aad2d20638a15c9f952c2ad3a208e7e105e7457f101a24b8d1746011a44bdc4366e3eaf5c491c2550547c2e3a5a23574f1c052

Download Submit
C:\Windows\SysWOW64\Mmkdcm32.exe

Filesize
19KB

MD5
c91076a3fee806b74ffb5c473ca2345a

SHA1
1776949ba030dbfb723c0e9dcdd221dad9ac2d44

SHA256
ab2102c9051973186f46f45dffb3f9acbd8a48c6117ab71229d8e62fb87d84ab

SHA512
44ad5a8a71cd908354730a2a8b4ffb82117792c9e70af86d75d4ce15c20d235545e4414768401f6d2b0700498727f7b8beb640343e204298c6245004509d6861

Download Submit
C:\Windows\SysWOW64\Mogcihaj.exe

Filesize
62KB

MD5
2de96a800a731a3ab806e879d5586be9

SHA1
60a7f4cf71f9d707f5efd39dc52f1b13223fb541

SHA256
77002626f8ff5f200d17b572e952df4c8f982b68087bbf3e8e9e73555ec944d5

SHA512
9bbbf59c8c0c4164c25f37c5380f64592fd6d9ed2d180fa7202ccac4245da2cba12b23400de91709d234d7761044c0f3aed6ea97c4e9d48ecceee68da2047c0c

Download Submit
C:\Windows\SysWOW64\Pcijeb32.exe

Filesize
155KB

MD5
874efec2052e6fd8bbf8dd3354a1bc67

SHA1
21bb4ea262b6906a04f211846295054d045554fe

SHA256
60a5ad085364d55bc495cb79db86879413022af9c0d30d321a53a0475ae3fa4a

SHA512
ceaffe386c2d536a12d5b639ec47a4aaa56d1b5946c1f2d2c549fe061674eff28f11eed10d3167a22f29824298a38a13ea2c136bb69e4431f8c01598c9e798af

Download Submit
C:\Windows\SysWOW64\Pdifoehl.exe

Filesize
155KB

MD5
29c22305cb648cd71718db1c36d8d124

SHA1
348c7257b0240330e9b3a03b7953ef7cb317568f

SHA256
782126a5a6f95204d884adfa06b796698b0436308ba6d94f712bf5be6578562e

SHA512
a5b4318f9e47ea95f555210481fb09168402a9372b3457abeef12e9a74c8b3dc96be58479761950a8dea8e660883a9810a5a2fea381c86ff289e553c13a2b91d

Download Submit
C:\Windows\SysWOW64\Pfaigm32.exe

Filesize
155KB

MD5
28859e7f6aec0640e243ba82bd8c6ce4

SHA1
4c618d51883729547278f8f3fe9022c372f31c1d

SHA256
e8660aa4690abaa10a56aff731a1fca4e92450951a06093344a3f6ca44aac232

SHA512
4a85cecae30aad6b1173d6a379cd5ce53a62c84ceea16d357287b0525edd9bc36037c51dc0bf1b2767615806f4086fb28e9fefd29f0f5c44c46b05dc47db122d

Download Submit
C:\Windows\SysWOW64\Pfjcgn32.exe

Filesize
155KB

MD5
ecabde95ae73d4528a35b95b0e0cf8e5

SHA1
12a10bbde0a4cbd7976c90b6cf645cabbc70834b

SHA256
037925b802a91adbc390387738768907b46fb5d1e8168fdc4c64c624cf2bfd75

SHA512
6558366c85101a5d75de781d192c48172893f8699eb5110da04cc0a14fb63a03e3e98b2673c8da4e580bdb211004687e51540b1ddc6be251a1bffed05ea094dd

Download Submit
C:\Windows\SysWOW64\Pgllfp32.exe

Filesize
155KB

MD5
f34b3d085e56378777310ab84c46054e

SHA1
12741514378b5e58223990e60a7212acc2d8cd70

SHA256
5c2272434fee92498b9e44eb39e87a08aae36b4de42067e17479ca8ff15bfe07

SHA512
73e6eef119b254f733b1decc7b5545ac09c3f24d86b299418a95c79950e4882689e201f71a6fffbd6ba05179273ac6463a263b16f4d41c77428929904dd2af57

Download Submit
C:\Windows\SysWOW64\Pmannhhj.exe

Filesize
155KB

MD5
be4a7916f11ade94a22c5b9f97e3980f

SHA1
8de0c22c03a7dc038af8d52d3a4c9aae218ea97b

SHA256
e37d447f00de9780e01249272f745a9cbd48b862ee2dd337407c78dbf28a1799

SHA512
69e7d1dff6c1ed0a4e2c51ed9b2e67bac6766f6ec034c2c122db54189222d2244332de9673c9834339793b633d4781667356aa844db8a1162b229c807aaa460d

Download Submit
C:\Windows\SysWOW64\Pmdkch32.exe

Filesize
155KB

MD5
3c113ce20f6ef960156ed5e7b65498a9

SHA1
fa3369cc59994d1baee2fa52569a0f212b54e1f5

SHA256
00fd0ec33bf77440deb146eb3056ad4d85d4d76b2e11f307856519598bf73389

SHA512
51ccb328c4347d42fe4f5ae7bc0f0be85faaa458fbbfac73d84666e871e9f36c2bbb7a87218a922cb9c43f0b67abd06239c12c047d0ef7214098fab9e9ca744d

Download Submit
C:\Windows\SysWOW64\Pqbdjfln.exe

Filesize
155KB

MD5
3fc5e37f2a94cc98b6a73d5eb00ceb7a

SHA1
830b4f56ea37bf731df212b8d3d150c1108a4f2d

SHA256
d487c027c780b5e090e146c6efb823143daf9e1d9d63996bff96d6737f1b7e1e

SHA512
5c106b6dd8113221d7a6ccbea98a239c91c1947adc9c6873fced64948b9537acbe404f4b61351f0188842b92ee9c77f89c21bb6e2715a6e0bfef3c21330d6278

Download Submit
C:\Windows\SysWOW64\Pqdqof32.exe

Filesize
155KB

MD5
fe45c75a525475d04f0b210de5f3938e

SHA1
3292181594beaf10e8e9f1bc58c0785691261375

SHA256
74336b40426f49a91b4b627cfe0190513f320c01e08e6ab56ef52123d6b76327

SHA512
5e12042fc9776a3a4b7b18999d9debb171d22566c0d39d3fa97691de1668f3f1b9465043fbc27a542a9d2431757afb91f64ab35e4f8bb4eb099d01d632c591ae

Download Submit
C:\Windows\SysWOW64\Qdbiedpa.exe

Filesize
155KB

MD5
cface32143f09ec0890c7bc7b5ebf4b1

SHA1
19e7d3b33d379beff56830fb7754a6934bc4bb69

SHA256
744a412cf56e24ebe93cdb9f4af6ebb2b5ada3f748a8de343f6b1a682d14999a

SHA512
ed946c990f6a2d8f4b1a768af8f7ebac0885d55f904c7c49fc8c7f58fa5c599d3887714e299013d8c6e3da8938bc6520db1128d372b1a4627b8f370f80523a56

Download Submit
C:\Windows\SysWOW64\Qgcbgo32.exe

Filesize
155KB

MD5
466dc5512362982908e4e48c0de5fd84

SHA1
41823a8b82c9039d159885f6672091febb07408f

SHA256
4f7249550bc5d579f91b1c98242031a663444676c3db5514b1c530a8a9ed04c9

SHA512
bef344d9680f2d997d0cf7523b1515df2dc7cf7ed8c538271d093c4e16198a714bca32b2f08353fcf62a9ae0755c05c80a0a911bae8c4abc325d7e0446eb57eb

Download Submit
C:\Windows\SysWOW64\Qnhahj32.exe

Filesize
155KB

MD5
fe3bdbd58faaa019930648af4086b2e6

SHA1
1b3a0c1020475d5988eab9e77eb38cea932c0dcd

SHA256
c3eeb5562de667e1107e68fded9349b05fcd2b0683dd789e1540779c82fbb098

SHA512
9b7ae5babb9725045f73306c299586beb3d5ce65b33f96df44c414c999497a9808f1c2f8ed4cef2b6e5c55936312fb1d28cf4cc62b1c23cad6963360e92b0970

Download Submit
C:\Windows\SysWOW64\Qqijje32.exe

Filesize
155KB

MD5
6b7258c7b2174185ef7aeec595e0a95c

SHA1
6910685940f571169bb0a55733ab2fc6c20aa1c3

SHA256
803b83f42a51ab227107cffdac4003feed7f34af694140bafaaa75da6383ff09

SHA512
2241baca57e5570caaf726515f079dd62a7719ccb390a4739a258445676af4479d4ee5be86393448b3deb9a40e5759b5d41c14fc21570172e4155b878f0033c2

Download Submit
memory/408-248-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/652-320-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/884-322-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/1080-172-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/1168-208-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/1272-104-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/1560-262-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/1744-0-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2120-220-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2148-188-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2188-72-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2320-112-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2332-47-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2368-128-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2432-255-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2512-144-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2668-24-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2732-95-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2772-152-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2776-240-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/2880-176-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3260-80-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3276-64-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3336-195-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3500-310-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3652-136-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3760-119-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/3880-16-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4024-286-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4200-56-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4228-7-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4280-298-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4332-284-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4360-200-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4364-350-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4620-88-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4688-224-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4692-268-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4712-334-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4724-274-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4748-344-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4752-32-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4784-234-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4820-296-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4928-308-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/4940-328-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5044-159-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5068-40-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5148-352-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5188-358-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5228-364-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5276-370-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5328-376-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5368-382-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5412-388-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5464-394-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5504-402-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5544-410-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5584-412-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5624-418-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5664-428-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5708-430-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5748-440-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download
memory/5788-442-0x0000000000400000-0x0000000000444000-memory.dmp

Filesize
272KB

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads