fd0117bc67862b14449b7c3b93d43963a41c0ff1951ac8875a7b6bf25e20b9bc

Analysis

max time kernel
50s
max time network
121s
platform
windows7_x64
resource
win7-20231215-en
resource tags

arch:x64arch:x86image:win7-20231215-enlocale:en-usos:windows7-x64system
submitted
31/12/2023, 03:12

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

25eb2baae864b0db3f7d62221a7e7951.exe
Size

314KB
MD5

25eb2baae864b0db3f7d62221a7e7951
SHA1

60793fd02dbb30021ecb2bab3913caaac7a236f7
SHA256

fd0117bc67862b14449b7c3b93d43963a41c0ff1951ac8875a7b6bf25e20b9bc
SHA512

bf72c5b798816c47af59989d3e04791762b504ba32364664230ecfc3b2a6d8c48deedfaddf3221fdab50cb4616a4711af96230a531f29d1be85ee77bfa3e97fd
SSDEEP

6144:Ec0h522p3l04ZMSmIp3Uy28uhyjVFgMlEw3M:yhxp3lZnT9bD7gMlEw3M

Score

4^/10

Malware Config

Signatures

Drops file in Program Files directory 7 IoCs

description	ioc	Process
File opened for modification	C:\Program Files (x86)\Jaba.vbs	25eb2baae864b0db3f7d62221a7e7951.exe
File created	C:\Program Files (x86)\a.bat	25eb2baae864b0db3f7d62221a7e7951.exe
File opened for modification	C:\Program Files (x86)\a.bat	25eb2baae864b0db3f7d62221a7e7951.exe
File created	C:\Program Files (x86)\__tmp_rar_sfx_access_check_259432704	25eb2baae864b0db3f7d62221a7e7951.exe
File created	C:\Program Files (x86)\b.bat	25eb2baae864b0db3f7d62221a7e7951.exe
File opened for modification	C:\Program Files (x86)\b.bat	25eb2baae864b0db3f7d62221a7e7951.exe
File created	C:\Program Files (x86)\Jaba.vbs	25eb2baae864b0db3f7d62221a7e7951.exe

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 2224 wrote to memory of 2840	2224	25eb2baae864b0db3f7d62221a7e7951.exe	28
PID 2224 wrote to memory of 2840	2224	25eb2baae864b0db3f7d62221a7e7951.exe	28
PID 2224 wrote to memory of 2840	2224	25eb2baae864b0db3f7d62221a7e7951.exe	28
PID 2224 wrote to memory of 2840	2224	25eb2baae864b0db3f7d62221a7e7951.exe	28
PID 2840 wrote to memory of 2572	2840	WScript.exe	31
PID 2840 wrote to memory of 2572	2840	WScript.exe	31
PID 2840 wrote to memory of 2572	2840	WScript.exe	31
PID 2840 wrote to memory of 2572	2840	WScript.exe	31
PID 2572 wrote to memory of 2636	2572	cmd.exe	33
PID 2572 wrote to memory of 2636	2572	cmd.exe	33
PID 2572 wrote to memory of 2636	2572	cmd.exe	33
PID 2572 wrote to memory of 2636	2572	cmd.exe	33
PID 2572 wrote to memory of 2680	2572	cmd.exe	34
PID 2572 wrote to memory of 2680	2572	cmd.exe	34
PID 2572 wrote to memory of 2680	2572	cmd.exe	34
PID 2572 wrote to memory of 2680	2572	cmd.exe	34
PID 2572 wrote to memory of 2148	2572	cmd.exe	36
PID 2572 wrote to memory of 2148	2572	cmd.exe	36
PID 2572 wrote to memory of 2148	2572	cmd.exe	36
PID 2572 wrote to memory of 2148	2572	cmd.exe	36
PID 2572 wrote to memory of 1716	2572	cmd.exe	38
PID 2572 wrote to memory of 1716	2572	cmd.exe	38
PID 2572 wrote to memory of 1716	2572	cmd.exe	38
PID 2572 wrote to memory of 1716	2572	cmd.exe	38
PID 2572 wrote to memory of 2492	2572	cmd.exe	64
PID 2572 wrote to memory of 2492	2572	cmd.exe	64
PID 2572 wrote to memory of 2492	2572	cmd.exe	64
PID 2572 wrote to memory of 2492	2572	cmd.exe	64
PID 2572 wrote to memory of 1448	2572	cmd.exe	39
PID 2572 wrote to memory of 1448	2572	cmd.exe	39
PID 2572 wrote to memory of 1448	2572	cmd.exe	39
PID 2572 wrote to memory of 1448	2572	cmd.exe	39
PID 2572 wrote to memory of 1116	2572	cmd.exe	42
PID 2572 wrote to memory of 1116	2572	cmd.exe	42
PID 2572 wrote to memory of 1116	2572	cmd.exe	42
PID 2572 wrote to memory of 1116	2572	cmd.exe	42
PID 2572 wrote to memory of 2536	2572	cmd.exe	41
PID 2572 wrote to memory of 2536	2572	cmd.exe	41
PID 2572 wrote to memory of 2536	2572	cmd.exe	41
PID 2572 wrote to memory of 2536	2572	cmd.exe	41
PID 2572 wrote to memory of 1332	2572	cmd.exe	43
PID 2572 wrote to memory of 1332	2572	cmd.exe	43
PID 2572 wrote to memory of 1332	2572	cmd.exe	43
PID 2572 wrote to memory of 1332	2572	cmd.exe	43
PID 2572 wrote to memory of 2476	2572	cmd.exe	46
PID 2572 wrote to memory of 2476	2572	cmd.exe	46
PID 2572 wrote to memory of 2476	2572	cmd.exe	46
PID 2572 wrote to memory of 2476	2572	cmd.exe	46
PID 2572 wrote to memory of 2908	2572	cmd.exe	63
PID 2572 wrote to memory of 2908	2572	cmd.exe	63
PID 2572 wrote to memory of 2908	2572	cmd.exe	63
PID 2572 wrote to memory of 2908	2572	cmd.exe	63
PID 2572 wrote to memory of 2940	2572	cmd.exe	61
PID 2572 wrote to memory of 2940	2572	cmd.exe	61
PID 2572 wrote to memory of 2940	2572	cmd.exe	61
PID 2572 wrote to memory of 2940	2572	cmd.exe	61
PID 2572 wrote to memory of 2948	2572	cmd.exe	60
PID 2572 wrote to memory of 2948	2572	cmd.exe	60
PID 2572 wrote to memory of 2948	2572	cmd.exe	60
PID 2572 wrote to memory of 2948	2572	cmd.exe	60
PID 2572 wrote to memory of 2964	2572	cmd.exe	59
PID 2572 wrote to memory of 2964	2572	cmd.exe	59
PID 2572 wrote to memory of 2964	2572	cmd.exe	59
PID 2572 wrote to memory of 2964	2572	cmd.exe	59

C:\Users\Admin\AppData\Local\Temp\25eb2baae864b0db3f7d62221a7e7951.exe
"C:\Users\Admin\AppData\Local\Temp\25eb2baae864b0db3f7d62221a7e7951.exe"
1⤵
- Drops file in Program Files directory
- Suspicious use of WriteProcessMemory
PID:2224
- C:\Windows\SysWOW64\WScript.exe
  "C:\Windows\System32\WScript.exe" "C:\Program Files (x86)\Jaba.vbs"
  2⤵
  - Suspicious use of WriteProcessMemory
  PID:2840
- - C:\Windows\SysWOW64\cmd.exe
    cmd /c ""C:\Program Files (x86)\b.bat" "
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:2572
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2636
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2680
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2148
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1716
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1448
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2536
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1116
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1332
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2476
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1960
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2912
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2440
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2864
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2976
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2932
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2964
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2948
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2940
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2908
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2492
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2884
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1136
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1656
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1316
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1248
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2228
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1980
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2176
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3020
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:580
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:268
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2276
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:576
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2272
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:332
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2184
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1056
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1536
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1096
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1276
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1540
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2876
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1188
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:616
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:828
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:952
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1804
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2160
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3000
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2012
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2520
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2384
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2512
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1464
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1744
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1680
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1596
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2480
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2652
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2208
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1912
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2704
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2776
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2812
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2996
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2808
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2660
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2732
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2588
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2240
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1500
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2928
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3012
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2500
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1896
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1636
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1816
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1592
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1664
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:240
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:568
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3100
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3124
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3144
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3160
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3184
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3204
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3224
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3244
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3272
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3296
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3316
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3332
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3360
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3384
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3412
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3440
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3460
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3488
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3504
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3528
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3548
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3580
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3604
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3624
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3648
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3668
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3688
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3712
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3748
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3764
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3784
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3816
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3832
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3852
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3880
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3908
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3920
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3952
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3972
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3996
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4020
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4040
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4064
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4088
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1956
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3136
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3236
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3372
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3520
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3640
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3776
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3948
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4104
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4128
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4164
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4180
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4204
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4228
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4252
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4276
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4296
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4316
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4344
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4376
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4396
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4420
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4444
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4464
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4492
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4516
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4536
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4564
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4588
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4604
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4652
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4668
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4692
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4720
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4744
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4776
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4796
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4820
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4848
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4880
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4900
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4928
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4940
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4960
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4988
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5012
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5040
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5060
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5084
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5104
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2404
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:3452
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4140
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4248
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4408
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4528
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4732
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4860
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4972
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5136
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5164
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5188
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5208
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5232
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5256
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5276
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5296
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5324
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5352
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5372
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5396
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5420
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5440
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5464
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5496
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5516
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5540
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5560
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5584
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5608
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5628
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5656
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5680
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5704
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5724
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5744
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5768
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5796
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5824
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5844
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5860
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5892
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5928
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5948
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5968
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5996
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6016
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6036
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6056
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6084
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6108
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6140
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4076
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:4584
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5200
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5308
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5508
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5640
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5784
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5940
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6156
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6184
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6204
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6232
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6252
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6276
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6300
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6328
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6352
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6372
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6396
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6420
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6440
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6468
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6496
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6516
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6540
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6564
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6596
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6620
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6640
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6664
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6688
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6712
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6736
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6760
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6780
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6800
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6828
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6852
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6880
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6900
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6924
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6952
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6976
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7004
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7028
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7052
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7072
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7096
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7116
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7144
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6028
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:5148
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6012
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6288
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6432
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6552
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6724
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6864
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6988
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2256
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7084
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7108
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7192
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7216
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7236
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7264
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7296
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7316
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7340
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7360
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7392
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7424
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7448
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7480
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7500
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7520
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7540
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7568
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7592
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7620
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7636
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7664
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7688
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7712
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7728
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7756
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7784
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7808
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7824
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7844
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7868
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7896
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7924
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7956
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7976
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7992
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8012
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8052
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8092
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8112
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8136
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8160
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8184
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:6364
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:2040
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7228
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7352
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7580
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1616
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:1648
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:960
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7836
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8004
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8124
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8228
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8248
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8272
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8292
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8312
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8344
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8376
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8404
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8420
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8440
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8476
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8496
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8520
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8552
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8572
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8588
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8616
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8640
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8664
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8684
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8708
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8736
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8760
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8780
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8808
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8828
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8852
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8876
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8904
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8928
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8948
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8972
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8992
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9012
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9048
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9076
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9108
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9124
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9152
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9168
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9196
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9212
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7204
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:7724
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8240
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8372
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8508
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8600
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8720
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:8888
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9024
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9164
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9236
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9260
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9284
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9316
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9332
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9356
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9380
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9404
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9432
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9452
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9480
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9508
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9528
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9548
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9568
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9608
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9624
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9652
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9676
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9700
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9720
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9752
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9768
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9796
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9820
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9840
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9868
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9888
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9908
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9928
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9952
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9976
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:9996
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:10020
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:10040
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:10080
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /K a.bat
      4⤵
      PID:10108

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Information Discovery

T1082

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Program Files (x86)\Jaba.vbs

Filesize
306B

MD5
a410c865bdc6d85de9802a3c481017d6

SHA1
96aa28bbf864a631fb599e8d4c3e9a7f35cfa6ec

SHA256
8531190471d92467360a8c61e38c2361cac694bf75389780aaf05a30892a4c1f

SHA512
7fd35d8ff237dcde8009e8e99185bbcd6e193611ffe82ca0425e3bc6b6631808dc9de9c5896aa51f7e2adb471cb77ad77e539dce680d1d2134dbbbca74765ea9

Download Submit
C:\Program Files (x86)\a.bat

Filesize
173B

MD5
01ddf8d666182fb461c31ea972b7c0cb

SHA1
2664be2f65bcfe335e645b82290474f96b139673

SHA256
05cfae63da440d290ca54bdbffd6b5dad2f8218e8cd4378e848c43b2bffc804b

SHA512
0e81016a45537c9c1b8298305820765d2694b02c8eb2f20caaee2470a496d2da9cc7dc5249be1d7334c71eace163c787aaf6eba19051fd2726a659f9bae19458

Download Submit
C:\Program Files (x86)\b.bat

Filesize
36B

MD5
b3ebe1826ce9d92b7a26d29fd22cd176

SHA1
859c5cdc5e7092246afc49cc96f32003c0f4a499

SHA256
bc0c7c119e1fea0b1f73250f4b7b065911ebed47b0808752854482506f085c7d

SHA512
22ad95de252895adda7eeaecbc237cea406c808c4bafbebb75d0365d29a3e47144152e06bc346f02e8ed6b12bfa54241dfc4606d957ae7cee23866ca1394d09b

Download Submit