b36d207592c276c5632362ab5999f6b2db6e7c41a2fb35553bc3e6b7a9a86ea1

Analysis

max time kernel
0s
max time network
132s
platform
windows10-2004_x64
resource
win10v2004-20231215-en
resource tags

arch:x64arch:x86image:win10v2004-20231215-enlocale:en-usos:windows10-2004-x64system
submitted
03/01/2024, 15:45

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

d24e066f8e277824f236ebb1cbf56a1b.exe
Size

352KB
MD5

d24e066f8e277824f236ebb1cbf56a1b
SHA1

60f04dd78a0ba0d58b965e2878f37b180fa7a524
SHA256

b36d207592c276c5632362ab5999f6b2db6e7c41a2fb35553bc3e6b7a9a86ea1
SHA512

560d51e09ac8072cf06fb3e29f81a4fafab4f7b6dbfab03f37f678441ac42555de62ea509e85362b3580bc7730ebee1fbaeade404d4c693fb23fc5136531945b
SSDEEP

3072:XXaS2gSH/fORJ9b4cOYa3OJF4EISi/i4gG4nv4H3EzkGSaXiT+9S+a1+s3wNxn:naS2rW5AE4yjwHL/T7Gsyn

Score

10^/10

persistence

Malware Config

Signatures

Adds autorun key to be loaded by Explorer.exe on startup 2 TTPs 14 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Becifhfj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	d24e066f8e277824f236ebb1cbf56a1b.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	Aaepqjpd.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Adcmmeog.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	Adcmmeog.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	Alkdnboj.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Abemjmgg.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Aaepqjpd.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Ajneip32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	Abemjmgg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	Becifhfj.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	d24e066f8e277824f236ebb1cbf56a1b.exe
Key created	\REGISTRY\MACHINE\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad	Alkdnboj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\Web Event Logger = "{79FEACFF-FFCE-815E-A900-316290B5B738}"	Ajneip32.exe

Executes dropped EXE 6 IoCs

pid	Process
3260	Aaepqjpd.exe
2780	Adcmmeog.exe
5008	Alkdnboj.exe
2968	Ajneip32.exe
2256	Abemjmgg.exe
1632	Becifhfj.exe

Drops file in System32 directory 21 IoCs

description	ioc	Process
File created	C:\Windows\SysWOW64\Jiglalpk.dll	Aaepqjpd.exe
File opened for modification	C:\Windows\SysWOW64\Alkdnboj.exe	Adcmmeog.exe
File created	C:\Windows\SysWOW64\Elfana32.dll	Adcmmeog.exe
File created	C:\Windows\SysWOW64\Kihgme32.dll	Alkdnboj.exe
File created	C:\Windows\SysWOW64\Becifhfj.exe	Abemjmgg.exe
File created	C:\Windows\SysWOW64\Bhaebcen.exe	Becifhfj.exe
File created	C:\Windows\SysWOW64\Alkdnboj.exe	Adcmmeog.exe
File opened for modification	C:\Windows\SysWOW64\Ajneip32.exe	Alkdnboj.exe
File created	C:\Windows\SysWOW64\Abemjmgg.exe	Ajneip32.exe
File created	C:\Windows\SysWOW64\Oepgml32.dll	Becifhfj.exe
File created	C:\Windows\SysWOW64\Aaepqjpd.exe	d24e066f8e277824f236ebb1cbf56a1b.exe
File created	C:\Windows\SysWOW64\Eeijge32.dll	d24e066f8e277824f236ebb1cbf56a1b.exe
File opened for modification	C:\Windows\SysWOW64\Adcmmeog.exe	Aaepqjpd.exe
File created	C:\Windows\SysWOW64\Ajneip32.exe	Alkdnboj.exe
File created	C:\Windows\SysWOW64\Ejmcmk32.dll	Ajneip32.exe
File opened for modification	C:\Windows\SysWOW64\Becifhfj.exe	Abemjmgg.exe
File created	C:\Windows\SysWOW64\Fbohan32.dll	Abemjmgg.exe
File opened for modification	C:\Windows\SysWOW64\Bhaebcen.exe	Becifhfj.exe
File opened for modification	C:\Windows\SysWOW64\Aaepqjpd.exe	d24e066f8e277824f236ebb1cbf56a1b.exe
File created	C:\Windows\SysWOW64\Adcmmeog.exe	Aaepqjpd.exe
File opened for modification	C:\Windows\SysWOW64\Abemjmgg.exe	Ajneip32.exe

Program crash 1 IoCs

pid	pid_target	Process	procid_target
13072	12896	WerFault.exe	233

Modifies registry class 24 IoCs

description	ioc	Process
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	Adcmmeog.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Elfana32.dll"	Adcmmeog.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Oepgml32.dll"	Becifhfj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node	d24e066f8e277824f236ebb1cbf56a1b.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}	d24e066f8e277824f236ebb1cbf56a1b.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	Alkdnboj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	Abemjmgg.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	Becifhfj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	d24e066f8e277824f236ebb1cbf56a1b.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID	d24e066f8e277824f236ebb1cbf56a1b.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	Adcmmeog.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	Alkdnboj.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	Abemjmgg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	d24e066f8e277824f236ebb1cbf56a1b.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	Aaepqjpd.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Jiglalpk.dll"	Aaepqjpd.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Kihgme32.dll"	Alkdnboj.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	Ajneip32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Ejmcmk32.dll"	Ajneip32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	Ajneip32.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Fbohan32.dll"	Abemjmgg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ = "C:\\Windows\\SysWow64\\Eeijge32.dll"	d24e066f8e277824f236ebb1cbf56a1b.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32	Aaepqjpd.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{79FEACFF-FFCE-815E-A900-316290B5B738}\InProcServer32\ThreadingModel = "Apartment"	Becifhfj.exe

Suspicious use of WriteProcessMemory 18 IoCs

description	pid	Process	procid_target
PID 4776 wrote to memory of 3260	4776	d24e066f8e277824f236ebb1cbf56a1b.exe	507
PID 4776 wrote to memory of 3260	4776	d24e066f8e277824f236ebb1cbf56a1b.exe	507
PID 4776 wrote to memory of 3260	4776	d24e066f8e277824f236ebb1cbf56a1b.exe	507
PID 3260 wrote to memory of 2780	3260	Aaepqjpd.exe	506
PID 3260 wrote to memory of 2780	3260	Aaepqjpd.exe	506
PID 3260 wrote to memory of 2780	3260	Aaepqjpd.exe	506
PID 2780 wrote to memory of 5008	2780	Adcmmeog.exe	15
PID 2780 wrote to memory of 5008	2780	Adcmmeog.exe	15
PID 2780 wrote to memory of 5008	2780	Adcmmeog.exe	15
PID 5008 wrote to memory of 2968	5008	Alkdnboj.exe	505
PID 5008 wrote to memory of 2968	5008	Alkdnboj.exe	505
PID 5008 wrote to memory of 2968	5008	Alkdnboj.exe	505
PID 2968 wrote to memory of 2256	2968	Ajneip32.exe	504
PID 2968 wrote to memory of 2256	2968	Ajneip32.exe	504
PID 2968 wrote to memory of 2256	2968	Ajneip32.exe	504
PID 2256 wrote to memory of 1632	2256	Abemjmgg.exe	503
PID 2256 wrote to memory of 1632	2256	Abemjmgg.exe	503
PID 2256 wrote to memory of 1632	2256	Abemjmgg.exe	503

C:\Users\Admin\AppData\Local\Temp\d24e066f8e277824f236ebb1cbf56a1b.exe
"C:\Users\Admin\AppData\Local\Temp\d24e066f8e277824f236ebb1cbf56a1b.exe"
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:4776
- C:\Windows\SysWOW64\Aaepqjpd.exe
  C:\Windows\system32\Aaepqjpd.exe
  2⤵
  - Adds autorun key to be loaded by Explorer.exe on startup
  - Executes dropped EXE
  - Drops file in System32 directory
  - Modifies registry class
  - Suspicious use of WriteProcessMemory
  PID:3260

C:\Windows\SysWOW64\Alkdnboj.exe
C:\Windows\system32\Alkdnboj.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:5008
- C:\Windows\SysWOW64\Ajneip32.exe
  C:\Windows\system32\Ajneip32.exe
  2⤵
  - Adds autorun key to be loaded by Explorer.exe on startup
  - Executes dropped EXE
  - Drops file in System32 directory
  - Modifies registry class
  - Suspicious use of WriteProcessMemory
  PID:2968

C:\Windows\SysWOW64\Bdhfhe32.exe
C:\Windows\system32\Bdhfhe32.exe
1⤵
PID:2208
- C:\Windows\SysWOW64\Blpnib32.exe
  C:\Windows\system32\Blpnib32.exe
  2⤵
  PID:3976

C:\Windows\SysWOW64\Cbqlfkmi.exe
C:\Windows\system32\Cbqlfkmi.exe
1⤵
PID:116
- C:\Windows\SysWOW64\Cdainc32.exe
  C:\Windows\system32\Cdainc32.exe
  2⤵
  PID:1352

C:\Windows\SysWOW64\Cknnpm32.exe
C:\Windows\system32\Cknnpm32.exe
1⤵
PID:5088
- C:\Windows\SysWOW64\Cbefaj32.exe
  C:\Windows\system32\Cbefaj32.exe
  2⤵
  PID:2288

C:\Windows\SysWOW64\Chbnia32.exe
C:\Windows\system32\Chbnia32.exe
1⤵
PID:1212
- C:\Windows\SysWOW64\Ckpjfm32.exe
  C:\Windows\system32\Ckpjfm32.exe
  2⤵
  PID:5024

C:\Windows\SysWOW64\Cefoce32.exe
C:\Windows\system32\Cefoce32.exe
1⤵
PID:2188
- C:\Windows\SysWOW64\Chdkoa32.exe
  C:\Windows\system32\Chdkoa32.exe
  2⤵
  PID:3488

C:\Windows\SysWOW64\Cehkhecb.exe
C:\Windows\system32\Cehkhecb.exe
1⤵
PID:3608
- C:\Windows\SysWOW64\Chghdqbf.exe
  C:\Windows\system32\Chghdqbf.exe
  2⤵
  PID:1424

C:\Windows\SysWOW64\Dbllbibl.exe
C:\Windows\system32\Dbllbibl.exe
1⤵
PID:4360
- C:\Windows\SysWOW64\Dekhneap.exe
  C:\Windows\system32\Dekhneap.exe
  2⤵
  PID:4572

C:\Windows\SysWOW64\Dldpkoil.exe
C:\Windows\system32\Dldpkoil.exe
1⤵
PID:788
- C:\Windows\SysWOW64\Docmgjhp.exe
  C:\Windows\system32\Docmgjhp.exe
  2⤵
  PID:3424

C:\Windows\SysWOW64\Dhkapp32.exe
C:\Windows\system32\Dhkapp32.exe
1⤵
PID:5232
- C:\Windows\SysWOW64\Dkjmlk32.exe
  C:\Windows\system32\Dkjmlk32.exe
  2⤵
  PID:5272
- - C:\Windows\SysWOW64\Dbaemi32.exe
    C:\Windows\system32\Dbaemi32.exe
    3⤵
    PID:5312

C:\Windows\SysWOW64\Deoaid32.exe
C:\Windows\system32\Deoaid32.exe
1⤵
PID:5364
- C:\Windows\SysWOW64\Dhnnep32.exe
  C:\Windows\system32\Dhnnep32.exe
  2⤵
  PID:5404

C:\Windows\SysWOW64\Dkljak32.exe
C:\Windows\system32\Dkljak32.exe
1⤵
PID:5444
- C:\Windows\SysWOW64\Dohfbj32.exe
  C:\Windows\system32\Dohfbj32.exe
  2⤵
  PID:5484

C:\Windows\SysWOW64\Dccbbhld.exe
C:\Windows\system32\Dccbbhld.exe
1⤵
PID:5524
- C:\Windows\SysWOW64\Deanodkh.exe
  C:\Windows\system32\Deanodkh.exe
  2⤵
  PID:5576

C:\Windows\SysWOW64\Dddojq32.exe
C:\Windows\system32\Dddojq32.exe
1⤵
PID:5612
- C:\Windows\SysWOW64\Dllfkn32.exe
  C:\Windows\system32\Dllfkn32.exe
  2⤵
  PID:5656
- - C:\Windows\SysWOW64\Dojcgi32.exe
    C:\Windows\system32\Dojcgi32.exe
    3⤵
    PID:5696

C:\Windows\SysWOW64\Dedkdcie.exe
C:\Windows\system32\Dedkdcie.exe
1⤵
PID:5780
- C:\Windows\SysWOW64\Dhbgqohi.exe
  C:\Windows\system32\Dhbgqohi.exe
  2⤵
  PID:5820

C:\Windows\SysWOW64\Eolpmi32.exe
C:\Windows\system32\Eolpmi32.exe
1⤵
PID:5856
- C:\Windows\SysWOW64\Echknh32.exe
  C:\Windows\system32\Echknh32.exe
  2⤵
  PID:5900

C:\Windows\SysWOW64\Eefhjc32.exe
C:\Windows\system32\Eefhjc32.exe
1⤵
PID:5940
- C:\Windows\SysWOW64\Ehedfo32.exe
  C:\Windows\system32\Ehedfo32.exe
  2⤵
  PID:5980

C:\Windows\SysWOW64\Elppfmoo.exe
C:\Windows\system32\Elppfmoo.exe
1⤵
PID:6016
- C:\Windows\SysWOW64\Eoolbinc.exe
  C:\Windows\system32\Eoolbinc.exe
  2⤵
  PID:6060

C:\Windows\SysWOW64\Ecjhcg32.exe
C:\Windows\system32\Ecjhcg32.exe
1⤵
PID:6104
- C:\Windows\SysWOW64\Eeidoc32.exe
  C:\Windows\system32\Eeidoc32.exe
  2⤵
  PID:5132

C:\Windows\SysWOW64\Edkdkplj.exe
C:\Windows\system32\Edkdkplj.exe
1⤵
PID:5156
- C:\Windows\SysWOW64\Elbmlmml.exe
  C:\Windows\system32\Elbmlmml.exe
  2⤵
  PID:5296

C:\Windows\SysWOW64\Ekemhj32.exe
C:\Windows\system32\Ekemhj32.exe
1⤵
PID:5388
- C:\Windows\SysWOW64\Ecmeig32.exe
  C:\Windows\system32\Ecmeig32.exe
  2⤵
  PID:5516

C:\Windows\SysWOW64\Eekaebcm.exe
C:\Windows\system32\Eekaebcm.exe
1⤵
PID:5596
- C:\Windows\SysWOW64\Ednaqo32.exe
  C:\Windows\system32\Ednaqo32.exe
  2⤵
  PID:5664

C:\Windows\SysWOW64\Eleiam32.exe
C:\Windows\system32\Eleiam32.exe
1⤵
PID:5556
- C:\Windows\SysWOW64\Ekhjmiad.exe
  C:\Windows\system32\Ekhjmiad.exe
  2⤵
  PID:5800

C:\Windows\SysWOW64\Ecoangbg.exe
C:\Windows\system32\Ecoangbg.exe
1⤵
PID:5896
- C:\Windows\SysWOW64\Eabbjc32.exe
  C:\Windows\system32\Eabbjc32.exe
  2⤵
  PID:5948

C:\Windows\SysWOW64\Edpnfo32.exe
C:\Windows\system32\Edpnfo32.exe
1⤵
PID:6036
- C:\Windows\SysWOW64\Ehljfnpn.exe
  C:\Windows\system32\Ehljfnpn.exe
  2⤵
  PID:6100

C:\Windows\SysWOW64\Ekjfcipa.exe
C:\Windows\system32\Ekjfcipa.exe
1⤵
PID:5180
- C:\Windows\SysWOW64\Eofbch32.exe
  C:\Windows\system32\Eofbch32.exe
  2⤵
  PID:5396

C:\Windows\SysWOW64\Eadopc32.exe
C:\Windows\system32\Eadopc32.exe
1⤵
PID:5552
- C:\Windows\SysWOW64\Eepjpb32.exe
  C:\Windows\system32\Eepjpb32.exe
  2⤵
  PID:5716

C:\Windows\SysWOW64\Ehnglm32.exe
C:\Windows\system32\Ehnglm32.exe
1⤵
PID:5864
- C:\Windows\SysWOW64\Fljcmlfd.exe
  C:\Windows\system32\Fljcmlfd.exe
  2⤵
  PID:5964
- - C:\Windows\SysWOW64\Fohoigfh.exe
    C:\Windows\system32\Fohoigfh.exe
    3⤵
    PID:6092

C:\Windows\SysWOW64\Fafkecel.exe
C:\Windows\system32\Fafkecel.exe
1⤵
PID:5324
- C:\Windows\SysWOW64\Febgea32.exe
  C:\Windows\system32\Febgea32.exe
  2⤵
  PID:5548

C:\Windows\SysWOW64\Fhqcam32.exe
C:\Windows\system32\Fhqcam32.exe
1⤵
PID:5848
- C:\Windows\SysWOW64\Fkopnh32.exe
  C:\Windows\system32\Fkopnh32.exe
  2⤵
  PID:6048

C:\Windows\SysWOW64\Fojlngce.exe
C:\Windows\system32\Fojlngce.exe
1⤵
PID:5356
- C:\Windows\SysWOW64\Faihkbci.exe
  C:\Windows\system32\Faihkbci.exe
  2⤵
  PID:5728

C:\Windows\SysWOW64\Ffddka32.exe
C:\Windows\system32\Ffddka32.exe
1⤵
PID:6068
- C:\Windows\SysWOW64\Fdgdgnbm.exe
  C:\Windows\system32\Fdgdgnbm.exe
  2⤵
  PID:5724

C:\Windows\SysWOW64\Fchddejl.exe
C:\Windows\system32\Fchddejl.exe
1⤵
PID:6168
- C:\Windows\SysWOW64\Fakdpb32.exe
  C:\Windows\system32\Fakdpb32.exe
  2⤵
  PID:6208

C:\Windows\SysWOW64\Fdialn32.exe
C:\Windows\system32\Fdialn32.exe
1⤵
PID:6260
- C:\Windows\SysWOW64\Flqimk32.exe
  C:\Windows\system32\Flqimk32.exe
  2⤵
  PID:6296

C:\Windows\SysWOW64\Fkciihgg.exe
C:\Windows\system32\Fkciihgg.exe
1⤵
PID:6340
- C:\Windows\SysWOW64\Fckajehi.exe
  C:\Windows\system32\Fckajehi.exe
  2⤵
  PID:6380

C:\Windows\SysWOW64\Ffimfqgm.exe
C:\Windows\system32\Ffimfqgm.exe
1⤵
PID:6432
- C:\Windows\SysWOW64\Fdlnbm32.exe
  C:\Windows\system32\Fdlnbm32.exe
  2⤵
  PID:6472

C:\Windows\SysWOW64\Flceckoj.exe
C:\Windows\system32\Flceckoj.exe
1⤵
PID:6520
- C:\Windows\SysWOW64\Fkffog32.exe
  C:\Windows\system32\Fkffog32.exe
  2⤵
  PID:6556

C:\Windows\SysWOW64\Fcmnpe32.exe
C:\Windows\system32\Fcmnpe32.exe
1⤵
PID:6596
- C:\Windows\SysWOW64\Fbpnkama.exe
  C:\Windows\system32\Fbpnkama.exe
  2⤵
  PID:6648

C:\Windows\SysWOW64\Ffkjlp32.exe
C:\Windows\system32\Ffkjlp32.exe
1⤵
PID:6688
- C:\Windows\SysWOW64\Fhjfhl32.exe
  C:\Windows\system32\Fhjfhl32.exe
  2⤵
  PID:6736

C:\Windows\SysWOW64\Gkhbdg32.exe
C:\Windows\system32\Gkhbdg32.exe
1⤵
PID:6776
- C:\Windows\SysWOW64\Gododflk.exe
  C:\Windows\system32\Gododflk.exe
  2⤵
  PID:6824

C:\Windows\SysWOW64\Gcojed32.exe
C:\Windows\system32\Gcojed32.exe
1⤵
PID:6860
- C:\Windows\SysWOW64\Gbbkaako.exe
  C:\Windows\system32\Gbbkaako.exe
  2⤵
  PID:6912

C:\Windows\SysWOW64\Ghlcnk32.exe
C:\Windows\system32\Ghlcnk32.exe
1⤵
PID:6988
- C:\Windows\SysWOW64\Gkkojgao.exe
  C:\Windows\system32\Gkkojgao.exe
  2⤵
  PID:7040

C:\Windows\SysWOW64\Gofkje32.exe
C:\Windows\system32\Gofkje32.exe
1⤵
PID:7084
- C:\Windows\SysWOW64\Gcagkdba.exe
  C:\Windows\system32\Gcagkdba.exe
  2⤵
  PID:7120

C:\Windows\SysWOW64\Gbdgfa32.exe
C:\Windows\system32\Gbdgfa32.exe
1⤵
PID:6012
- C:\Windows\SysWOW64\Gdcdbl32.exe
  C:\Windows\system32\Gdcdbl32.exe
  2⤵
  PID:6220

C:\Windows\SysWOW64\Ghopckpi.exe
C:\Windows\system32\Ghopckpi.exe
1⤵
PID:6288
- C:\Windows\SysWOW64\Gmjlcj32.exe
  C:\Windows\system32\Gmjlcj32.exe
  2⤵
  PID:6328

C:\Windows\SysWOW64\Gohhpe32.exe
C:\Windows\system32\Gohhpe32.exe
1⤵
PID:6412
- C:\Windows\SysWOW64\Gbgdlq32.exe
  C:\Windows\system32\Gbgdlq32.exe
  2⤵
  PID:6516

C:\Windows\SysWOW64\Gfbploob.exe
C:\Windows\system32\Gfbploob.exe
1⤵
PID:6576
- C:\Windows\SysWOW64\Ghaliknf.exe
  C:\Windows\system32\Ghaliknf.exe
  2⤵
  PID:6644
- - C:\Windows\SysWOW64\Gkoiefmj.exe
    C:\Windows\system32\Gkoiefmj.exe
    3⤵
    PID:6720

C:\Windows\SysWOW64\Gokdeeec.exe
C:\Windows\system32\Gokdeeec.exe
1⤵
PID:6756
- C:\Windows\SysWOW64\Gbiaapdf.exe
  C:\Windows\system32\Gbiaapdf.exe
  2⤵
  PID:6868

C:\Windows\SysWOW64\Gdhmnlcj.exe
C:\Windows\system32\Gdhmnlcj.exe
1⤵
PID:7004
- C:\Windows\SysWOW64\Gmoeoidl.exe
  C:\Windows\system32\Gmoeoidl.exe
  2⤵
  PID:7076

C:\Windows\SysWOW64\Gkaejf32.exe
C:\Windows\system32\Gkaejf32.exe
1⤵
PID:7148
- C:\Windows\SysWOW64\Gcimkc32.exe
  C:\Windows\system32\Gcimkc32.exe
  2⤵
  PID:6200

C:\Windows\SysWOW64\Gblngpbd.exe
C:\Windows\system32\Gblngpbd.exe
1⤵
PID:6324
- C:\Windows\SysWOW64\Gfgjgo32.exe
  C:\Windows\system32\Gfgjgo32.exe
  2⤵
  PID:6440

C:\Windows\SysWOW64\Hiefcj32.exe
C:\Windows\system32\Hiefcj32.exe
1⤵
PID:6584
- C:\Windows\SysWOW64\Hmabdibj.exe
  C:\Windows\system32\Hmabdibj.exe
  2⤵
  PID:6696

C:\Windows\SysWOW64\Hkdbpe32.exe
C:\Windows\system32\Hkdbpe32.exe
1⤵
PID:6812
- C:\Windows\SysWOW64\Hckjacjg.exe
  C:\Windows\system32\Hckjacjg.exe
  2⤵
  PID:6936

C:\Windows\SysWOW64\Hbnjmp32.exe
C:\Windows\system32\Hbnjmp32.exe
1⤵
PID:7060
- C:\Windows\SysWOW64\Helfik32.exe
  C:\Windows\system32\Helfik32.exe
  2⤵
  PID:6160

C:\Windows\SysWOW64\Hihbijhn.exe
C:\Windows\system32\Hihbijhn.exe
1⤵
PID:6372
- C:\Windows\SysWOW64\Hmcojh32.exe
  C:\Windows\system32\Hmcojh32.exe
  2⤵
  PID:6564

C:\Windows\SysWOW64\Hbpgbo32.exe
C:\Windows\system32\Hbpgbo32.exe
1⤵
PID:7000
- C:\Windows\SysWOW64\Hflcbngh.exe
  C:\Windows\system32\Hflcbngh.exe
  2⤵
  PID:7156

C:\Windows\SysWOW64\Hijooifk.exe
C:\Windows\system32\Hijooifk.exe
1⤵
PID:6588
- C:\Windows\SysWOW64\Hmfkoh32.exe
  C:\Windows\system32\Hmfkoh32.exe
  2⤵
  PID:6856

C:\Windows\SysWOW64\Hodgkc32.exe
C:\Windows\system32\Hodgkc32.exe
1⤵
PID:7128
- C:\Windows\SysWOW64\Hbbdholl.exe
  C:\Windows\system32\Hbbdholl.exe
  2⤵
  PID:6712

C:\Windows\SysWOW64\Hfnphn32.exe
C:\Windows\system32\Hfnphn32.exe
1⤵
PID:6552
- C:\Windows\SysWOW64\Heapdjlp.exe
  C:\Windows\system32\Heapdjlp.exe
  2⤵
  PID:6156

C:\Windows\SysWOW64\Hmhhehlb.exe
C:\Windows\system32\Hmhhehlb.exe
1⤵
PID:7188
- C:\Windows\SysWOW64\Hkkhqd32.exe
  C:\Windows\system32\Hkkhqd32.exe
  2⤵
  PID:7224

C:\Windows\SysWOW64\Hcbpab32.exe
C:\Windows\system32\Hcbpab32.exe
1⤵
PID:7272
- C:\Windows\SysWOW64\Hbeqmoji.exe
  C:\Windows\system32\Hbeqmoji.exe
  2⤵
  PID:7308

C:\Windows\SysWOW64\Hecmijim.exe
C:\Windows\system32\Hecmijim.exe
1⤵
PID:7356
- C:\Windows\SysWOW64\Hioiji32.exe
  C:\Windows\system32\Hioiji32.exe
  2⤵
  PID:7400

C:\Windows\SysWOW64\Iefioj32.exe
C:\Windows\system32\Iefioj32.exe
1⤵
PID:7444
- C:\Windows\SysWOW64\Iiaephpc.exe
  C:\Windows\system32\Iiaephpc.exe
  2⤵
  PID:7484

C:\Windows\SysWOW64\Ikpaldog.exe
C:\Windows\system32\Ikpaldog.exe
1⤵
PID:7524
- C:\Windows\SysWOW64\Ipknlb32.exe
  C:\Windows\system32\Ipknlb32.exe
  2⤵
  PID:7564

C:\Windows\SysWOW64\Iehfdi32.exe
C:\Windows\system32\Iehfdi32.exe
1⤵
PID:7644
- C:\Windows\SysWOW64\Iicbehnq.exe
  C:\Windows\system32\Iicbehnq.exe
  2⤵
  PID:7684

C:\Windows\SysWOW64\Ikbnacmd.exe
C:\Windows\system32\Ikbnacmd.exe
1⤵
PID:7728
- C:\Windows\SysWOW64\Ipnjab32.exe
  C:\Windows\system32\Ipnjab32.exe
  2⤵
  PID:7764

C:\Windows\SysWOW64\Iblfnn32.exe
C:\Windows\system32\Iblfnn32.exe
1⤵
PID:7812
- C:\Windows\SysWOW64\Iejcji32.exe
  C:\Windows\system32\Iejcji32.exe
  2⤵
  PID:7856

C:\Windows\SysWOW64\Iifokh32.exe
C:\Windows\system32\Iifokh32.exe
1⤵
PID:7892
- C:\Windows\SysWOW64\Ildkgc32.exe
  C:\Windows\system32\Ildkgc32.exe
  2⤵
  PID:7936

C:\Windows\SysWOW64\Ickchq32.exe
C:\Windows\system32\Ickchq32.exe
1⤵
PID:8016
- C:\Windows\SysWOW64\Ifjodl32.exe
  C:\Windows\system32\Ifjodl32.exe
  2⤵
  PID:8064

C:\Windows\SysWOW64\Iemppiab.exe
C:\Windows\system32\Iemppiab.exe
1⤵
PID:8104
- C:\Windows\SysWOW64\Imdgqfbd.exe
  C:\Windows\system32\Imdgqfbd.exe
  2⤵
  PID:8148
- - C:\Windows\SysWOW64\Ifllil32.exe
    C:\Windows\system32\Ifllil32.exe
    3⤵
    PID:8188

C:\Windows\SysWOW64\Iikhfg32.exe
C:\Windows\system32\Iikhfg32.exe
1⤵
PID:7232
- C:\Windows\SysWOW64\Imfdff32.exe
  C:\Windows\system32\Imfdff32.exe
  2⤵
  PID:7300

C:\Windows\SysWOW64\Ipdqba32.exe
C:\Windows\system32\Ipdqba32.exe
1⤵
PID:7364
- C:\Windows\SysWOW64\Icplcpgo.exe
  C:\Windows\system32\Icplcpgo.exe
  2⤵
  PID:7432

C:\Windows\SysWOW64\Jeaikh32.exe
C:\Windows\system32\Jeaikh32.exe
1⤵
PID:7580
- C:\Windows\SysWOW64\Jimekgff.exe
  C:\Windows\system32\Jimekgff.exe
  2⤵
  PID:7628

C:\Windows\SysWOW64\Jlkagbej.exe
C:\Windows\system32\Jlkagbej.exe
1⤵
PID:7716
- C:\Windows\SysWOW64\Jpgmha32.exe
  C:\Windows\system32\Jpgmha32.exe
  2⤵
  PID:7804

C:\Windows\SysWOW64\Jcbihpel.exe
C:\Windows\system32\Jcbihpel.exe
1⤵
PID:7840
- C:\Windows\SysWOW64\Jfaedkdp.exe
  C:\Windows\system32\Jfaedkdp.exe
  2⤵
  PID:7920

C:\Windows\SysWOW64\Jedeph32.exe
C:\Windows\system32\Jedeph32.exe
1⤵
PID:8008
- C:\Windows\SysWOW64\Jioaqfcc.exe
  C:\Windows\system32\Jioaqfcc.exe
  2⤵
  PID:8048

C:\Windows\SysWOW64\Jlnnmb32.exe
C:\Windows\system32\Jlnnmb32.exe
1⤵
PID:8124
- C:\Windows\SysWOW64\Jpijnqkp.exe
  C:\Windows\system32\Jpijnqkp.exe
  2⤵
  PID:7176

C:\Windows\SysWOW64\Jfcbjk32.exe
C:\Windows\system32\Jfcbjk32.exe
1⤵
PID:7392
- C:\Windows\SysWOW64\Jefbfgig.exe
  C:\Windows\system32\Jefbfgig.exe
  2⤵
  PID:7508
- - C:\Windows\SysWOW64\Jmmjgejj.exe
    C:\Windows\system32\Jmmjgejj.exe
    3⤵
    PID:7668

C:\Windows\SysWOW64\Jcgbco32.exe
C:\Windows\system32\Jcgbco32.exe
1⤵
PID:7900
- C:\Windows\SysWOW64\Jbjcolha.exe
  C:\Windows\system32\Jbjcolha.exe
  2⤵
  PID:8044

C:\Windows\SysWOW64\Jfeopj32.exe
C:\Windows\system32\Jfeopj32.exe
1⤵
PID:8136
- C:\Windows\SysWOW64\Jidklf32.exe
  C:\Windows\system32\Jidklf32.exe
  2⤵
  PID:7208

C:\Windows\SysWOW64\Jlbgha32.exe
C:\Windows\system32\Jlbgha32.exe
1⤵
PID:7708
- C:\Windows\SysWOW64\Jpnchp32.exe
  C:\Windows\system32\Jpnchp32.exe
  2⤵
  PID:7912

C:\Windows\SysWOW64\Jblpek32.exe
C:\Windows\system32\Jblpek32.exe
1⤵
PID:8096
- C:\Windows\SysWOW64\Jfhlejnh.exe
  C:\Windows\system32\Jfhlejnh.exe
  2⤵
  PID:7256

C:\Windows\SysWOW64\Jeklag32.exe
C:\Windows\system32\Jeklag32.exe
1⤵
PID:7624
- C:\Windows\SysWOW64\Jifhaenk.exe
  C:\Windows\system32\Jifhaenk.exe
  2⤵
  PID:7956

C:\Windows\SysWOW64\Jmbdbd32.exe
C:\Windows\system32\Jmbdbd32.exe
1⤵
PID:7380
- C:\Windows\SysWOW64\Jpppnp32.exe
  C:\Windows\system32\Jpppnp32.exe
  2⤵
  PID:8032

C:\Windows\SysWOW64\Kboljk32.exe
C:\Windows\system32\Kboljk32.exe
1⤵
PID:7556
- C:\Windows\SysWOW64\Kfjhkjle.exe
  C:\Windows\system32\Kfjhkjle.exe
  2⤵
  PID:8212

C:\Windows\SysWOW64\Kiidgeki.exe
C:\Windows\system32\Kiidgeki.exe
1⤵
PID:8252
- C:\Windows\SysWOW64\Kmdqgd32.exe
  C:\Windows\system32\Kmdqgd32.exe
  2⤵
  PID:8292

C:\Windows\SysWOW64\Kpbmco32.exe
C:\Windows\system32\Kpbmco32.exe
1⤵
PID:8336
- C:\Windows\SysWOW64\Kdnidn32.exe
  C:\Windows\system32\Kdnidn32.exe
  2⤵
  PID:8376

C:\Windows\SysWOW64\Kepelfam.exe
C:\Windows\system32\Kepelfam.exe
1⤵
PID:8464
- C:\Windows\SysWOW64\Kikame32.exe
  C:\Windows\system32\Kikame32.exe
  2⤵
  PID:8504

C:\Windows\SysWOW64\Kmfmmcbo.exe
C:\Windows\system32\Kmfmmcbo.exe
1⤵
PID:8540
- C:\Windows\SysWOW64\Klimip32.exe
  C:\Windows\system32\Klimip32.exe
  2⤵
  PID:8580

C:\Windows\SysWOW64\Kdqejn32.exe
C:\Windows\system32\Kdqejn32.exe
1⤵
PID:8628
- C:\Windows\SysWOW64\Kbceejpf.exe
  C:\Windows\system32\Kbceejpf.exe
  2⤵
  PID:8672

C:\Windows\SysWOW64\Kimnbd32.exe
C:\Windows\system32\Kimnbd32.exe
1⤵
PID:8756
- C:\Windows\SysWOW64\Kmijbcpl.exe
  C:\Windows\system32\Kmijbcpl.exe
  2⤵
  PID:8792

C:\Windows\SysWOW64\Klljnp32.exe
C:\Windows\system32\Klljnp32.exe
1⤵
PID:8844
- C:\Windows\SysWOW64\Kfankifm.exe
  C:\Windows\system32\Kfankifm.exe
  2⤵
  PID:8880
- - C:\Windows\SysWOW64\Kedoge32.exe
    C:\Windows\system32\Kedoge32.exe
    3⤵
    PID:8920

C:\Windows\SysWOW64\Kmkfhc32.exe
C:\Windows\system32\Kmkfhc32.exe
1⤵
PID:8972
- C:\Windows\SysWOW64\Klngdpdd.exe
  C:\Windows\system32\Klngdpdd.exe
  2⤵
  PID:9008

C:\Windows\SysWOW64\Kdeoemeg.exe
C:\Windows\system32\Kdeoemeg.exe
1⤵
PID:9056
- C:\Windows\SysWOW64\Kbhoqj32.exe
  C:\Windows\system32\Kbhoqj32.exe
  2⤵
  PID:9096

C:\Windows\SysWOW64\Kfckahdj.exe
C:\Windows\system32\Kfckahdj.exe
1⤵
PID:9136
- C:\Windows\SysWOW64\Kibgmdcn.exe
  C:\Windows\system32\Kibgmdcn.exe
  2⤵
  PID:9180

C:\Windows\SysWOW64\Kmncnb32.exe
C:\Windows\system32\Kmncnb32.exe
1⤵
PID:8208
- C:\Windows\SysWOW64\Klqcioba.exe
  C:\Windows\system32\Klqcioba.exe
  2⤵
  PID:8276

C:\Windows\SysWOW64\Lffhfh32.exe
C:\Windows\system32\Lffhfh32.exe
1⤵
PID:8392
- C:\Windows\SysWOW64\Leihbeib.exe
  C:\Windows\system32\Leihbeib.exe
  2⤵
  PID:8488
- - C:\Windows\SysWOW64\Llcpoo32.exe
    C:\Windows\system32\Llcpoo32.exe
    3⤵
    PID:8564

C:\Windows\SysWOW64\Lpnlpnih.exe
C:\Windows\system32\Lpnlpnih.exe
1⤵
PID:8648
- C:\Windows\SysWOW64\Lbmhlihl.exe
  C:\Windows\system32\Lbmhlihl.exe
  2⤵
  PID:8724

C:\Windows\SysWOW64\Lekehdgp.exe
C:\Windows\system32\Lekehdgp.exe
1⤵
PID:8788
- C:\Windows\SysWOW64\Ligqhc32.exe
  C:\Windows\system32\Ligqhc32.exe
  2⤵
  PID:8852

C:\Windows\SysWOW64\Llemdo32.exe
C:\Windows\system32\Llemdo32.exe
1⤵
PID:8912
- C:\Windows\SysWOW64\Lpqiemge.exe
  C:\Windows\system32\Lpqiemge.exe
  2⤵
  PID:9004
- - C:\Windows\SysWOW64\Lboeaifi.exe
    C:\Windows\system32\Lboeaifi.exe
    3⤵
    PID:9068

C:\Windows\SysWOW64\Liimncmf.exe
C:\Windows\system32\Liimncmf.exe
1⤵
PID:9116
- C:\Windows\SysWOW64\Llgjjnlj.exe
  C:\Windows\system32\Llgjjnlj.exe
  2⤵
  PID:8200
- - C:\Windows\SysWOW64\Lpcfkm32.exe
    C:\Windows\system32\Lpcfkm32.exe
    3⤵
    PID:8288

C:\Windows\SysWOW64\Lbabgh32.exe
C:\Windows\system32\Lbabgh32.exe
1⤵
PID:8384
- C:\Windows\SysWOW64\Lgmngglp.exe
  C:\Windows\system32\Lgmngglp.exe
  2⤵
  PID:8524

C:\Windows\SysWOW64\Lmgfda32.exe
C:\Windows\system32\Lmgfda32.exe
1⤵
PID:8928
- C:\Windows\SysWOW64\Lljfpnjg.exe
  C:\Windows\system32\Lljfpnjg.exe
  2⤵
  PID:8948

C:\Windows\SysWOW64\Ldanqkki.exe
C:\Windows\system32\Ldanqkki.exe
1⤵
PID:9104
- C:\Windows\SysWOW64\Lbdolh32.exe
  C:\Windows\system32\Lbdolh32.exe
  2⤵
  PID:9196

C:\Windows\SysWOW64\Lgokmgjm.exe
C:\Windows\system32\Lgokmgjm.exe
1⤵
PID:8408
- C:\Windows\SysWOW64\Lingibiq.exe
  C:\Windows\system32\Lingibiq.exe
  2⤵
  PID:8572

C:\Windows\SysWOW64\Lmiciaaj.exe
C:\Windows\system32\Lmiciaaj.exe
1⤵
PID:8828
- C:\Windows\SysWOW64\Lphoelqn.exe
  C:\Windows\system32\Lphoelqn.exe
  2⤵
  PID:9064

C:\Windows\SysWOW64\Mdckfk32.exe
C:\Windows\system32\Mdckfk32.exe
1⤵
PID:8196
- C:\Windows\SysWOW64\Mgagbf32.exe
  C:\Windows\system32\Mgagbf32.exe
  2⤵
  PID:8576

C:\Windows\SysWOW64\Mipcob32.exe
C:\Windows\system32\Mipcob32.exe
1⤵
PID:8980
- C:\Windows\SysWOW64\Mmlpoqpg.exe
  C:\Windows\system32\Mmlpoqpg.exe
  2⤵
  PID:8432

C:\Windows\SysWOW64\Mpjlklok.exe
C:\Windows\system32\Mpjlklok.exe
1⤵
PID:9144
- C:\Windows\SysWOW64\Mchhggno.exe
  C:\Windows\system32\Mchhggno.exe
  2⤵
  PID:8484
- - C:\Windows\SysWOW64\Megdccmb.exe
    C:\Windows\system32\Megdccmb.exe
    3⤵
    PID:9232
  - - C:\Windows\SysWOW64\Mlampmdo.exe
      C:\Windows\system32\Mlampmdo.exe
      4⤵
      PID:9272

C:\Windows\SysWOW64\Mplhql32.exe
C:\Windows\system32\Mplhql32.exe
1⤵
PID:9328
- C:\Windows\SysWOW64\Mckemg32.exe
  C:\Windows\system32\Mckemg32.exe
  2⤵
  PID:9372
- - C:\Windows\SysWOW64\Miemjaci.exe
    C:\Windows\system32\Miemjaci.exe
    3⤵
    PID:9408

C:\Windows\SysWOW64\Mlcifmbl.exe
C:\Windows\system32\Mlcifmbl.exe
1⤵
PID:9444
- C:\Windows\SysWOW64\Mcmabg32.exe
  C:\Windows\system32\Mcmabg32.exe
  2⤵
  PID:9496
- - C:\Windows\SysWOW64\Mgimcebb.exe
    C:\Windows\system32\Mgimcebb.exe
    3⤵
    PID:9532

C:\Windows\SysWOW64\Mmbfpp32.exe
C:\Windows\system32\Mmbfpp32.exe
1⤵
PID:9576
- C:\Windows\SysWOW64\Mpablkhc.exe
  C:\Windows\system32\Mpablkhc.exe
  2⤵
  PID:9628
- - C:\Windows\SysWOW64\Mdmnlj32.exe
    C:\Windows\system32\Mdmnlj32.exe
    3⤵
    PID:9668

C:\Windows\SysWOW64\Menjdbgj.exe
C:\Windows\system32\Menjdbgj.exe
1⤵
PID:9752
- C:\Windows\SysWOW64\Miifeq32.exe
  C:\Windows\system32\Miifeq32.exe
  2⤵
  PID:9796

C:\Windows\SysWOW64\Mnebeogl.exe
C:\Windows\system32\Mnebeogl.exe
1⤵
PID:9832
- C:\Windows\SysWOW64\Npcoakfp.exe
  C:\Windows\system32\Npcoakfp.exe
  2⤵
  PID:9880

C:\Windows\SysWOW64\Ngmgne32.exe
C:\Windows\system32\Ngmgne32.exe
1⤵
PID:9968
- C:\Windows\SysWOW64\Nepgjaeg.exe
  C:\Windows\system32\Nepgjaeg.exe
  2⤵
  PID:10004

C:\Windows\SysWOW64\Nngokoej.exe
C:\Windows\system32\Nngokoej.exe
1⤵
PID:10056
- C:\Windows\SysWOW64\Nljofl32.exe
  C:\Windows\system32\Nljofl32.exe
  2⤵
  PID:10096

C:\Windows\SysWOW64\Npfkgjdn.exe
C:\Windows\system32\Npfkgjdn.exe
1⤵
PID:10132
- C:\Windows\SysWOW64\Ncdgcf32.exe
  C:\Windows\system32\Ncdgcf32.exe
  2⤵
  PID:10184

C:\Windows\SysWOW64\Ngpccdlj.exe
C:\Windows\system32\Ngpccdlj.exe
1⤵
PID:10228
- C:\Windows\SysWOW64\Nebdoa32.exe
  C:\Windows\system32\Nebdoa32.exe
  2⤵
  PID:9256

C:\Windows\SysWOW64\Nnjlpo32.exe
C:\Windows\system32\Nnjlpo32.exe
1⤵
PID:9312
- C:\Windows\SysWOW64\Nlmllkja.exe
  C:\Windows\system32\Nlmllkja.exe
  2⤵
  PID:9396

C:\Windows\SysWOW64\Ncfdie32.exe
C:\Windows\system32\Ncfdie32.exe
1⤵
PID:9528
- C:\Windows\SysWOW64\Ngbpidjh.exe
  C:\Windows\system32\Ngbpidjh.exe
  2⤵
  PID:9572

C:\Windows\SysWOW64\Njqmepik.exe
C:\Windows\system32\Njqmepik.exe
1⤵
PID:9676
- C:\Windows\SysWOW64\Nnlhfn32.exe
  C:\Windows\system32\Nnlhfn32.exe
  2⤵
  PID:9748

C:\Windows\SysWOW64\Nloiakho.exe
C:\Windows\system32\Nloiakho.exe
1⤵
PID:9840
- C:\Windows\SysWOW64\Npjebj32.exe
  C:\Windows\system32\Npjebj32.exe
  2⤵
  PID:9908

C:\Windows\SysWOW64\Ngdmod32.exe
C:\Windows\system32\Ngdmod32.exe
1⤵
PID:10044
- C:\Windows\SysWOW64\Nfgmjqop.exe
  C:\Windows\system32\Nfgmjqop.exe
  2⤵
  PID:10104

C:\Windows\SysWOW64\Nnneknob.exe
C:\Windows\system32\Nnneknob.exe
1⤵
PID:9244
- C:\Windows\SysWOW64\Nlaegk32.exe
  C:\Windows\system32\Nlaegk32.exe
  2⤵
  PID:9300

C:\Windows\SysWOW64\Ndhmhh32.exe
C:\Windows\system32\Ndhmhh32.exe
1⤵
PID:9452
- C:\Windows\SysWOW64\Nckndeni.exe
  C:\Windows\system32\Nckndeni.exe
  2⤵
  PID:9548

C:\Windows\SysWOW64\Nfjjppmm.exe
C:\Windows\system32\Nfjjppmm.exe
1⤵
PID:9696
- C:\Windows\SysWOW64\Njefqo32.exe
  C:\Windows\system32\Njefqo32.exe
  2⤵
  PID:9804
- - C:\Windows\SysWOW64\Olcbmj32.exe
    C:\Windows\system32\Olcbmj32.exe
    3⤵
    PID:9888

C:\Windows\SysWOW64\Odkjng32.exe
C:\Windows\system32\Odkjng32.exe
1⤵
PID:10020
- C:\Windows\SysWOW64\Ogifjcdp.exe
  C:\Windows\system32\Ogifjcdp.exe
  2⤵
  PID:10124

C:\Windows\SysWOW64\Oflgep32.exe
C:\Windows\system32\Oflgep32.exe
1⤵
PID:10212
- C:\Windows\SysWOW64\Odmgcgbi.exe
  C:\Windows\system32\Odmgcgbi.exe
  2⤵
  PID:9432

C:\Windows\SysWOW64\Ocpgod32.exe
C:\Windows\system32\Ocpgod32.exe
1⤵
PID:9440
- C:\Windows\SysWOW64\Ofnckp32.exe
  C:\Windows\system32\Ofnckp32.exe
  2⤵
  PID:9776

C:\Windows\SysWOW64\Oneklm32.exe
C:\Windows\system32\Oneklm32.exe
1⤵
PID:9996
- C:\Windows\SysWOW64\Olhlhjpd.exe
  C:\Windows\system32\Olhlhjpd.exe
  2⤵
  PID:10192

C:\Windows\SysWOW64\Ognpebpj.exe
C:\Windows\system32\Ognpebpj.exe
1⤵
PID:9712
- C:\Windows\SysWOW64\Ofqpqo32.exe
  C:\Windows\system32\Ofqpqo32.exe
  2⤵
  PID:10040

C:\Windows\SysWOW64\Ojllan32.exe
C:\Windows\system32\Ojllan32.exe
1⤵
PID:9320
- C:\Windows\SysWOW64\Olkhmi32.exe
  C:\Windows\system32\Olkhmi32.exe
  2⤵
  PID:9864

C:\Windows\SysWOW64\Odapnf32.exe
C:\Windows\system32\Odapnf32.exe
1⤵
PID:9380
- C:\Windows\SysWOW64\Ocdqjceo.exe
  C:\Windows\system32\Ocdqjceo.exe
  2⤵
  PID:10216

C:\Windows\SysWOW64\Ogpmjb32.exe
C:\Windows\system32\Ogpmjb32.exe
1⤵
PID:10244
- C:\Windows\SysWOW64\Ojoign32.exe
  C:\Windows\system32\Ojoign32.exe
  2⤵
  PID:10292

C:\Windows\SysWOW64\Oqhacgdh.exe
C:\Windows\system32\Oqhacgdh.exe
1⤵
PID:10376
- C:\Windows\SysWOW64\Oddmdf32.exe
  C:\Windows\system32\Oddmdf32.exe
  2⤵
  PID:10420

C:\Windows\SysWOW64\Ocgmpccl.exe
C:\Windows\system32\Ocgmpccl.exe
1⤵
PID:10456
- C:\Windows\SysWOW64\Ofeilobp.exe
  C:\Windows\system32\Ofeilobp.exe
  2⤵
  PID:10500

C:\Windows\SysWOW64\Ojaelm32.exe
C:\Windows\system32\Ojaelm32.exe
1⤵
PID:10536
- C:\Windows\SysWOW64\Pmoahijl.exe
  C:\Windows\system32\Pmoahijl.exe
  2⤵
  PID:10580
- - C:\Windows\SysWOW64\Pdfjifjo.exe
    C:\Windows\system32\Pdfjifjo.exe
    3⤵
    PID:10620

C:\Windows\SysWOW64\Pcijeb32.exe
C:\Windows\system32\Pcijeb32.exe
1⤵
PID:10656
- C:\Windows\SysWOW64\Pfhfan32.exe
  C:\Windows\system32\Pfhfan32.exe
  2⤵
  PID:10708

C:\Windows\SysWOW64\Pjcbbmif.exe
C:\Windows\system32\Pjcbbmif.exe
1⤵
PID:10744
- C:\Windows\SysWOW64\Pmannhhj.exe
  C:\Windows\system32\Pmannhhj.exe
  2⤵
  PID:10788

C:\Windows\SysWOW64\Pclgkb32.exe
C:\Windows\system32\Pclgkb32.exe
1⤵
PID:10868
- C:\Windows\SysWOW64\Pfjcgn32.exe
  C:\Windows\system32\Pfjcgn32.exe
  2⤵
  PID:10916

C:\Windows\SysWOW64\Pjeoglgc.exe
C:\Windows\system32\Pjeoglgc.exe
1⤵
PID:10956
- C:\Windows\SysWOW64\Pnakhkol.exe
  C:\Windows\system32\Pnakhkol.exe
  2⤵
  PID:10992

C:\Windows\SysWOW64\Pqpgdfnp.exe
C:\Windows\system32\Pqpgdfnp.exe
1⤵
PID:11036
- C:\Windows\SysWOW64\Pdkcde32.exe
  C:\Windows\system32\Pdkcde32.exe
  2⤵
  PID:11076

C:\Windows\SysWOW64\Pgioqq32.exe
C:\Windows\system32\Pgioqq32.exe
1⤵
PID:11116
- C:\Windows\SysWOW64\Pjhlml32.exe
  C:\Windows\system32\Pjhlml32.exe
  2⤵
  PID:11160

C:\Windows\SysWOW64\Pncgmkmj.exe
C:\Windows\system32\Pncgmkmj.exe
1⤵
PID:11200
- C:\Windows\SysWOW64\Pqbdjfln.exe
  C:\Windows\system32\Pqbdjfln.exe
  2⤵
  PID:11240

C:\Windows\SysWOW64\Pcppfaka.exe
C:\Windows\system32\Pcppfaka.exe
1⤵
PID:10160
- C:\Windows\SysWOW64\Pfolbmje.exe
  C:\Windows\system32\Pfolbmje.exe
  2⤵
  PID:10336
- - C:\Windows\SysWOW64\Pnfdcjkg.exe
    C:\Windows\system32\Pnfdcjkg.exe
    3⤵
    PID:10388

C:\Windows\SysWOW64\Pqdqof32.exe
C:\Windows\system32\Pqdqof32.exe
1⤵
PID:10544
- C:\Windows\SysWOW64\Pcbmka32.exe
  C:\Windows\system32\Pcbmka32.exe
  2⤵
  PID:10632

C:\Windows\SysWOW64\Pgnilpah.exe
C:\Windows\system32\Pgnilpah.exe
1⤵
PID:10692
- C:\Windows\SysWOW64\Pfaigm32.exe
  C:\Windows\system32\Pfaigm32.exe
  2⤵
  PID:10780

C:\Windows\SysWOW64\Qnhahj32.exe
C:\Windows\system32\Qnhahj32.exe
1⤵
PID:10824
- C:\Windows\SysWOW64\Qmkadgpo.exe
  C:\Windows\system32\Qmkadgpo.exe
  2⤵
  PID:10904

C:\Windows\SysWOW64\Qfcfml32.exe
C:\Windows\system32\Qfcfml32.exe
1⤵
PID:11128
- C:\Windows\SysWOW64\Qjoankoi.exe
  C:\Windows\system32\Qjoankoi.exe
  2⤵
  PID:11188

C:\Windows\SysWOW64\Qnjnnj32.exe
C:\Windows\system32\Qnjnnj32.exe
1⤵
PID:10272
- C:\Windows\SysWOW64\Qqijje32.exe
  C:\Windows\system32\Qqijje32.exe
  2⤵
  PID:2692

C:\Windows\SysWOW64\Qddfkd32.exe
C:\Windows\system32\Qddfkd32.exe
1⤵
PID:3484
- C:\Windows\SysWOW64\Qgcbgo32.exe
  C:\Windows\system32\Qgcbgo32.exe
  2⤵
  PID:3036

C:\Windows\SysWOW64\Aqkgpedc.exe
C:\Windows\system32\Aqkgpedc.exe
1⤵
PID:10756
- C:\Windows\SysWOW64\Adgbpc32.exe
  C:\Windows\system32\Adgbpc32.exe
  2⤵
  PID:10840

C:\Windows\SysWOW64\Acjclpcf.exe
C:\Windows\system32\Acjclpcf.exe
1⤵
PID:10932
- C:\Windows\SysWOW64\Afhohlbj.exe
  C:\Windows\system32\Afhohlbj.exe
  2⤵
  PID:11072

C:\Windows\SysWOW64\Ajckij32.exe
C:\Windows\system32\Ajckij32.exe
1⤵
PID:11196
- C:\Windows\SysWOW64\Anogiicl.exe
  C:\Windows\system32\Anogiicl.exe
  2⤵
  PID:10260

C:\Windows\SysWOW64\Aqncedbp.exe
C:\Windows\system32\Aqncedbp.exe
1⤵
PID:2684
- C:\Windows\SysWOW64\Aclpap32.exe
  C:\Windows\system32\Aclpap32.exe
  2⤵
  PID:4948

C:\Windows\SysWOW64\Ajfhnjhq.exe
C:\Windows\system32\Ajfhnjhq.exe
1⤵
PID:10700
- C:\Windows\SysWOW64\Amddjegd.exe
  C:\Windows\system32\Amddjegd.exe
  2⤵
  PID:10964
- - C:\Windows\SysWOW64\Afmhck32.exe
    C:\Windows\system32\Afmhck32.exe
    3⤵
    PID:11184

C:\Windows\SysWOW64\Agglboim.exe
C:\Windows\system32\Agglboim.exe
1⤵
PID:10508

C:\Windows\SysWOW64\Aeniabfd.exe
C:\Windows\system32\Aeniabfd.exe
1⤵
PID:10408
- C:\Windows\SysWOW64\Aglemn32.exe
  C:\Windows\system32\Aglemn32.exe
  2⤵
  PID:10820
- - C:\Windows\SysWOW64\Ajkaii32.exe
    C:\Windows\system32\Ajkaii32.exe
    3⤵
    PID:11044

C:\Windows\SysWOW64\Aadifclh.exe
C:\Windows\system32\Aadifclh.exe
1⤵
PID:408
- C:\Windows\SysWOW64\Accfbokl.exe
  C:\Windows\system32\Accfbokl.exe
  2⤵
  PID:10608

C:\Windows\SysWOW64\Agoabn32.exe
C:\Windows\system32\Agoabn32.exe
1⤵
PID:11096
- C:\Windows\SysWOW64\Bjmnoi32.exe
  C:\Windows\system32\Bjmnoi32.exe
  2⤵
  PID:10764
- - C:\Windows\SysWOW64\Bmkjkd32.exe
    C:\Windows\system32\Bmkjkd32.exe
    3⤵
    PID:10468

C:\Windows\SysWOW64\Bcebhoii.exe
C:\Windows\system32\Bcebhoii.exe
1⤵
PID:11300
- C:\Windows\SysWOW64\Bfdodjhm.exe
  C:\Windows\system32\Bfdodjhm.exe
  2⤵
  PID:11352
- - C:\Windows\SysWOW64\Bmngqdpj.exe
    C:\Windows\system32\Bmngqdpj.exe
    3⤵
    PID:11400

C:\Windows\SysWOW64\Baicac32.exe
C:\Windows\system32\Baicac32.exe
1⤵
PID:11448
- C:\Windows\SysWOW64\Bchomn32.exe
  C:\Windows\system32\Bchomn32.exe
  2⤵
  PID:11484

C:\Windows\SysWOW64\Bffkij32.exe
C:\Windows\system32\Bffkij32.exe
1⤵
PID:11536
- C:\Windows\SysWOW64\Bnmcjg32.exe
  C:\Windows\system32\Bnmcjg32.exe
  2⤵
  PID:11576

C:\Windows\SysWOW64\Bmpcfdmg.exe
C:\Windows\system32\Bmpcfdmg.exe
1⤵
PID:11612
- C:\Windows\SysWOW64\Beglgani.exe
  C:\Windows\system32\Beglgani.exe
  2⤵
  PID:11656

C:\Windows\SysWOW64\Bcjlcn32.exe
C:\Windows\system32\Bcjlcn32.exe
1⤵
PID:11696
- C:\Windows\SysWOW64\Bfhhoi32.exe
  C:\Windows\system32\Bfhhoi32.exe
  2⤵
  PID:11740

C:\Windows\SysWOW64\Bjddphlq.exe
C:\Windows\system32\Bjddphlq.exe
1⤵
PID:11796
- C:\Windows\SysWOW64\Bmbplc32.exe
  C:\Windows\system32\Bmbplc32.exe
  2⤵
  PID:11836

C:\Windows\SysWOW64\Bclhhnca.exe
C:\Windows\system32\Bclhhnca.exe
1⤵
PID:11920
- C:\Windows\SysWOW64\Bhhdil32.exe
  C:\Windows\system32\Bhhdil32.exe
  2⤵
  PID:11968

C:\Windows\SysWOW64\Bjfaeh32.exe
C:\Windows\system32\Bjfaeh32.exe
1⤵
PID:12016
- C:\Windows\SysWOW64\Bmemac32.exe
  C:\Windows\system32\Bmemac32.exe
  2⤵
  PID:12060

C:\Windows\SysWOW64\Bapiabak.exe
C:\Windows\system32\Bapiabak.exe
1⤵
PID:12100
- C:\Windows\SysWOW64\Bcoenmao.exe
  C:\Windows\system32\Bcoenmao.exe
  2⤵
  PID:12152
- - C:\Windows\SysWOW64\Chjaol32.exe
    C:\Windows\system32\Chjaol32.exe
    3⤵
    PID:12196

C:\Windows\SysWOW64\Cndikf32.exe
C:\Windows\system32\Cndikf32.exe
1⤵
PID:6112
- C:\Windows\SysWOW64\Cabfga32.exe
  C:\Windows\system32\Cabfga32.exe
  2⤵
  PID:11296

C:\Windows\SysWOW64\Cdabcm32.exe
C:\Windows\system32\Cdabcm32.exe
1⤵
PID:11408
- C:\Windows\SysWOW64\Cjkjpgfi.exe
  C:\Windows\system32\Cjkjpgfi.exe
  2⤵
  PID:11480

C:\Windows\SysWOW64\Caebma32.exe
C:\Windows\system32\Caebma32.exe
1⤵
PID:11640
- C:\Windows\SysWOW64\Chokikeb.exe
  C:\Windows\system32\Chokikeb.exe
  2⤵
  PID:11704

C:\Windows\SysWOW64\Cfbkeh32.exe
C:\Windows\system32\Cfbkeh32.exe
1⤵
PID:11788
- C:\Windows\SysWOW64\Cnicfe32.exe
  C:\Windows\system32\Cnicfe32.exe
  2⤵
  PID:11868

C:\Windows\SysWOW64\Cagobalc.exe
C:\Windows\system32\Cagobalc.exe
1⤵
PID:11936
- C:\Windows\SysWOW64\Ceckcp32.exe
  C:\Windows\system32\Ceckcp32.exe
  2⤵
  PID:12028

C:\Windows\SysWOW64\Cdfkolkf.exe
C:\Windows\system32\Cdfkolkf.exe
1⤵
PID:12096
- C:\Windows\SysWOW64\Cfdhkhjj.exe
  C:\Windows\system32\Cfdhkhjj.exe
  2⤵
  PID:12172

C:\Windows\SysWOW64\Cjpckf32.exe
C:\Windows\system32\Cjpckf32.exe
1⤵
PID:12236
- C:\Windows\SysWOW64\Cnkplejl.exe
  C:\Windows\system32\Cnkplejl.exe
  2⤵
  PID:11288

C:\Windows\SysWOW64\Cmnpgb32.exe
C:\Windows\system32\Cmnpgb32.exe
1⤵
PID:11392
- C:\Windows\SysWOW64\Ceehho32.exe
  C:\Windows\system32\Ceehho32.exe
  2⤵
  PID:11532

C:\Windows\SysWOW64\Cdhhdlid.exe
C:\Windows\system32\Cdhhdlid.exe
1⤵
PID:11664
- C:\Windows\SysWOW64\Cffdpghg.exe
  C:\Windows\system32\Cffdpghg.exe
  2⤵
  PID:11756

C:\Windows\SysWOW64\Cnnlaehj.exe
C:\Windows\system32\Cnnlaehj.exe
1⤵
PID:11904
- C:\Windows\SysWOW64\Calhnpgn.exe
  C:\Windows\system32\Calhnpgn.exe
  2⤵
  PID:11964

C:\Windows\SysWOW64\Cegdnopg.exe
C:\Windows\system32\Cegdnopg.exe
1⤵
PID:12120
- C:\Windows\SysWOW64\Dhfajjoj.exe
  C:\Windows\system32\Dhfajjoj.exe
  2⤵
  PID:12232

C:\Windows\SysWOW64\Dfiafg32.exe
C:\Windows\system32\Dfiafg32.exe
1⤵
PID:11376
- C:\Windows\SysWOW64\Djdmffnn.exe
  C:\Windows\system32\Djdmffnn.exe
  2⤵
  PID:11648

C:\Windows\SysWOW64\Dmcibama.exe
C:\Windows\system32\Dmcibama.exe
1⤵
PID:11860
- C:\Windows\SysWOW64\Danecp32.exe
  C:\Windows\system32\Danecp32.exe
  2⤵
  PID:12024

C:\Windows\SysWOW64\Dejacond.exe
C:\Windows\system32\Dejacond.exe
1⤵
PID:12160
- C:\Windows\SysWOW64\Dhhnpjmh.exe
  C:\Windows\system32\Dhhnpjmh.exe
  2⤵
  PID:11444

C:\Windows\SysWOW64\Dfknkg32.exe
C:\Windows\system32\Dfknkg32.exe
1⤵
PID:11760
- C:\Windows\SysWOW64\Dobfld32.exe
  C:\Windows\system32\Dobfld32.exe
  2⤵
  PID:11992

C:\Windows\SysWOW64\Dmefhako.exe
C:\Windows\system32\Dmefhako.exe
1⤵
PID:11624
- C:\Windows\SysWOW64\Delnin32.exe
  C:\Windows\system32\Delnin32.exe
  2⤵
  PID:11908

C:\Windows\SysWOW64\Dfnjafap.exe
C:\Windows\system32\Dfnjafap.exe
1⤵
PID:9948
- C:\Windows\SysWOW64\Dkifae32.exe
  C:\Windows\system32\Dkifae32.exe
  2⤵
  PID:12332

C:\Windows\SysWOW64\Dodbbdbb.exe
C:\Windows\system32\Dodbbdbb.exe
1⤵
PID:12368
- C:\Windows\SysWOW64\Dmgbnq32.exe
  C:\Windows\system32\Dmgbnq32.exe
  2⤵
  PID:12420

C:\Windows\SysWOW64\Deokon32.exe
C:\Windows\system32\Deokon32.exe
1⤵
PID:12464
- C:\Windows\SysWOW64\Ddakjkqi.exe
  C:\Windows\system32\Ddakjkqi.exe
  2⤵
  PID:12500

C:\Windows\SysWOW64\Dfpgffpm.exe
C:\Windows\system32\Dfpgffpm.exe
1⤵
PID:12548
- C:\Windows\SysWOW64\Dkkcge32.exe
  C:\Windows\system32\Dkkcge32.exe
  2⤵
  PID:12592

C:\Windows\SysWOW64\Dogogcpo.exe
C:\Windows\system32\Dogogcpo.exe
1⤵
PID:12636
- C:\Windows\SysWOW64\Daekdooc.exe
  C:\Windows\system32\Daekdooc.exe
  2⤵
  PID:12676

C:\Windows\SysWOW64\Dhocqigp.exe
C:\Windows\system32\Dhocqigp.exe
1⤵
PID:12760
- C:\Windows\SysWOW64\Dgbdlf32.exe
  C:\Windows\system32\Dgbdlf32.exe
  2⤵
  PID:12804

C:\Windows\SysWOW64\Dknpmdfc.exe
C:\Windows\system32\Dknpmdfc.exe
1⤵
PID:12844
- C:\Windows\SysWOW64\Dmllipeg.exe
  C:\Windows\system32\Dmllipeg.exe
  2⤵
  PID:12896
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 12896 -s 404
    3⤵
    - Program crash
    PID:13072

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 452 -p 12896 -ip 12896
1⤵
PID:12984

C:\Windows\SysWOW64\Deagdn32.exe
C:\Windows\system32\Deagdn32.exe
1⤵
PID:12712

C:\Windows\SysWOW64\Ddonekbl.exe
C:\Windows\system32\Ddonekbl.exe
1⤵
PID:4148

C:\Windows\SysWOW64\Cmiflbel.exe
C:\Windows\system32\Cmiflbel.exe
1⤵
PID:11564

C:\Windows\SysWOW64\Cenahpha.exe
C:\Windows\system32\Cenahpha.exe
1⤵
PID:11348

C:\Windows\SysWOW64\Cjinkg32.exe
C:\Windows\system32\Cjinkg32.exe
1⤵
PID:12244

C:\Windows\SysWOW64\Banllbdn.exe
C:\Windows\system32\Banllbdn.exe
1⤵
PID:11880

C:\Windows\SysWOW64\Bebblb32.exe
C:\Windows\system32\Bebblb32.exe
1⤵
PID:11056

C:\Windows\SysWOW64\Aabmqd32.exe
C:\Windows\system32\Aabmqd32.exe
1⤵
PID:228

C:\Windows\SysWOW64\Anmjcieo.exe
C:\Windows\system32\Anmjcieo.exe
1⤵
PID:10612

C:\Windows\SysWOW64\Ajanck32.exe
C:\Windows\system32\Ajanck32.exe
1⤵
PID:9316

C:\Windows\SysWOW64\Qffbbldm.exe
C:\Windows\system32\Qffbbldm.exe
1⤵
PID:10384

C:\Windows\SysWOW64\Qgqeappe.exe
C:\Windows\system32\Qgqeappe.exe
1⤵
PID:11064

C:\Windows\SysWOW64\Qdbiedpa.exe
C:\Windows\system32\Qdbiedpa.exe
1⤵
PID:10980

C:\Windows\SysWOW64\Pmidog32.exe
C:\Windows\system32\Pmidog32.exe
1⤵
PID:10480

C:\Windows\SysWOW64\Pqmjog32.exe
C:\Windows\system32\Pqmjog32.exe
1⤵
PID:10832

C:\Windows\SysWOW64\Onjegled.exe
C:\Windows\system32\Onjegled.exe
1⤵
PID:10328

C:\Windows\SysWOW64\Odocigqg.exe
C:\Windows\system32\Odocigqg.exe
1⤵
PID:9420

C:\Windows\SysWOW64\Njciko32.exe
C:\Windows\system32\Njciko32.exe
1⤵
PID:10176

C:\Windows\SysWOW64\Ndfqbhia.exe
C:\Windows\system32\Ndfqbhia.exe
1⤵
PID:9964

C:\Windows\SysWOW64\Nphhmj32.exe
C:\Windows\system32\Nphhmj32.exe
1⤵
PID:4472

C:\Windows\SysWOW64\Ndokbi32.exe
C:\Windows\system32\Ndokbi32.exe
1⤵
PID:9924

C:\Windows\SysWOW64\Mgkjhe32.exe
C:\Windows\system32\Mgkjhe32.exe
1⤵
PID:9704

C:\Windows\SysWOW64\Likjcbkc.exe
C:\Windows\system32\Likjcbkc.exe
1⤵
PID:8704

C:\Windows\SysWOW64\Kdgljmcd.exe
C:\Windows\system32\Kdgljmcd.exe
1⤵
PID:8344

C:\Windows\SysWOW64\Kfoafi32.exe
C:\Windows\system32\Kfoafi32.exe
1⤵
PID:8708

C:\Windows\SysWOW64\Kbaipkbi.exe
C:\Windows\system32\Kbaipkbi.exe
1⤵
PID:8420

C:\Windows\SysWOW64\Jcllonma.exe
C:\Windows\system32\Jcllonma.exe
1⤵
PID:7640

C:\Windows\SysWOW64\Jmpgldhg.exe
C:\Windows\system32\Jmpgldhg.exe
1⤵
PID:7504

C:\Windows\SysWOW64\Jlpkba32.exe
C:\Windows\system32\Jlpkba32.exe
1⤵
PID:7796

C:\Windows\SysWOW64\Jcefno32.exe
C:\Windows\system32\Jcefno32.exe
1⤵
PID:7296

C:\Windows\SysWOW64\Jfoiokfb.exe
C:\Windows\system32\Jfoiokfb.exe
1⤵
PID:7512

C:\Windows\SysWOW64\Ippggbck.exe
C:\Windows\system32\Ippggbck.exe
1⤵
PID:7976

C:\Windows\SysWOW64\Ibjjhn32.exe
C:\Windows\system32\Ibjjhn32.exe
1⤵
PID:7604

C:\Windows\SysWOW64\Hobkfd32.exe
C:\Windows\system32\Hobkfd32.exe
1⤵
PID:6792

C:\Windows\SysWOW64\Gfembo32.exe
C:\Windows\system32\Gfembo32.exe
1⤵
PID:6920

C:\Windows\SysWOW64\Gdqgmmjb.exe
C:\Windows\system32\Gdqgmmjb.exe
1⤵
PID:6948

C:\Windows\SysWOW64\Fkalchij.exe
C:\Windows\system32\Fkalchij.exe
1⤵
PID:5224

C:\Windows\SysWOW64\Flnlhk32.exe
C:\Windows\system32\Flnlhk32.exe
1⤵
PID:5512

C:\Windows\SysWOW64\Dahode32.exe
C:\Windows\system32\Dahode32.exe
1⤵
PID:5732

C:\Windows\SysWOW64\Demecd32.exe
C:\Windows\system32\Demecd32.exe
1⤵
PID:5188

C:\Windows\SysWOW64\Dboigi32.exe
C:\Windows\system32\Dboigi32.exe
1⤵
PID:5144

C:\Windows\SysWOW64\Dhidjpqc.exe
C:\Windows\system32\Dhidjpqc.exe
1⤵
PID:3060

C:\Windows\SysWOW64\Doqpak32.exe
C:\Windows\system32\Doqpak32.exe
1⤵
PID:2192

C:\Windows\SysWOW64\Clbceo32.exe
C:\Windows\system32\Clbceo32.exe
1⤵
PID:4932

C:\Windows\SysWOW64\Camphf32.exe
C:\Windows\system32\Camphf32.exe
1⤵
PID:3576

C:\Windows\SysWOW64\Ckcgkldl.exe
C:\Windows\system32\Ckcgkldl.exe
1⤵
PID:1516

C:\Windows\SysWOW64\Cbgbgj32.exe
C:\Windows\system32\Cbgbgj32.exe
1⤵
PID:2552

C:\Windows\SysWOW64\Cecbmf32.exe
C:\Windows\system32\Cecbmf32.exe
1⤵
PID:3432

C:\Windows\SysWOW64\Chpada32.exe
C:\Windows\system32\Chpada32.exe
1⤵
PID:4228

C:\Windows\SysWOW64\Ceaehfjj.exe
C:\Windows\system32\Ceaehfjj.exe
1⤵
PID:3112

C:\Windows\SysWOW64\Cbcilkjg.exe
C:\Windows\system32\Cbcilkjg.exe
1⤵
PID:4052

C:\Windows\SysWOW64\Chmeobkq.exe
C:\Windows\system32\Chmeobkq.exe
1⤵
PID:4344

C:\Windows\SysWOW64\Blfdia32.exe
C:\Windows\system32\Blfdia32.exe
1⤵
PID:4788

C:\Windows\SysWOW64\Bdolhc32.exe
C:\Windows\system32\Bdolhc32.exe
1⤵
PID:3536

C:\Windows\SysWOW64\Baaplhef.exe
C:\Windows\system32\Baaplhef.exe
1⤵
PID:868

C:\Windows\SysWOW64\Bobcpmfc.exe
C:\Windows\system32\Bobcpmfc.exe
1⤵
PID:3580

C:\Windows\SysWOW64\Bldgdago.exe
C:\Windows\system32\Bldgdago.exe
1⤵
PID:4708

C:\Windows\SysWOW64\Baocghgi.exe
C:\Windows\system32\Baocghgi.exe
1⤵
PID:1992

C:\Windows\SysWOW64\Bopgjmhe.exe
C:\Windows\system32\Bopgjmhe.exe
1⤵
PID:2748

C:\Windows\SysWOW64\Blbknaib.exe
C:\Windows\system32\Blbknaib.exe
1⤵
PID:4944

C:\Windows\SysWOW64\Bdkcmdhp.exe
C:\Windows\system32\Bdkcmdhp.exe
1⤵
PID:3204

C:\Windows\SysWOW64\Behbag32.exe
C:\Windows\system32\Behbag32.exe
1⤵
PID:2932

C:\Windows\SysWOW64\Bnnjen32.exe
C:\Windows\system32\Bnnjen32.exe
1⤵
PID:384

C:\Windows\SysWOW64\Bajjli32.exe
C:\Windows\system32\Bajjli32.exe
1⤵
PID:1108

C:\Windows\SysWOW64\Bnlnon32.exe
C:\Windows\system32\Bnlnon32.exe
1⤵
PID:4160

C:\Windows\SysWOW64\Blmacb32.exe
C:\Windows\system32\Blmacb32.exe
1⤵
PID:640

C:\Windows\SysWOW64\Bhaebcen.exe
C:\Windows\system32\Bhaebcen.exe
1⤵
PID:2364

C:\Windows\SysWOW64\Becifhfj.exe
C:\Windows\system32\Becifhfj.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
PID:1632

C:\Windows\SysWOW64\Abemjmgg.exe
C:\Windows\system32\Abemjmgg.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:2256

C:\Windows\SysWOW64\Adcmmeog.exe
C:\Windows\system32\Adcmmeog.exe
1⤵
- Adds autorun key to be loaded by Explorer.exe on startup
- Executes dropped EXE
- Drops file in System32 directory
- Modifies registry class
- Suspicious use of WriteProcessMemory
PID:2780

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Windows\SysWOW64\Aaepqjpd.exe

Filesize
352KB

MD5
9968d7076af501b0bdfc5056a1465d13

SHA1
03f710001c99bbe419cf678833eaba071106e0ee

SHA256
40858ad2e552e29a43dc7f08ddf36e24979269878bc2774753dd8b1e658efeab

SHA512
228d5012b9caac4498d9d5e36f26ea166d963f647eec91796c23dd43ddc1d571556f24bc13dd7f1163ede221d9bbfe5fcbda55039dc6385321822b05fed6b507

Download Submit
C:\Windows\SysWOW64\Alkdnboj.exe

Filesize
352KB

MD5
48ae4b8a3e7d11773e0ff58e70b9c930

SHA1
20a520e93f8ad215931e20e077cde40c028b55bc

SHA256
92fe0d0c40c8a30f6d9c73dc331c349f1900c657075fd8f2422d776405557589

SHA512
8304c43572243eca1bd0596c20c606255850f4a8a082fb9aebc563b2c57b30b3b768437c5393f1498cffa0b6eb3bf0e4bbb4e50369eff9dc7d0574722050abbc

Download Submit
C:\Windows\SysWOW64\Alkdnboj.exe

Filesize
94KB

MD5
5ad116a7323b0a54ea78b21080b7d783

SHA1
cc1f151bfa0feef7e396941a7f762fb77804b9fd

SHA256
d6f7e8b64819d505d608dab64cbb89272bc1acd35cba15523f0ef2fc42a0bbdf

SHA512
1a5a606a75add59cbf51d83815fded9bc0c078b76cbe440bf084460b834b1eea762e6355f6f86783baabc24cd7923e45f364e176325864e7c796ad263da893e3

Download Submit
C:\Windows\SysWOW64\Baocghgi.exe

Filesize
352KB

MD5
3af65575b74b883d25cf091c3ed93ca8

SHA1
a5bb4185ef90a554739e771c122b5599b146b150

SHA256
56541ce09b68fb7d7570361e45ea882f52ddcde3018f744af9a0e4102474e0e7

SHA512
323ce509d4ed6958550e182598ee4bd5d0ffa9ecd795fcaea5ce66353a2ebfac284565accb177586b8ee29b57444ac3b75a8948adcd415fe07f382a588499ce7

Download Submit
C:\Windows\SysWOW64\Bldgdago.exe

Filesize
352KB

MD5
ec324ccbef20c333d4474a6927fdc6e6

SHA1
86615b6b49e2e3078e823421f8d54f5276b23ec0

SHA256
570a83b434ba84aab9f50e0a5c5afc777bb13e4645e6cbd986a22c6c40323c97

SHA512
e15bc224846b6cc69046e1752b0301d49fabd22729b48a14d02df34a72b4d1ae0baeaeae3e9919b1082dce8715556fc912b74796cc383e35164a9688406db6f1

Download Submit
C:\Windows\SysWOW64\Bobcpmfc.exe

Filesize
352KB

MD5
fd1fffbaa9d4c4780e39dd29f9e9252f

SHA1
7d7f7e0ed047e9a9b69036771769b13938e26bb0

SHA256
d476b81e0d5f91c048a71239e6a513ea3ace49c7e985bb98505fc6ca1c6b9b34

SHA512
8a80c50187e29982a2e9605643be71014981680dc55c59f427b39275523f050bbf18a73922a48477d9e8c2fe9cb999c09ae024f82775ae3d7da0e007118a1c40

Download Submit
C:\Windows\SysWOW64\Bobcpmfc.exe

Filesize
92KB

MD5
3ace6324542e7651166a541780d29578

SHA1
2f5930129165a839f2677e187c04de3d157b2c19

SHA256
0735265d6a7d84e36ea9c279d35114035e43f4a4b540fa3f59f2566b47717aea

SHA512
c97ef5c80ffa51929fc27b693a6d7d462df2bb93656d8bd8e8ea7b29c6c281f43e78e58b850f299c3c0ef0c58adfd3f1fe406fdc776eefb6e0057f9aa6b7b318

Download Submit
C:\Windows\SysWOW64\Bopgjmhe.exe

Filesize
352KB

MD5
e1354aef50d18a764eae7d2186fa2643

SHA1
e585375f7389f22ba40a0c7665f919ce82b20178

SHA256
d56f68913962d24c13426725616143222ed012080afba7708b25f87d7127a889

SHA512
194b6b863a0cb121616ff74d50d07baf2fb9c3ce7741ff468cf0146061838970e316f2ceaa16f745675996ec6c2bfa3db5ad373d44f1afb931329dc1cb2eb0de

Download Submit
memory/116-191-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/384-105-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/640-63-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/788-351-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/868-168-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1108-80-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1212-262-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1352-200-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1424-314-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1516-292-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1632-52-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/1992-143-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2188-284-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2192-326-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2208-88-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2256-44-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2288-247-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2364-60-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2552-274-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2748-136-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2780-16-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2932-111-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/2968-32-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3060-340-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3112-224-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3204-120-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3260-7-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3424-356-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3432-255-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3488-286-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3536-176-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3576-298-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3580-160-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3608-308-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/3976-96-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4052-216-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4160-71-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4228-232-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4344-208-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4360-328-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4572-334-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4708-151-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4776-0-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4788-184-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4932-316-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/4944-132-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5008-27-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5024-268-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5088-240-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5144-363-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5188-368-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5232-370-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5272-376-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5312-382-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5364-392-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5404-394-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5444-400-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5484-410-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5524-412-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5576-422-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5612-424-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5656-431-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5696-440-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/5732-442-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/9948-3177-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/11648-3187-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/11992-3181-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12120-3190-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12160-3184-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12368-3175-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12420-3174-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12548-3171-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12592-3170-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12636-3169-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12712-3167-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12760-3166-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download
memory/12844-3164-0x0000000000400000-0x000000000042F000-memory.dmp

Filesize
188KB

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads