darkcomet | 27134cc034875bbeb1403db775c3f527d2513e40d3788882334e520f34bee0a1

Analysis

max time kernel
149s
max time network
362s
platform
windows7_x64
resource
win7-20240221-en
resource tags

arch:x64arch:x86image:win7-20240221-enlocale:en-usos:windows7-x64system
submitted
22/02/2024, 18:14

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
JPS Virus Maker.sfx.exe
Size 860KB
Sample240222-wvftfsde7x
SHA256 7ff706b5977c07bf3e661f4148e7a314a140248f71b61afa3b6979610a8b9ff6
MD5 8cdf187a20f463becb090ed25ba45cd3
SHA1 1b9714e153d4ae03469d3fd1bcbffd795d9feced
SHA512 d592640991b83608917500326ae814e6139917a28d286df0941c9458226101bc660e8d9ddcc1c419e751a112093e88e27ff28856de883bcf458945412f110f5f
SSDEEP 24576:nJlh9bDuaI6OlHozdB9exUAgJkqMeIBz4NTWkZBRispq:nJq6OWzdOxZzqZ2z4lZBAss
MD5 SHA1 SHA512 SSDEEP

Score

10^/10

darkcomet victim evasion persistence rat trojan

Malware Config

Extracted

Family

darkcomet

Botnet

Victim

darkphuyal.no-ip.biz:1604

Mutex

DC_MUTEX-1QDENDM

Attributes

InstallPath
MSDCSC\msdcsc.exe
gencode
Rhq0UVuceXoj
install
true
offline_keylogger
true
persistence
false
reg_key
MicroUpdate

Signatures

Darkcomet
DarkComet is a remote access trojan (RAT) developed by Jean-Pierre Lesueur.
trojan rat darkcomet

Modifies WinLogon for persistence 2 TTPs 21 IoCs

persistence

Winlogon Helper DLL

T1547.004

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	conhost.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe"	attrib.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	conhost.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	cmd.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\MSDCSC\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe,C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe

Sets file to hidden 1 TTPs 64 IoCs

Modifies file attributes to stop it showing in Explorer etc.

evasion

Hidden Files and Directories

T1564.001

pid	Process
4068	attrib.exe
528	attrib.exe
2648	attrib.exe
11372	Process not Found
13192	Process not Found
1744	attrib.exe
3664	attrib.exe
2908	attrib.exe
12788	Process not Found
3176	attrib.exe
1728	attrib.exe
4328	attrib.exe
4300	attrib.exe
4744	attrib.exe
8688	attrib.exe
6212	attrib.exe
9092	attrib.exe
15684	Process not Found
4916	attrib.exe
6124	attrib.exe
9104	attrib.exe
11836	Process not Found
11956	Process not Found
16968	Process not Found
4304	attrib.exe
5588	attrib.exe
5588	attrib.exe
5040	attrib.exe
7500	attrib.exe
7624	attrib.exe
2264	attrib.exe
3316	attrib.exe
3352	attrib.exe
4832	attrib.exe
3828	attrib.exe
3008	attrib.exe
4744	attrib.exe
4976	attrib.exe
5700	attrib.exe
4852	attrib.exe
4192	attrib.exe
7096	attrib.exe
8036	attrib.exe
8272	attrib.exe
8320	attrib.exe
4224	attrib.exe
528	attrib.exe
5948	attrib.exe
14824	Process not Found
9484	attrib.exe
3664	attrib.exe
4168	attrib.exe
4976	attrib.exe
5180	attrib.exe
11500	Process not Found
2108	attrib.exe
2264	attrib.exe
4136	attrib.exe
8156	attrib.exe
10124	attrib.exe
3572	attrib.exe
2688	attrib.exe
2596	attrib.exe
6760	attrib.exe

Drops startup file 2 IoCs

description	ioc	Process
File created	C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe	svchost.exe
File opened for modification	C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe	svchost.exe

Executes dropped EXE 26 IoCs

pid	Process
1976	svchost.exe
2920	svchost.exe
2804	JPS Virus Maker.exe
2420	Jps.exe
2564	attrib.exe
1324	msdcsc.exe
1036	conhost.exe
2032	cmd.exe
1748	conhost.exe
792	msdcsc.exe
1876	msdcsc.exe
1984	msdcsc.exe
2852	msdcsc.exe
2680	msdcsc.exe
2060	msdcsc.exe
1684	msdcsc.exe
2248	msdcsc.exe
2692	msdcsc.exe
2880	msdcsc.exe
2728	msdcsc.exe
2588	msdcsc.exe
2464	msdcsc.exe
960	msdcsc.exe
2060	msdcsc.exe
2752	msdcsc.exe
1056	msdcsc.exe

Loads dropped DLL 50 IoCs

pid	Process
3000	JPS Virus Maker.sfx.exe
3000	JPS Virus Maker.sfx.exe
3000	JPS Virus Maker.sfx.exe
3000	JPS Virus Maker.sfx.exe
2804	JPS Virus Maker.exe
2804	JPS Virus Maker.exe
2804	JPS Virus Maker.exe
2804	JPS Virus Maker.exe
2564	attrib.exe
2564	attrib.exe
1324	msdcsc.exe
1324	msdcsc.exe
1036	conhost.exe
1036	conhost.exe
2032	cmd.exe
2032	cmd.exe
1748	conhost.exe
1748	conhost.exe
792	msdcsc.exe
792	msdcsc.exe
1876	msdcsc.exe
1876	msdcsc.exe
1984	msdcsc.exe
1984	msdcsc.exe
2852	msdcsc.exe
2852	msdcsc.exe
2680	msdcsc.exe
2680	msdcsc.exe
2060	msdcsc.exe
2060	msdcsc.exe
1684	msdcsc.exe
1684	msdcsc.exe
2248	msdcsc.exe
2248	msdcsc.exe
2692	msdcsc.exe
2692	msdcsc.exe
2880	msdcsc.exe
2880	msdcsc.exe
2728	msdcsc.exe
2728	msdcsc.exe
2588	msdcsc.exe
2588	msdcsc.exe
2464	msdcsc.exe
2464	msdcsc.exe
960	msdcsc.exe
960	msdcsc.exe
2060	msdcsc.exe
2060	msdcsc.exe
2752	msdcsc.exe
2752	msdcsc.exe

Adds Run key to start application 2 TTPs 20 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\msdcsc.exe"	attrib.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	cmd.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	conhost.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	conhost.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Windows\CurrentVersion\Run\MicroUpdate = "C:\\Windows\\system32\\MSDCSC\\Rhq0UVuceXoj\\Rhq0UVuceXoj\\msdcsc.exe"	msdcsc.exe

Drops file in System32 directory 64 IoCs

description	ioc	Process
File created	C:\Windows\SysWOW64\MSDCSC\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	attrib.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj	attrib.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj	conhost.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	conhost.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	cmd.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	cmd.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	conhost.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	conhost.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj	attrib.exe
File created	C:\Windows\SysWOW64\MSDCSC\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	conhost.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	attrib.exe
File opened for modification	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe
File created	C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe	msdcsc.exe

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Modifies Internet Explorer settings 1 TTPs 1 IoCs

adware spyware

Modify Registry

T1112

description	ioc	Process
Key created	\REGISTRY\USER\S-1-5-21-330940541-141609230-1670313778-1000\Software\Microsoft\Internet Explorer\Main	JPS Virus Maker.sfx.exe

Runs net.exe

Suspicious behavior: GetForegroundWindowSpam 1 IoCs

pid	Process
2420	Jps.exe

Suspicious use of AdjustPrivilegeToken 64 IoCs

description	pid	Process
Token: SeIncreaseQuotaPrivilege	2564	attrib.exe
Token: SeSecurityPrivilege	2564	attrib.exe
Token: SeTakeOwnershipPrivilege	2564	attrib.exe
Token: SeLoadDriverPrivilege	2564	attrib.exe
Token: SeSystemProfilePrivilege	2564	attrib.exe
Token: SeSystemtimePrivilege	2564	attrib.exe
Token: SeProfSingleProcessPrivilege	2564	attrib.exe
Token: SeIncBasePriorityPrivilege	2564	attrib.exe
Token: SeCreatePagefilePrivilege	2564	attrib.exe
Token: SeBackupPrivilege	2564	attrib.exe
Token: SeRestorePrivilege	2564	attrib.exe
Token: SeShutdownPrivilege	2564	attrib.exe
Token: SeDebugPrivilege	2564	attrib.exe
Token: SeSystemEnvironmentPrivilege	2564	attrib.exe
Token: SeChangeNotifyPrivilege	2564	attrib.exe
Token: SeRemoteShutdownPrivilege	2564	attrib.exe
Token: SeUndockPrivilege	2564	attrib.exe
Token: SeManageVolumePrivilege	2564	attrib.exe
Token: SeImpersonatePrivilege	2564	attrib.exe
Token: SeCreateGlobalPrivilege	2564	attrib.exe
Token: 33	2564	attrib.exe
Token: 34	2564	attrib.exe
Token: 35	2564	attrib.exe
Token: SeIncreaseQuotaPrivilege	1324	msdcsc.exe
Token: SeSecurityPrivilege	1324	msdcsc.exe
Token: SeTakeOwnershipPrivilege	1324	msdcsc.exe
Token: SeLoadDriverPrivilege	1324	msdcsc.exe
Token: SeSystemProfilePrivilege	1324	msdcsc.exe
Token: SeSystemtimePrivilege	1324	msdcsc.exe
Token: SeProfSingleProcessPrivilege	1324	msdcsc.exe
Token: SeIncBasePriorityPrivilege	1324	msdcsc.exe
Token: SeCreatePagefilePrivilege	1324	msdcsc.exe
Token: SeBackupPrivilege	1324	msdcsc.exe
Token: SeRestorePrivilege	1324	msdcsc.exe
Token: SeShutdownPrivilege	1324	msdcsc.exe
Token: SeDebugPrivilege	1324	msdcsc.exe
Token: SeSystemEnvironmentPrivilege	1324	msdcsc.exe
Token: SeChangeNotifyPrivilege	1324	msdcsc.exe
Token: SeRemoteShutdownPrivilege	1324	msdcsc.exe
Token: SeUndockPrivilege	1324	msdcsc.exe
Token: SeManageVolumePrivilege	1324	msdcsc.exe
Token: SeImpersonatePrivilege	1324	msdcsc.exe
Token: SeCreateGlobalPrivilege	1324	msdcsc.exe
Token: 33	1324	msdcsc.exe
Token: 34	1324	msdcsc.exe
Token: 35	1324	msdcsc.exe
Token: SeIncreaseQuotaPrivilege	1036	conhost.exe
Token: SeSecurityPrivilege	1036	conhost.exe
Token: SeTakeOwnershipPrivilege	1036	conhost.exe
Token: SeLoadDriverPrivilege	1036	conhost.exe
Token: SeSystemProfilePrivilege	1036	conhost.exe
Token: SeSystemtimePrivilege	1036	conhost.exe
Token: SeProfSingleProcessPrivilege	1036	conhost.exe
Token: SeIncBasePriorityPrivilege	1036	conhost.exe
Token: SeCreatePagefilePrivilege	1036	conhost.exe
Token: SeBackupPrivilege	1036	conhost.exe
Token: SeRestorePrivilege	1036	conhost.exe
Token: SeShutdownPrivilege	1036	conhost.exe
Token: SeDebugPrivilege	1036	conhost.exe
Token: SeSystemEnvironmentPrivilege	1036	conhost.exe
Token: SeChangeNotifyPrivilege	1036	conhost.exe
Token: SeRemoteShutdownPrivilege	1036	conhost.exe
Token: SeUndockPrivilege	1036	conhost.exe
Token: SeManageVolumePrivilege	1036	conhost.exe

Suspicious use of SetWindowsHookEx 3 IoCs

pid	Process
3000	JPS Virus Maker.sfx.exe
3000	JPS Virus Maker.sfx.exe
2804	JPS Virus Maker.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 3000 wrote to memory of 1976	3000	JPS Virus Maker.sfx.exe	30
PID 3000 wrote to memory of 1976	3000	JPS Virus Maker.sfx.exe	30
PID 3000 wrote to memory of 1976	3000	JPS Virus Maker.sfx.exe	30
PID 3000 wrote to memory of 1976	3000	JPS Virus Maker.sfx.exe	30
PID 2804 wrote to memory of 2420	2804	JPS Virus Maker.exe	38
PID 2804 wrote to memory of 2420	2804	JPS Virus Maker.exe	38
PID 2804 wrote to memory of 2420	2804	JPS Virus Maker.exe	38
PID 2804 wrote to memory of 2420	2804	JPS Virus Maker.exe	38
PID 2804 wrote to memory of 2564	2804	JPS Virus Maker.exe	373
PID 2804 wrote to memory of 2564	2804	JPS Virus Maker.exe	373
PID 2804 wrote to memory of 2564	2804	JPS Virus Maker.exe	373
PID 2804 wrote to memory of 2564	2804	JPS Virus Maker.exe	373
PID 2564 wrote to memory of 1972	2564	attrib.exe	40
PID 2564 wrote to memory of 1972	2564	attrib.exe	40
PID 2564 wrote to memory of 1972	2564	attrib.exe	40
PID 2564 wrote to memory of 1972	2564	attrib.exe	40
PID 2564 wrote to memory of 2236	2564	attrib.exe	42
PID 2564 wrote to memory of 2236	2564	attrib.exe	42
PID 2564 wrote to memory of 2236	2564	attrib.exe	42
PID 2564 wrote to memory of 2236	2564	attrib.exe	42
PID 2564 wrote to memory of 1324	2564	attrib.exe	45
PID 2564 wrote to memory of 1324	2564	attrib.exe	45
PID 2564 wrote to memory of 1324	2564	attrib.exe	45
PID 2564 wrote to memory of 1324	2564	attrib.exe	45
PID 1972 wrote to memory of 2200	1972	cmd.exe	317
PID 1972 wrote to memory of 2200	1972	cmd.exe	317
PID 1972 wrote to memory of 2200	1972	cmd.exe	317
PID 1972 wrote to memory of 2200	1972	cmd.exe	317
PID 2236 wrote to memory of 1864	2236	cmd.exe	371
PID 2236 wrote to memory of 1864	2236	cmd.exe	371
PID 2236 wrote to memory of 1864	2236	cmd.exe	371
PID 2236 wrote to memory of 1864	2236	cmd.exe	371
PID 1324 wrote to memory of 1032	1324	msdcsc.exe	47
PID 1324 wrote to memory of 1032	1324	msdcsc.exe	47
PID 1324 wrote to memory of 1032	1324	msdcsc.exe	47
PID 1324 wrote to memory of 1032	1324	msdcsc.exe	47
PID 1324 wrote to memory of 1624	1324	msdcsc.exe	48
PID 1324 wrote to memory of 1624	1324	msdcsc.exe	48
PID 1324 wrote to memory of 1624	1324	msdcsc.exe	48
PID 1324 wrote to memory of 1624	1324	msdcsc.exe	48
PID 1324 wrote to memory of 1036	1324	msdcsc.exe	347
PID 1324 wrote to memory of 1036	1324	msdcsc.exe	347
PID 1324 wrote to memory of 1036	1324	msdcsc.exe	347
PID 1324 wrote to memory of 1036	1324	msdcsc.exe	347
PID 1032 wrote to memory of 2088	1032	cmd.exe	51
PID 1032 wrote to memory of 2088	1032	cmd.exe	51
PID 1032 wrote to memory of 2088	1032	cmd.exe	51
PID 1032 wrote to memory of 2088	1032	cmd.exe	51
PID 1624 wrote to memory of 1844	1624	cmd.exe	52
PID 1624 wrote to memory of 1844	1624	cmd.exe	52
PID 1624 wrote to memory of 1844	1624	cmd.exe	52
PID 1624 wrote to memory of 1844	1624	cmd.exe	52
PID 1036 wrote to memory of 2168	1036	conhost.exe	396
PID 1036 wrote to memory of 2168	1036	conhost.exe	396
PID 1036 wrote to memory of 2168	1036	conhost.exe	396
PID 1036 wrote to memory of 2168	1036	conhost.exe	396
PID 1036 wrote to memory of 1644	1036	conhost.exe	395
PID 1036 wrote to memory of 1644	1036	conhost.exe	395
PID 1036 wrote to memory of 1644	1036	conhost.exe	395
PID 1036 wrote to memory of 1644	1036	conhost.exe	395
PID 2168 wrote to memory of 1592	2168	cmd.exe	56
PID 2168 wrote to memory of 1592	2168	cmd.exe	56
PID 2168 wrote to memory of 1592	2168	cmd.exe	56
PID 2168 wrote to memory of 1592	2168	cmd.exe	56

Views/modifies file attributes 1 TTPs 64 IoCs

evasion

Hidden Files and Directories

T1564.001

pid	Process
5700	attrib.exe
3320	attrib.exe
3624	attrib.exe
4508	attrib.exe
7788	attrib.exe
10096	Process not Found
2764	attrib.exe
6960	attrib.exe
5240	attrib.exe
9684	attrib.exe
10648	Process not Found
2200	attrib.exe
4136	attrib.exe
7256	attrib.exe
7040	attrib.exe
6200	attrib.exe
11328	Process not Found
6848	attrib.exe
8232	attrib.exe
9644	Process not Found
1620	attrib.exe
3372	attrib.exe
5532	attrib.exe
15024	Process not Found
4072	attrib.exe
6332	attrib.exe
8292	attrib.exe
2200	attrib.exe
5548	attrib.exe
12252	Process not Found
2648	attrib.exe
14544	Process not Found
4832	attrib.exe
6044	attrib.exe
4636	attrib.exe
5448	attrib.exe
9144	Process not Found
10176	Process not Found
4144	attrib.exe
3008	attrib.exe
6092	attrib.exe
2600	attrib.exe
3792	attrib.exe
2688	attrib.exe
8336	attrib.exe
2144	attrib.exe
5028	attrib.exe
5704	attrib.exe
4580	attrib.exe
4976	attrib.exe
4744	attrib.exe
6204	attrib.exe
7808	attrib.exe
3676	attrib.exe
9568	attrib.exe
1284	attrib.exe
4588	attrib.exe
14580	Process not Found
4516	attrib.exe
4908	attrib.exe
4520	attrib.exe
6212	attrib.exe
12300	Process not Found
3596	attrib.exe

C:\Users\Admin\AppData\Local\Temp\JPS Virus Maker.sfx.exe
"C:\Users\Admin\AppData\Local\Temp\JPS Virus Maker.sfx.exe"
1⤵
- Loads dropped DLL
- Modifies Internet Explorer settings
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:3000
- C:\Users\Admin\AppData\Local\Temp\svchost.exe
  "C:\Users\Admin\AppData\Local\Temp\svchost.exe"
  2⤵
  - Drops startup file
  - Executes dropped EXE
  PID:1976

C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
"C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe"
1⤵
- Executes dropped EXE
PID:2920

C:\Users\Admin\AppData\Local\Temp\JPS Virus Maker.exe
"C:\Users\Admin\AppData\Local\Temp\JPS Virus Maker.exe"
1⤵
- Executes dropped EXE
- Loads dropped DLL
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:2804
- C:\Users\Admin\AppData\Local\Temp\Jps.exe
  "C:\Users\Admin\AppData\Local\Temp\Jps.exe"
  2⤵
  - Executes dropped EXE
  - Suspicious behavior: GetForegroundWindowSpam
  PID:2420
- C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe
  "C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe"
  2⤵
  PID:2564
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe" +s +h
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:1972
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe" +s +h
      4⤵
      Views/modifies file attributes
      PID:2200
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Users\Admin\AppData\Local\Temp" +s +h
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:2236
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Users\Admin\AppData\Local\Temp" +s +h
      4⤵
      PID:1864
    - - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        5⤵
        
        PID:2092
- - C:\Windows\SysWOW64\MSDCSC\msdcsc.exe
    "C:\Windows\system32\MSDCSC\msdcsc.exe"
    3⤵
    - Modifies WinLogon for persistence
    - Executes dropped EXE
    - Loads dropped DLL
    - Adds Run key to start application
    - Drops file in System32 directory
    - Suspicious use of AdjustPrivilegeToken
    - Suspicious use of WriteProcessMemory
    PID:1324
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\msdcsc.exe" +s +h
      4⤵
      Suspicious use of WriteProcessMemory
      PID:1032
    - - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\msdcsc.exe" +s +h
        5⤵
        
        PID:2088
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC" +s +h
      4⤵
      Suspicious use of WriteProcessMemory
      PID:1624
    - - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC" +s +h
        5⤵
        
        PID:1844
  - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
      "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
      4⤵
      PID:1036
    - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        5⤵
        
        PID:2032
      - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        6⤵
        
        PID:1516
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        7⤵
        
        PID:2900
      - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        6⤵
        
        PID:1748
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        7⤵
        
        PID:760
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        8⤵
        Views/modifies file attributes
        
        PID:2600
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        7⤵
        
        PID:2408
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        7⤵
        Modifies WinLogon for persistence
        Executes dropped EXE
        Loads dropped DLL
        Adds Run key to start application
        Drops file in System32 directory
        
        PID:792

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:1592

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
- Drops file in System32 directory
PID:2908

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:1156

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
- Sets file to hidden
PID:2108

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
PID:2680
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:2188
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    - Drops file in System32 directory
    PID:764
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  - Modifies WinLogon for persistence
  - Executes dropped EXE
  - Loads dropped DLL
  - Adds Run key to start application
  - Drops file in System32 directory
  PID:2060
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:2672

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:700
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  - Sets file to hidden
  PID:2264

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:2032
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:2640
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:988

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:608
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Sets file to hidden
  - Drops file in System32 directory
  PID:1744

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3008

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2776
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  - Views/modifies file attributes
  PID:2200

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:2116
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Views/modifies file attributes
  PID:1620

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
- Drops file in System32 directory
PID:2620

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:2884
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:1740

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2472
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  - Drops file in System32 directory
  PID:2600

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:2728
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  - Modifies WinLogon for persistence
  - Executes dropped EXE
  - Loads dropped DLL
  - Adds Run key to start application
  - Drops file in System32 directory
  PID:2588
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:2452
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      PID:1620
- - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
    "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
    3⤵
    - Modifies WinLogon for persistence
    - Executes dropped EXE
    - Loads dropped DLL
    - Adds Run key to start application
    - Drops file in System32 directory
    PID:2464
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    PID:1872

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
PID:2264

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:2284

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Drops file in System32 directory
PID:2460

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2464
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  - Modifies WinLogon for persistence
  - Executes dropped EXE
  - Loads dropped DLL
  - Adds Run key to start application
  - Drops file in System32 directory
  PID:960
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:2256
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:2604

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:2200
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:2508
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:2312
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:2836
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:2284
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      Drops file in System32 directory
      PID:1620
- - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
    "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
    3⤵
    PID:2808
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
      4⤵
      PID:3108
    - - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        5⤵
        
        PID:3184
      - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        6⤵
        
        PID:2900
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        7⤵
        Views/modifies file attributes
        
        PID:3372
      - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        6⤵
        
        PID:3220
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        7⤵
        Views/modifies file attributes
        
        PID:3320
      - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        6⤵
        
        PID:3212
  - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
      "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
      4⤵
      PID:3192
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      PID:3100
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:2060
- - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
    "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
    3⤵
    - Modifies WinLogon for persistence
    - Executes dropped EXE
    - Loads dropped DLL
    - Adds Run key to start application
    - Drops file in System32 directory
    PID:2752
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    PID:2208
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:2972

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Executes dropped EXE
PID:1056
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:548
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:2836
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  - Drops file in System32 directory
  PID:2200
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:1456

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:792

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
PID:3176

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3244
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Sets file to hidden
  PID:3316

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3352

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3376
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3436

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3360
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3428

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3448
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3500
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    - Views/modifies file attributes
    PID:3624
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3660
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    - Views/modifies file attributes
    PID:3676
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
      4⤵
      PID:3824
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      PID:3892
  - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
      "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
      4⤵
      PID:3080
    - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        5⤵
        
        PID:3496
    - - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        5⤵
        
        PID:3912
    - - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        5⤵
        
        PID:3152
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3628
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:3704
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:3792
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:3920
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      PID:4020
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:4028

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3636
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  - Views/modifies file attributes
  PID:3792

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3708
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Sets file to hidden
  PID:3828

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3916

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3888

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3924
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3980
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    - Sets file to hidden
    PID:4068
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:4004
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3972

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:4088
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3136

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:2836

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
- Drops file in System32 directory
PID:2264

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3548
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Sets file to hidden
  PID:3664

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:4068
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3116

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3128

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3304
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3480
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    PID:3232

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3544
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3652

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3796

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:4060
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  PID:4036

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3176
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3808

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Views/modifies file attributes
PID:4072

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3912
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:3180
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:4080

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3448

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3744

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3648

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3828

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3648
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:3732
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3720

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3160

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3676

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3480

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3328

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3388

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3288
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3652

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3860
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Sets file to hidden
  PID:3572

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:2836
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3388
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:3372
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:3468
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3180
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    PID:4032
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:3216
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:2852
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    PID:1864
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:1244

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3956
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:3372

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3280
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3148

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3652
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3952
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
    3⤵
    - Sets file to hidden
    PID:4168
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:4112
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
    3⤵
    PID:4196
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
      4⤵
      PID:4248
- - C:\Windows\SysWOW64\cmd.exe
    "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    PID:4180
  - - C:\Windows\SysWOW64\attrib.exe
      attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      Sets file to hidden
      PID:4224
- - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
    "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
    3⤵
    PID:4256
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
      4⤵
      PID:4308
    - - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        5⤵
        
        PID:4484
  - - C:\Windows\SysWOW64\cmd.exe
      "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
      4⤵
      PID:4316
    - - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        5⤵
        
        PID:4512
  - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
      "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
      4⤵
      PID:4336
    - - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        5⤵
        
        PID:4388
      - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        6⤵
        Views/modifies file attributes
        
        PID:4520
    - - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        5⤵
        
        PID:4408
      - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        6⤵
        
        PID:4496
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        7⤵
        Views/modifies file attributes
        
        PID:4588
      - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        6⤵
        
        PID:4536
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        7⤵
        Views/modifies file attributes
        
        PID:4580
      - C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        6⤵
        
        PID:4596
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        7⤵
        
        PID:4644
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        8⤵
        Sets file to hidden
        
        PID:4744
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        7⤵
        
        PID:4652
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        8⤵
        
        PID:4736
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        7⤵
        
        PID:4672
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        8⤵
        
        PID:4760
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        9⤵
        
        PID:4820
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        8⤵
        
        PID:4780
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        9⤵
        
        PID:4840
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        8⤵
        
        PID:4832
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        9⤵
        
        PID:4868
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        10⤵
        Sets file to hidden
        
        PID:4916
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        9⤵
        
        PID:4892
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        10⤵
        
        PID:5020
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        9⤵
        
        PID:4908
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        10⤵
        
        PID:5056
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        11⤵
        
        PID:5104
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        12⤵
        Sets file to hidden
        
        PID:4192
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        11⤵
        
        PID:5112
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        12⤵
        Sets file to hidden
        
        PID:4304
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        11⤵
        
        PID:4120
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        12⤵
        
        PID:4224
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        13⤵
        
        PID:4360
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        12⤵
        
        PID:4248
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        13⤵
        Sets file to hidden
        
        PID:4328
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        12⤵
        
        PID:4152
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        13⤵
        
        PID:4376
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        14⤵
        Views/modifies file attributes
        
        PID:4508
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        13⤵
        
        PID:4452
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        14⤵
        Views/modifies file attributes
        
        PID:4516
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        13⤵
        
        PID:4504
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        14⤵
        
        PID:4436
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        15⤵
        
        PID:4748
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        14⤵
        
        PID:4460
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        15⤵
        
        PID:4728
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        14⤵
        
        PID:4628
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        15⤵
        
        PID:4824
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        16⤵
        
        PID:4852
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        15⤵
        
        PID:4808
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        16⤵
        Sets file to hidden
        Views/modifies file attributes
        
        PID:4832
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        15⤵
        
        PID:4840
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        16⤵
        
        PID:4864
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        17⤵
        Views/modifies file attributes
        
        PID:4908
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        16⤵
        
        PID:5020
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        17⤵
        Views/modifies file attributes
        
        PID:4136
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        16⤵
        
        PID:5040
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        17⤵
        
        PID:4100
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        18⤵
        Sets file to hidden
        
        PID:4300
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        17⤵
        
        PID:5060
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        18⤵
        
        PID:4268
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        19⤵
        
        PID:4748
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        18⤵
        
        PID:4304
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        19⤵
        
        PID:4740
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        18⤵
        
        PID:4488
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        19⤵
        
        PID:4604
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        20⤵
        
        PID:4796
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        19⤵
        
        PID:4680
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        20⤵
        Sets file to hidden
        
        PID:4852
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        19⤵
        
        PID:4584
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        20⤵
        
        PID:4856
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        21⤵
        
        PID:5064
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        20⤵
        
        PID:4632
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        21⤵
        
        PID:4832
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        20⤵
        
        PID:5016
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        21⤵
        
        PID:4172
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        22⤵
        
        PID:5056
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        21⤵
        
        PID:5040
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        22⤵
        
        PID:4532
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        21⤵
        
        PID:4328
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        22⤵
        
        PID:4520
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        23⤵
        
        PID:4244
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        22⤵
        
        PID:4524
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        23⤵
        Sets file to hidden
        Views/modifies file attributes
        
        PID:4976
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        22⤵
        
        PID:4664
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        23⤵
        
        PID:5072
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        24⤵
        
        PID:4516
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        23⤵
        
        PID:5064
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        24⤵
        
        PID:5100
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        23⤵
        
        PID:5024
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        24⤵
        
        PID:4228
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        25⤵
        
        PID:4728
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        24⤵
        
        PID:4360
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        25⤵
        
        PID:4576
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        24⤵
        
        PID:4636
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        25⤵
        
        PID:4244
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        26⤵
        Sets file to hidden
        Views/modifies file attributes
        
        PID:4744
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        25⤵
        
        PID:4852
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        26⤵
        
        PID:4704
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        25⤵
        
        PID:4136
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        26⤵
        
        PID:5092
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        27⤵
        Sets file to hidden
        
        PID:4136
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        26⤵
        
        PID:4676
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        27⤵
        Sets file to hidden
        
        PID:4976
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        26⤵
        
        PID:4636
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        27⤵
        
        PID:5124
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        28⤵
        
        PID:5192
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        27⤵
        
        PID:5132
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        28⤵
        
        PID:5200
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        27⤵
        
        PID:5212
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        28⤵
        
        PID:5260
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        29⤵
        
        PID:5352
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        28⤵
        
        PID:5276
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        29⤵
        
        PID:5364
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        28⤵
        
        PID:5300
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        29⤵
        
        PID:5376
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        30⤵
        
        PID:5440
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        29⤵
        
        PID:5396
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        30⤵
        
        PID:5460
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        29⤵
        
        PID:5416
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        30⤵
        
        PID:5472
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        31⤵
        Views/modifies file attributes
        
        PID:5532
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        30⤵
        
        PID:5488
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        31⤵
        Views/modifies file attributes
        
        PID:5548
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        30⤵
        
        PID:5556
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        31⤵
        
        PID:5604
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        32⤵
        Views/modifies file attributes
        
        PID:5704
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        31⤵
        
        PID:5612
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        32⤵
        
        PID:5684
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        31⤵
        
        PID:5632
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        32⤵
        
        PID:5716
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        33⤵
        
        PID:5780
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        32⤵
        
        PID:5724
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        33⤵
        
        PID:5792
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        32⤵
        
        PID:5800
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        33⤵
        
        PID:5848
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        34⤵
        
        PID:5940
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        33⤵
        
        PID:5864
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        34⤵
        
        PID:5948
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        33⤵
        
        PID:5876
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        34⤵
        
        PID:5964
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        35⤵
        Views/modifies file attributes
        
        PID:6044
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        34⤵
        
        PID:5972
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        35⤵
        
        PID:6036
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        34⤵
        
        PID:5980
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        35⤵
        
        PID:6056
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        36⤵
        Sets file to hidden
        
        PID:5180
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        35⤵
        
        PID:6072
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        36⤵
        
        PID:5224
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        35⤵
        
        PID:6088
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        36⤵
        
        PID:6140
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        37⤵
        
        PID:5204
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        36⤵
        
        PID:4272
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        37⤵
        Views/modifies file attributes
        
        PID:4636
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        36⤵
        
        PID:4596
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        37⤵
        
        PID:5308
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        38⤵
        
        PID:5436
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        37⤵
        
        PID:5256
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        38⤵
        
        PID:5372
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        37⤵
        
        PID:5316
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        38⤵
        
        PID:5300
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        39⤵
        
        PID:5516
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        38⤵
        
        PID:5444
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        39⤵
        Views/modifies file attributes
        
        PID:5448
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        38⤵
        
        PID:5468
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        39⤵
        
        PID:5600
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        40⤵
        
        PID:5696
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        39⤵
        
        PID:5648
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        40⤵
        
        PID:5752
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        39⤵
        
        PID:5672
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        40⤵
        
        PID:5692
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        41⤵
        
        PID:5820
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        40⤵
        
        PID:5632
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        41⤵
        
        PID:5900
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        40⤵
        
        PID:5800
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        41⤵
        
        PID:5880
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        42⤵
        
        PID:6092
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        41⤵
        
        PID:6008
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        42⤵
        Sets file to hidden
        
        PID:6124
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        41⤵
        
        PID:6044
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        42⤵
        
        PID:4796
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        43⤵
        
        PID:5016
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        42⤵
        
        PID:5196
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        43⤵
        
        PID:5312
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        42⤵
        
        PID:5192
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        43⤵
        
        PID:5304
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        44⤵
        
        PID:5564
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        43⤵
        
        PID:5420
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        44⤵
        
        PID:5452
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        43⤵
        
        PID:5644
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        44⤵
        
        PID:5596
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        45⤵
        
        PID:5772
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        44⤵
        
        PID:5712
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        45⤵
        
        PID:5960
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        44⤵
        
        PID:5820
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        45⤵
        
        PID:5956
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        46⤵
        
        PID:5016
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        45⤵
        
        PID:6064
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        46⤵
        
        PID:5240
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        45⤵
        
        PID:5952
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        46⤵
        
        PID:5204
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        47⤵
        Views/modifies file attributes
        
        PID:5700
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        46⤵
        
        PID:5232
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        47⤵
        Sets file to hidden
        
        PID:5588
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        46⤵
        
        PID:5344
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        47⤵
        
        PID:5228
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        48⤵
        Views/modifies file attributes
        
        PID:5240
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        47⤵
        
        PID:5508
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        48⤵
        Sets file to hidden
        
        PID:5948
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        47⤵
        
        PID:5468
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        48⤵
        
        PID:5960
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        49⤵
        Sets file to hidden
        
        PID:5588
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        48⤵
        
        PID:5820
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        49⤵
        
        PID:5688
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        50⤵
        
        PID:6052
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        49⤵
        
        PID:5516
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        50⤵
        
        PID:6044
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        49⤵
        
        PID:5580
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        50⤵
        
        PID:5240
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        51⤵
        Views/modifies file attributes
        
        PID:6092
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        50⤵
        
        PID:5468
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        51⤵
        
        PID:6088
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        50⤵
        
        PID:5700
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        51⤵
        
        PID:5936
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        52⤵
        
        PID:4596
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        51⤵
        
        PID:5896
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        52⤵
        Sets file to hidden
        
        PID:5700
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        51⤵
        
        PID:5644
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        52⤵
        
        PID:6092
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        53⤵
        Views/modifies file attributes
        
        PID:6212
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        52⤵
        
        PID:4596
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        53⤵
        Views/modifies file attributes
        
        PID:6204
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        52⤵
        
        PID:6152
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        53⤵
        
        PID:6236
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        54⤵
        
        PID:6296
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        53⤵
        
        PID:6260
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        54⤵
        
        PID:6304
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        53⤵
        
        PID:6320
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        54⤵
        
        PID:6360
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        55⤵
        
        PID:6472
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        54⤵
        
        PID:6372
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        55⤵
        
        PID:6456
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        54⤵
        
        PID:6384
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        55⤵
        
        PID:6464
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        56⤵
        
        PID:6604
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        55⤵
        
        PID:6480
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        56⤵
        
        PID:6576
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        55⤵
        
        PID:6488
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        56⤵
        
        PID:6552
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        57⤵
        
        PID:6644
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        58⤵
        Sets file to hidden
        
        PID:6760
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        57⤵
        
        PID:6680
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        58⤵
        
        PID:6752
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        59⤵
        
        PID:6916
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        58⤵
        
        PID:6788
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        59⤵
        
        PID:6856
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        60⤵
        
        PID:6968
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        59⤵
        
        PID:6864
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        60⤵
        Views/modifies file attributes
        
        PID:6960
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        59⤵
        
        PID:6884
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        60⤵
        
        PID:6988
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        61⤵
        Views/modifies file attributes
        
        PID:7040
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        60⤵
        
        PID:6980
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        61⤵
        
        PID:7032
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        60⤵
        
        PID:7064
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        61⤵
        
        PID:7112
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        62⤵
        
        PID:6304
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        61⤵
        
        PID:7104
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        62⤵
        
        PID:5416
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        61⤵
        
        PID:7132
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        62⤵
        
        PID:6180
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        63⤵
        Views/modifies file attributes
        
        PID:6200
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        62⤵
        
        PID:6252
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        63⤵
        
        PID:6348
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        64⤵
        
        PID:6476
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        63⤵
        
        PID:6352
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        64⤵
        
        PID:6456
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        63⤵
        
        PID:6452
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        64⤵
        
        PID:6604
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        65⤵
        
        PID:6676
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        66⤵
        
        PID:6824
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        65⤵
        
        PID:6552
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        66⤵
        
        PID:6792
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        67⤵
        
        PID:6972
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        66⤵
        
        PID:6936
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        67⤵
        
        PID:6968
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        66⤵
        
        PID:7040
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        67⤵
        
        PID:6956
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        68⤵
        Sets file to hidden
        
        PID:6212
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        67⤵
        
        PID:7084
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        68⤵
        
        PID:6300
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        69⤵
        
        PID:6748
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        68⤵
        
        PID:7136
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        69⤵
        
        PID:6384
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        70⤵
        
        PID:6848
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        69⤵
        
        PID:6652
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        70⤵
        
        PID:6968
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        71⤵
        
        PID:6552
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        72⤵
        
        PID:6732
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        71⤵
        
        PID:7068
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        72⤵
        
        PID:6636
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        73⤵
        
        PID:7036
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        74⤵
        Views/modifies file attributes
        
        PID:6332
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        73⤵
        
        PID:7056
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        74⤵
        
        PID:6968
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        73⤵
        
        PID:6572
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        74⤵
        
        PID:6652
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        75⤵
        
        PID:7236
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        74⤵
        
        PID:6308
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        75⤵
        
        PID:6784
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        76⤵
        
        PID:7212
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        77⤵
        
        PID:7308
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        78⤵
        
        PID:7440
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        77⤵
        
        PID:7316
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        78⤵
        
        PID:7448
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        77⤵
        
        PID:7344
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        78⤵
        
        PID:7428
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        79⤵
        
        PID:7540
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        80⤵
        
        PID:7592
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        79⤵
        
        PID:7532
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        80⤵
        
        PID:7584
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        79⤵
        
        PID:7616
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        80⤵
        
        PID:7656
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        81⤵
        
        PID:7720
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        82⤵
        
        PID:7824
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        83⤵
        
        PID:7908
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        84⤵
        
        PID:7972
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        85⤵
        
        PID:8112
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        84⤵
        
        PID:7964
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        85⤵
        
        PID:8088
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        84⤵
        
        PID:8052
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        85⤵
        
        PID:8120
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        86⤵
        
        PID:8160
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        85⤵
        
        PID:8128
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        86⤵
        
        PID:7292
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        85⤵
        
        PID:8140
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        86⤵
        
        PID:6308
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        87⤵
        Sets file to hidden
        Views/modifies file attributes
        
        PID:2648
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        86⤵
        
        PID:6164
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        87⤵
        
        PID:7292
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        88⤵
        
        PID:7436
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        89⤵
        
        PID:7484
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        90⤵
        
        PID:7768
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        91⤵
        
        PID:7984
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        92⤵
        
        PID:8300
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        91⤵
        
        PID:8060
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        92⤵
        
        PID:8248
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        91⤵
        
        PID:8044
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        92⤵
        
        PID:8076
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        93⤵
        Sets file to hidden
        
        PID:8320
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        92⤵
        
        PID:8148
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        93⤵
        
        PID:7348
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        94⤵
        
        PID:7628
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        95⤵
        
        PID:8364
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        94⤵
        
        PID:7736
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        95⤵
        
        PID:8380
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        94⤵
        
        PID:7740
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        95⤵
        
        PID:7808
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        96⤵
        
        PID:8388
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        95⤵
        
        PID:7768
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        96⤵
        
        PID:8372
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        95⤵
        
        PID:8100
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        96⤵
        
        PID:7508
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        97⤵
        
        PID:8524
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        96⤵
        
        PID:7220
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        97⤵
        Sets file to hidden
        
        PID:9484
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        96⤵
        
        PID:7328
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        97⤵
        
        PID:7848
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        98⤵
        
        PID:9476
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        97⤵
        
        PID:7228
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        98⤵
        
        PID:1724
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        99⤵
        
        PID:8348
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        100⤵
        Sets file to hidden
        
        PID:9104
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        99⤵
        
        PID:8404
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        100⤵
        
        PID:8464
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        101⤵
        
        PID:9448
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        100⤵
        
        PID:8484
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        101⤵
        
        PID:8556
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        102⤵
        
        PID:9184
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        101⤵
        
        PID:8572
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        102⤵
        
        PID:8648
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        102⤵
        
        PID:8676
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        103⤵
        
        PID:8752
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        104⤵
        
        PID:10160
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        103⤵
        
        PID:8768
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        104⤵
        
        PID:8852
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        105⤵
        
        PID:8928
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        106⤵
        
        PID:9048
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        107⤵
        
        PID:9440
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        106⤵
        
        PID:9040
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        107⤵
        
        PID:9496
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        106⤵
        
        PID:9076
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        107⤵
        
        PID:9144
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        108⤵
        
        PID:9208
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        108⤵
        
        PID:7192
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        109⤵
        
        PID:8344
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        110⤵
        
        PID:8628
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        111⤵
        
        PID:10028
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        110⤵
        
        PID:8636
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        111⤵
        
        PID:8768
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        112⤵
        
        PID:10284
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        111⤵
        
        PID:8860
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        112⤵
        Views/modifies file attributes
        
        PID:9568
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        111⤵
        
        PID:8784
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        112⤵
        
        PID:8932
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        113⤵
        
        PID:9652
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        112⤵
        
        PID:9116
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        113⤵
        
        PID:7676
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        114⤵
        
        PID:8548
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        115⤵
        
        PID:8792
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        116⤵
        Sets file to hidden
        
        PID:10124
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        115⤵
        
        PID:8636
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        115⤵
        
        PID:8996
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        116⤵
        
        PID:7856
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        117⤵
        
        PID:9640
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        116⤵
        
        PID:9160
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        117⤵
        
        PID:8900
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        118⤵
        
        PID:10680
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        117⤵
        
        PID:8548
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        117⤵
        
        PID:8960
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        118⤵
        
        PID:9256
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        119⤵
        
        PID:9384
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        120⤵
        
        PID:9604
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        120⤵
        
        PID:9624
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
        120⤵
        
        PID:9712
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        121⤵
        
        PID:9764
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        121⤵
        
        PID:9788
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        122⤵
        
        PID:9840
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        123⤵
        
        PID:9904
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        123⤵
        
        PID:9896
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        123⤵
        
        PID:9920
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        124⤵
        
        PID:9952
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        124⤵
        
        PID:9964
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        124⤵
        
        PID:9992
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        125⤵
        
        PID:10080
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        126⤵
        
        PID:10180
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        126⤵
        
        PID:10200
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        127⤵
        
        PID:8200
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        127⤵
        
        PID:8892
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        128⤵
        
        PID:8748
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        129⤵
        
        PID:9316
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        130⤵
        
        PID:11216
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        129⤵
        
        PID:9432
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        130⤵
        
        PID:9636
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        131⤵
        
        PID:10248
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        130⤵
        
        PID:9696
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        130⤵
        
        PID:10052
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        131⤵
        
        PID:9996
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        132⤵
        
        PID:10204
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        132⤵
        
        PID:7916
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        133⤵
        
        PID:10848
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        132⤵
        
        PID:9888
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        133⤵
        
        PID:6452
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        134⤵
        
        PID:10856
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        133⤵
        
        PID:7436
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        134⤵
        
        PID:9936
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        135⤵
        
        PID:11224
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        134⤵
        
        PID:10052
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        134⤵
        
        PID:9992
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        135⤵
        
        PID:9844
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        135⤵
        
        PID:1832
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        135⤵
        
        PID:9988
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        136⤵
        
        PID:10264
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        136⤵
        
        PID:10300
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        137⤵
        
        PID:10376
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        138⤵
        
        PID:10452
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        138⤵
        
        PID:10468
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        139⤵
        
        PID:10524
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        139⤵
        
        PID:10540
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        140⤵
        
        PID:10596
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        140⤵
        
        PID:10604
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        141⤵
        
        PID:10704
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        141⤵
        
        PID:10732
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        142⤵
        
        PID:10808
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        143⤵
        
        PID:10904
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        143⤵
        
        PID:10920
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        144⤵
        
        PID:11100
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        145⤵
        
        PID:10340
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        145⤵
        
        PID:10348
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        146⤵
        
        PID:8116
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        146⤵
        
        PID:10604
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        147⤵
        
        PID:10788
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        147⤵
        
        PID:8072
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        148⤵
        
        PID:10696
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        149⤵
        
        PID:10480
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        149⤵
        
        PID:10812
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        149⤵
        
        PID:11276
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        150⤵
        
        PID:11356
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        151⤵
        
        PID:11740
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        152⤵
        
        PID:11804
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        152⤵
        
        PID:11812
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        152⤵
        
        PID:11820
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        153⤵
        
        PID:11992
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        153⤵
        
        PID:12148
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        154⤵
        
        PID:12276
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        155⤵
        
        PID:11056
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        155⤵
        
        PID:10840
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        155⤵
        
        PID:11324
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        156⤵
        
        PID:10836
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        156⤵
        
        PID:11124
        
        C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
        
        "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
        157⤵
        
        PID:11968
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        156⤵
        
        PID:11524
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        154⤵
        
        PID:12268
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        154⤵
        
        PID:12232
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        153⤵
        
        PID:12140
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        151⤵
        
        PID:11728
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        151⤵
        
        PID:11720
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        150⤵
        
        PID:11348
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        150⤵
        
        PID:11340
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        148⤵
        
        PID:10380
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        148⤵
        
        PID:2480
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        147⤵
        
        PID:11236
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        146⤵
        
        PID:10688
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        145⤵
        
        PID:10412
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        144⤵
        
        PID:11092
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        144⤵
        
        PID:11084
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        143⤵
        
        PID:10912
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        142⤵
        
        PID:10800
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        142⤵
        
        PID:10792
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        141⤵
        
        PID:10724
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        140⤵
        
        PID:10588
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        139⤵
        
        PID:10532
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        138⤵
        
        PID:10460
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        137⤵
        
        PID:10368
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        137⤵
        
        PID:10360
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        136⤵
        
        PID:10292
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        133⤵
        
        PID:9660
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        131⤵
        
        PID:10048
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        131⤵
        
        PID:9924
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        129⤵
        
        PID:9260
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        130⤵
        
        PID:10352
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        128⤵
        
        PID:8960
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        128⤵
        
        PID:9232
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        127⤵
        
        PID:9160
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        126⤵
        
        PID:10188
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        125⤵
        
        PID:10072
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        126⤵
        
        PID:9580
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        125⤵
        
        PID:10064
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        122⤵
        
        PID:9832
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        122⤵
        
        PID:9824
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        121⤵
        
        PID:9780
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        122⤵
        
        PID:10080
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        119⤵
        
        PID:9376
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        120⤵
        
        PID:10272
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        119⤵
        
        PID:9368
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        118⤵
        
        PID:9248
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        119⤵
        
        PID:10000
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        118⤵
        
        PID:9240
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        119⤵
        
        PID:11144
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        116⤵
        
        PID:9148
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        114⤵
        
        PID:8360
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        115⤵
        
        PID:9588
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        114⤵
        
        PID:1836
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        113⤵
        
        PID:9196
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        114⤵
        
        PID:9544
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        113⤵
        
        PID:8080
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        112⤵
        
        PID:9164
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        110⤵
        
        PID:8576
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        111⤵
        Views/modifies file attributes
        
        PID:9684
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        109⤵
        
        PID:8428
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        110⤵
        
        PID:9524
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        108⤵
        
        PID:8196
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        109⤵
        
        PID:9468
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        107⤵
        
        PID:9136
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        108⤵
        
        PID:9736
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        107⤵
        
        PID:9128
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        108⤵
        
        PID:9460
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        105⤵
        
        PID:8920
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        106⤵
        
        PID:10152
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        105⤵
        
        PID:8908
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        104⤵
        
        PID:8840
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        104⤵
        
        PID:8832
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        105⤵
        
        PID:9300
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        103⤵
        
        PID:8760
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        102⤵
        
        PID:8664
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        103⤵
        
        PID:1716
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        101⤵
        
        PID:8564
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        102⤵
        
        PID:8504
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        100⤵
        
        PID:8472
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        101⤵
        Sets file to hidden
        
        PID:8688
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        99⤵
        
        PID:8396
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        100⤵
        
        PID:9024
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        98⤵
        
        PID:8100
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        99⤵
        
        PID:9552
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        98⤵
        
        PID:8148
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        99⤵
        Sets file to hidden
        
        PID:9092
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        97⤵
        
        PID:8136
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        98⤵
        
        PID:9536
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        93⤵
        
        PID:7404
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        94⤵
        
        PID:8328
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        93⤵
        
        PID:7272
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        94⤵
        Views/modifies file attributes
        
        PID:8336
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        92⤵
        
        PID:8056
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        93⤵
        Views/modifies file attributes
        
        PID:8292
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        90⤵
        
        PID:7656
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        91⤵
        Sets file to hidden
        
        PID:8272
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        90⤵
        
        PID:7688
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        91⤵
        
        PID:8240
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        89⤵
        
        PID:7608
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        90⤵
        
        PID:7828
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        89⤵
        
        PID:7596
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        90⤵
        
        PID:8256
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        88⤵
        
        PID:7452
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        89⤵
        
        PID:8212
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        88⤵
        
        PID:7352
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        89⤵
        
        PID:7344
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        87⤵
        
        PID:7284
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        88⤵
        Sets file to hidden
        
        PID:8156
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        87⤵
        
        PID:7256
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        88⤵
        Views/modifies file attributes
        
        PID:8232
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        86⤵
        
        PID:6976
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        87⤵
        Sets file to hidden
        
        PID:7624
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        83⤵
        
        PID:7900
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        84⤵
        Sets file to hidden
        
        PID:8036
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        83⤵
        
        PID:7892
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        84⤵
        
        PID:8064
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        82⤵
        
        PID:7816
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        83⤵
        
        PID:8028
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        82⤵
        
        PID:7800
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        83⤵
        
        PID:8016
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        81⤵
        
        PID:7712
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        82⤵
        Views/modifies file attributes
        
        PID:7808
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        81⤵
        
        PID:7700
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        82⤵
        
        PID:7832
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        80⤵
        
        PID:7648
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        81⤵
        Views/modifies file attributes
        
        PID:7788
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        80⤵
        
        PID:7640
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        81⤵
        
        PID:7740
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        78⤵
        
        PID:7420
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        79⤵
        
        PID:7508
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        78⤵
        
        PID:7412
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        79⤵
        Sets file to hidden
        
        PID:7500
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        76⤵
        
        PID:7204
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        77⤵
        
        PID:7324
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        76⤵
        
        PID:7196
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        77⤵
        
        PID:7280
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        75⤵
        
        PID:7096
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        76⤵
        Views/modifies file attributes
        
        PID:7256
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        75⤵
        
        PID:6456
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        76⤵
        
        PID:7188
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        74⤵
        
        PID:2720
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        75⤵
        
        PID:6572
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        72⤵
        
        PID:6708
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        73⤵
        
        PID:2720
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        72⤵
        
        PID:6252
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        73⤵
        
        PID:7140
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        71⤵
        
        PID:7040
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        72⤵
        
        PID:6512
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        70⤵
        
        PID:6972
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        71⤵
        Sets file to hidden
        
        PID:7096
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        70⤵
        
        PID:6908
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        71⤵
        
        PID:5820
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        69⤵
        
        PID:6460
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        70⤵
        
        PID:6828
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        68⤵
        
        PID:5584
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        69⤵
        
        PID:6628
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        67⤵
        
        PID:7076
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        68⤵
        
        PID:6476
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        65⤵
        
        PID:6640
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        66⤵
        Views/modifies file attributes
        
        PID:6848
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        64⤵
        
        PID:6576
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        65⤵
        
        PID:6812
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        64⤵
        
        PID:6588
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
        65⤵
        
        PID:6724
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        62⤵
        
        PID:6208
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        63⤵
        
        PID:6416
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        58⤵
        
        PID:6772
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        59⤵
        
        PID:6924
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        57⤵
        
        PID:6668
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        58⤵
        
        PID:6780
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        56⤵
        
        PID:6544
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
        57⤵
        
        PID:6708
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        56⤵
        
        PID:6536
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
        57⤵
        
        PID:6652
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        48⤵
        
        PID:5672
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        49⤵
        
        PID:5560
        
        C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        17⤵
        
        PID:3080
        
        C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        18⤵
        
        PID:4228
    - - C:\Windows\SysWOW64\cmd.exe
        
        "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        5⤵
        
        PID:4400
      - C:\Windows\SysWOW64\attrib.exe
        
        attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
        6⤵
        
        PID:4504
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:4036
- - C:\Windows\SysWOW64\attrib.exe
    attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
    3⤵
    - Views/modifies file attributes
    PID:4144

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
PID:3352

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3388

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3240

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:4064

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3944

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:4028

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3808

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3564

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3592

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3448
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  PID:3520
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:3508

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3452

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3476

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3336

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3400

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3428

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3184

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:1016

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:4052

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:3848

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3840

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3816

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
PID:3664

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3648

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:3604

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Views/modifies file attributes
PID:3596

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:3288

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3260

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:3116

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Sets file to hidden
PID:528

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:792
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  - Modifies WinLogon for persistence
  - Executes dropped EXE
  - Loads dropped DLL
  - Adds Run key to start application
  - Drops file in System32 directory
  PID:1876
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  PID:2352
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:636

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:1680

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2688

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:2664

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Drops file in System32 directory
PID:2640

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2560

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
PID:2060
- C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
  "C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
  2⤵
  - Modifies WinLogon for persistence
  - Executes dropped EXE
  - Loads dropped DLL
  - Adds Run key to start application
  - Drops file in System32 directory
  PID:1684

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:912

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:1728

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Sets file to hidden
- Views/modifies file attributes
PID:2688

C:\Windows\system32\conhost.exe
\??\C:\Windows\system32\conhost.exe "-1048943378-646265661-892598477187805151957314445761254721-1403977693482211242"
1⤵
- Drops file in System32 directory
PID:2108

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:1052

C:\Windows\system32\conhost.exe
\??\C:\Windows\system32\conhost.exe "-855419361-419175648-3972559371130270881-1248815813-273966362-1443637615-1701513801"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:1036
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
  2⤵
  PID:1644
- C:\Windows\SysWOW64\cmd.exe
  "C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Suspicious use of WriteProcessMemory
  PID:2168

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:280

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Drops file in System32 directory
PID:2652

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
- Drops file in System32 directory
PID:2596

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:2880

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2548

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:1284

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:2692

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:2248

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:892

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Sets file to hidden
- Drops file in System32 directory
PID:528

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Drops file in System32 directory
- Views/modifies file attributes
PID:1284

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2564

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Views/modifies file attributes
PID:2764

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
- Sets file to hidden
- Drops file in System32 directory
PID:1728

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:2852

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:2760

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:2416

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:1296

C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
"C:\Windows\system32\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:1984

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
PID:2192

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
- Sets file to hidden
- Views/modifies file attributes
PID:3008

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:1964

C:\Windows\SysWOW64\attrib.exe
attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj" +s +h
1⤵
- Drops file in System32 directory
- Views/modifies file attributes
PID:2144

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:4956
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  - Sets file to hidden
  PID:5040

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
1⤵
PID:4964
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj" +s +h
  2⤵
  - Views/modifies file attributes
  PID:5028

C:\Windows\system32\conhost.exe
\??\C:\Windows\system32\conhost.exe "-1179494870-372728294558807046512272307317442231-1692843772751605097-1587439032"
1⤵
- Modifies WinLogon for persistence
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
PID:1748

C:\Windows\SysWOW64\cmd.exe
"C:\Windows\System32\cmd.exe" /k attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
1⤵
PID:8268
- C:\Windows\SysWOW64\attrib.exe
  attrib "C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe" +s +h
  2⤵
  PID:9748

C:\Users\Admin\AppData\Local\Temp\Kernel32.exe
"C:\Users\Admin\AppData\Local\Temp\Kernel32.exe"
1⤵
PID:10840
- C:\Windows\SysWOW64\net.exe
  net user Admin ""
  2⤵
  PID:10964
- - C:\Windows\SysWOW64\net1.exe
    C:\Windows\system32\net1 user Admin ""
    3⤵
    PID:11240
- C:\Windows\SysWOW64\config\winsock.exe
  "C:\Windows\system32\config\winsock.exe"
  2⤵
  PID:10940
- - C:\Windows\SysWOW64\net.exe
    net user Admin ""
    3⤵
    PID:11056
  - - C:\Windows\SysWOW64\net1.exe
      C:\Windows\system32\net1 user Admin ""
      4⤵
      PID:11240
- - C:\Windows\SysWOW64\config\winsock.exe
    "C:\Windows\system32\config\winsock.exe"
    3⤵
    PID:11048
  - - C:\Windows\SysWOW64\net.exe
      net user Admin ""
      4⤵
      PID:11164
    - - C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        5⤵
        
        PID:2480
  - - C:\Windows\SysWOW64\config\winsock.exe
      "C:\Windows\system32\config\winsock.exe"
      4⤵
      PID:11156
    - - C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        5⤵
        
        PID:9996
      - C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        6⤵
        
        PID:10740
    - - C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        5⤵
        
        PID:8640
      - C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        6⤵
        
        PID:8020
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        7⤵
        
        PID:10316
      - C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        6⤵
        
        PID:10444
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        7⤵
        
        PID:10892
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        8⤵
        
        PID:11188
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        9⤵
        
        PID:10840
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        8⤵
        
        PID:11200
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        9⤵
        
        PID:10348
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        10⤵
        
        PID:11492
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        9⤵
        
        PID:10376
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        10⤵
        
        PID:10444
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        11⤵
        
        PID:10768
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        12⤵
        
        PID:11596
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        11⤵
        
        PID:2500
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        12⤵
        
        PID:11400
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        13⤵
        
        PID:11604
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        12⤵
        
        PID:11392
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        13⤵
        
        PID:11512
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        14⤵
        
        PID:11912
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        13⤵
        
        PID:11504
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        14⤵
        
        PID:11648
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        15⤵
        
        PID:11920
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        14⤵
        
        PID:11640
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        15⤵
        
        PID:11700
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        16⤵
        
        PID:11952
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        15⤵
        
        PID:11692
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        16⤵
        
        PID:11868
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        17⤵
        
        PID:12132
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        16⤵
        
        PID:11860
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        17⤵
        
        PID:12024
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        18⤵
        
        PID:12112
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        17⤵
        
        PID:12008
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        18⤵
        
        PID:12104
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        19⤵
        
        PID:12220
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        18⤵
        
        PID:12096
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        19⤵
        
        PID:12252
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        20⤵
        
        PID:11332
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        19⤵
        
        PID:12244
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        20⤵
        
        PID:8492
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        21⤵
        
        PID:10492
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        22⤵
        
        PID:11740
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        21⤵
        
        PID:11432
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        22⤵
        
        PID:11676
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        23⤵
        
        PID:11796
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        22⤵
        
        PID:11268
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        23⤵
        
        PID:11672
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        24⤵
        
        PID:11980
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        23⤵
        
        PID:11532
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        24⤵
        
        PID:11916
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        25⤵
        
        PID:11648
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        24⤵
        
        PID:11892
        
        C:\Windows\SysWOW64\config\winsock.exe
        
        "C:\Windows\system32\config\winsock.exe"
        25⤵
        
        PID:11700
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        25⤵
        
        PID:11712
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        20⤵
        
        PID:11020
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        21⤵
        
        PID:10664
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        10⤵
        
        PID:10836
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        11⤵
        
        PID:11472
        
        C:\Windows\SysWOW64\net.exe
        
        net user Admin ""
        7⤵
        
        PID:10840
        
        C:\Windows\SysWOW64\net1.exe
        
        C:\Windows\system32\net1 user Admin ""
        8⤵
        
        PID:10696

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Winlogon Helper DLL

T1547.004

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Winlogon Helper DLL

T1547.004

Defense Evasion

Hide Artifacts

T1564

Hidden Files and Directories

T1564.001

Modify Registry

T1112

Credential Access

Discovery

System Information Discovery

T1082

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

JPS Virus Maker.exe

Path C:\Users\Admin\AppData\Local\Temp\JPS Virus Maker.exe
Size 1.0MB
SHA256 6da9e15c7cbdefd1779e83d50738b48c9f2ede1dff956df33227b8be796003ab
MD5 7997979becf9d2697d8a6e57eeca399d
SHA1 275d85b1f67c1ae31ed4e9b1288f8961188090e0
SHA512 cdaac9f5f2aba0923c592baf8e68e6fe23295cdda6a60650d0f17c644c846cd2d2e68c0fec4461f37150e5ec16a4a5b0614bec3aae4f00c30624e9dfafcfd45c
SSDEEP 24576:5Lbti0QRWoJEfg0oChGdJQbjPbNW5tYeP+GF/kknUnk3nnU:5Lbt9QRV2o3MPY5A
MD5 SHA1 SHA512 SSDEEP

Submit Download

Utorrent++.exe.exe

Path C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe
Size 160KB
SHA256 1b9419c8a9d8aad342bf73d4d918809884f9fbe272fa49ff5f9c7b509167b972
MD5 e3b39f96199409a7f340021d03913b9b
SHA1 5a8fa561eb55aafd95d4dd7f426bde480ba9a4a6
SHA512 7e4ca6e36f9d9e2f206c1d0986d6471478d7387f393c81592bdf2f30c839e5d16efbb25d4e6ee0de9e349df3b38daa66df3a638fea2fc1ea6a9c841b6a8e6118
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmd0U77znr:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvUf
MD5 SHA1 SHA512 SSDEEP

Submit Download

Utorrent++.exe.exe

Path C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe
Size 144KB
SHA256 188829d157e6b5ce9def6ade0be49578bf99cbaf8088487fadf0b0e34aa6c7ef
MD5 20e3d25e0b9f29d5e393fb1c92c7f216
SHA1 50a004a5263806729219fa098af3ae2b8e6ed10b
SHA512 4e3f94f8407ea104615e641d5b0a1ffb90c7ce8f5f1a0221c10aac0a962883ea2348919545a554758f671c87dc704648b69267381b15f0107676f8da8987797a
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmd0P:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvP
MD5 SHA1 SHA512 SSDEEP

Submit Download

Utorrent++.exe.exe

Path C:\Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe
Size 686KB
SHA256 a85fa5a701c5232241c21e72bca7406abcf65c775916fc4d6e96e90689b188e1
MD5 663ea58285defe825ba6b10a96f9462b
SHA1 7982729b3ee6e964dcaa1f7699371474289299e1
SHA512 3291b10f9b8bdd73d9bb824bf05c7480dc62082ee7efa140cb489b604339eab35255033028b6d6a6059f39081304092525d3c334e22d42ec2974f70dd6e2085b
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRTtYe3f+Iw86k/9/+Ee:z0QRWoJEfg0oChGdJQbjPbNW5tYeP+G4
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 187KB
SHA256 5801a2c0e66d157476b2afd1265c220f34a3eded3bc572489748fbdd14d284fc
MD5 4934441769276513b2b17b858d835105
SHA1 3d06d71136236468549ef426f4bd7c2764187885
SHA512 1a6e27230114728f99f829d9d5efdfbf6989ed94ddad241ced9862c597e26e2bcb66c7f79985d315bfd1f7debf4d1402f098a2b47c4b68f836d01fa3506d895e
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmd0U77znH:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvUD
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 123KB
SHA256 bec018b72db1433c2d119cece9d873c07f3762651c40d71a996efc588a3a48e0
MD5 44f15d2462e445a896bc111f03d334cc
SHA1 5abea594d78357f269877a63679940864db3e8da
SHA512 e3bbf291ee7fe7659118f61fd489cc48c501a4095201eaa9ab59fc692adf30c26cf7fc49d117adcc35f7c52968b9a29b422a26664170e3d0eb4d47dda834651c
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCC:etwtVmsWQ2GlhmPoqBeAlyA8YMBij
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 27KB
SHA256 1ddc3355ffd92459ff893cabb0d4d6eab4c7c2d28f5f3e0f0fcd7e9ec2249e37
MD5 066f2392f0f3580fef2f8cfc2dc8537b
SHA1 51a6a26df143e37f1fa308d409c83d29083b2184
SHA512 f0f1805a3cd46a26dfc0dcf0edca4f84a95da0203a6af81c41c675f7d41028068fec7fdc135df1ef0081e018f24084c40f32964e874dbe26e07d1e656ce1a017
SSDEEP 768:gTtwo4/ija+1I/1WUT5fxkOHT3w7o6JDHo1PYNavQMPWz:etw5TT5fxVzaDgY4lez
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 139KB
SHA256 9898f5a4dc3d494783688c754b6d7837c84d12f6df8c701ce26f3d1b3b97846d
MD5 fac08d32c5894917a9b1f8b16817e405
SHA1 2f3afb83d669ec7d40602b127d10f18d60b219e7
SHA512 3eed8d70269223d864490996c0b9ab8ecf28248dde242b05b48f253d60a2aa057e3819bf8c4e2941e3dbe8192cf49497dfc1e7bcf6782ba471c4f3fe905e5604
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmS:etwtVmsWQ2GlhmPoqBeAlyA8YMBiY/
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 331KB
SHA256 8f9981013cfc7ff3743d027b614fcaff57051097a6496b62e51775b440a04120
MD5 946a3ffce5bb76587e65de8322ad4086
SHA1 2e0a42ab05fbd6346c9af4da8914f53279cd46d6
SHA512 63cf998daaf3f2356500dce87f3735f4abd517cf7b08258967c39e3761ea8f55338cca4de25a714e757d310b75cb393ba9da01d2808ab7d97a1bb0c4902ca68d
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47/s3L2JTjP:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsW
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 164KB
SHA256 a3a23467e49cc959887e288c6ec206e314e386bc1b170a0aa9bda53b62d26789
MD5 a028f8816c0bfbc4d04723866f7dd7be
SHA1 e726d78ef66b2e36c73fcd61963d0847c8e7a04c
SHA512 e2c082414453c172b6f3681effaac2e2bea171f83b8efb89db5add878e9a9c79e50cd711118f2d0deba111d3c94c02594726f71b3b623451accaa177cea362c5
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmd0U77zna:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvUO
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 144KB
SHA256 b5472fcace2c6ea82bd7e59c38b1ef20fd4668210996a8ff23b9d47dc93413c2
MD5 4e40547b0735fc1d7d1d94b65f8d61f6
SHA1 88925e6c43be7886bc975b810f2c95fc492ee5bd
SHA512 6fb0673494dff980a617625871f9ff215587a150a822c33d59ae7df9daddf5295b17ee492fe06c6da62f4f0d52b000c778ce37fdaa80d66bf25bbbd98ff392f9
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmd0v:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvv
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 226KB
SHA256 8694d0721f01b3c1c42704fd175cfaa8db096f3fe2d701dad0431232bd80cdaf
MD5 cb2ac6fada3ae59e7699160e5e01ee29
SHA1 4cb36c065f9d261ad7a28c75c0a4e3ce82950085
SHA512 2ef3f67f8d9776db65cf5a623f1f008c6d63b4753d09cee87a5dd1fe63ce3246d01df354e9895b12062abe937a7ac8e16ee301ca5a5e33da49494e825c2bcc9f
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3Va:ek0QVlhmPojAPTMEsUTg0oCh+
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 252KB
SHA256 af1e91aa5adcf9bad67b2ebfc2a9db29319908167ba26f877767ab777209a2af
MD5 177176964d5ec6dac349a05184f005e8
SHA1 fbb062c2c69e7f30f232e196ff366698a99c9fa0
SHA512 6b1b86fa8cab70ed249f8ed8819f56040094343af5f8bb5891cfb1291141a959c2ea245535bbff3bb3b69cd44054e11d7fb17b4a523a6843a9149340efce94f2
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47/s3LF:ek0QVlhmPojAPTMEsUTg0oChO/QF
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 253KB
SHA256 0314ac452809060801f54f0f4076b54ad1d4d031dadbd9f3d359f5fdcada22f1
MD5 4befec621f764482acb830f01ac6f9fb
SHA1 10c0bcb358c157b5fc08df1bcad3b00df7941cc7
SHA512 2f426886e6108e2c3a11b7b84eca65bca5aa027d83de7a9de6244602d6526f5b55bd7475c94551dce91e252850ffc30b5a1aa6b101877d281ae9b64824774609
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47/s3L2I:ek0QVlhmPojAPTMEsUTg0oChO/Q2I
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 223KB
SHA256 2042d2ad47992f859e8ba2a4a3bd61fe141b3be1040c6bd6ad2065fb4ffc5d4f
MD5 8cb6e7dac08a9c6b14fb5794620dbe8b
SHA1 8b0a723ab209ea88be8e8d7da3c8086def3e0c5a
SHA512 acb50cb109f97c324e842d341ac927b21e318db1030cf6a62cbb496086009a3a493a661e36d1c866862285f4f91f6de6e1d9a0c8ee572bd7429e35a310192dcd
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3+:ek0QVlhmPojAPTMEsUTg0oCho
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 272KB
SHA256 352359bf670887586886b935e5465d6448c7cd10c81b0b661d473e0d5e4c6ef4
MD5 3afa52723013a393a0d26b86e4709026
SHA1 0d849a1a5d702e6fd7bfc5a01355ae0c696152f4
SHA512 14bb13b5033bc117e8fe12cda8292e9c28d7a496437983fbf1b4259171bcdb8661ceb7203c0180a6ed5b5cb4ae923046ccb22ef82624c5d4dd72de30cf72f82b
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47/s3L2JM:ek0QVlhmPojAPTMEsUTg0oChO/Q2JM
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\msdcsc.exe
Size 433KB
SHA256 58b48b32f4e710ea40207ca3c060258ec19ec6c7b0505c6229033715ae1ddccc
MD5 92cb0614990c5b847a1cc803896299a5
SHA1 00552caa765e20b6577befffee885e64e28f5239
SHA512 af5e2ef6a1cfbf22f8188f28eeb5f53c13c8c774bf3c52ca79d0d5e15f38f57b477ddc5d3c6866d4efb1757d7b9bed904a6a0109c74b4fcc0ac4ca216760d968
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRR:z0QRWoJEfg0oChGdJQbjPbNW7
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path C:\Windows\SysWOW64\MSDCSC\msdcsc.exe
Size 525KB
SHA256 0f52b0841096f84d54e0ce7ecaca1c2cde1420f6173b0c8d9bd1927be081834b
MD5 d5c5be64946088927ea31c01eebc27ee
SHA1 eab1a921de8f74d8cb48a06e571387581d616e7b
SHA512 36ab5309f7f2e0eb0dfbe865ff50156630480a6b884f921f9b7230a225f5448c6bd2a4c54c59f0e18709e50200d5da309662a342a2b2964a7f953496f76fe303
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRTtYe3f+Iw8p:z0QRWoJEfg0oChGdJQbjPbNW5tYeP+Gp
MD5 SHA1 SHA512 SSDEEP

Submit Download

winsock.exe

Path C:\Windows\SysWOW64\config\winsock.exe
Size 24KB
SHA256 598dba9376a42211c99843abb01e89f2213a3eda6e8a5e9c29f467a1d50e5aca
MD5 b7da30df30b8e498be0634bc08a644d1
SHA1 41089a30fcba5183637ab7775989174612d939f9
SHA512 e76219e6ea585f9708a11538af0d61c07a8ef14011376939b38757e93a34c732b5b79f35da7bac939043a98a0f7a30fc1525f3b3962c178b19793b9ab350d9c0
SSDEEP 384:qjD6bqVIy0xylC5LyGEbNqDmo8hIjS8tsjLR9ya5fJvwtpd2fEUgptMbzyMQB:qjDcqbYmGmymoBOzjNv5FupdYEHgb5
MD5 SHA1 SHA512 SSDEEP

Submit Download

Jps.exe

Path \Users\Admin\AppData\Local\Temp\Jps.exe
Size 296KB
SHA256 8003bb8ba0689932d96836cdb9f3ccae952a59bacc3fb79289a52657342a46ab
MD5 76de1b882fd303a0e90cd2e80fa69804
SHA1 67ba0c0ccc24fac781ac8af6a6871264f31491aa
SHA512 c2fcdef878fa56bd643067e9efd991aebb663bc3f0beb6bde8e3121e73ab74a8b4f916c8ce58eda544c300e3b118a3c568c9e704cfc9e57a5224795377f6a6c6
SSDEEP 6144:sIW/xjgHP3a8Z8ht5vaRSycrRiUdJR87/9VNtUzRIjTqXxWjMjj6Me0GUvh:YJgEvyvUbRO9VNtJoj
MD5 SHA1 SHA512 SSDEEP

Submit Download

Utorrent++.exe.exe

Path \Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe
Size 241KB
SHA256 1f391c9d1fff20b3ef68e9e4a92276e7bc7cbf6c5d834cae95d254c7e1e81d1b
MD5 8c95073232b330ddab47ee38dfc8fa85
SHA1 32c2675bed0b11bfbda4bdf4de580818a5d84dac
SHA512 9e73c64830784749ba5b42c0919b79b40cb6b2a4353112fa0bc7087662926d2e39d63c5f5fcf0a9f68f3e46d70499537d57f9494e29a60a90c0617d675774257
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47W:ek0QVlhmPojAPTMEsUTg0oChOW
MD5 SHA1 SHA512 SSDEEP

Submit Download

Utorrent++.exe.exe

Path \Users\Admin\AppData\Local\Temp\Utorrent++.exe.exe
Size 235KB
SHA256 b331737aa36f847a6b57f8929693b166321ef1e999af1ba7fa8ddef503154d76
MD5 4df966fb14bfbdc8e72a649b58e6c5f4
SHA1 373618b97c5f39ebd2a5e541aacd2a0ee0a15ef2
SHA512 e8f006fc3f7ed74797cb15ed00094ed2ec880acc337d424612de07b0ba1411a2d70ecb6478cb56529e943e1ac11226c394db7f61c280060bd18299befbebe6cd
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V6:ek0QVlhmPojAPTMEsUTg0oChW
MD5 SHA1 SHA512 SSDEEP

Submit Download

svchost.exe

Path \Users\Admin\AppData\Local\Temp\svchost.exe
Size 9KB
SHA256 58fa8679eb278c0fbe4b9348e61cd274234037af160878289a988260eaf6246e
MD5 f83c1904404d2b40622d28a5c05420f9
SHA1 87c629c25b2be94ff603fd4b5e1934541006cc44
SHA512 cb8dedaa9510e466a6babb984913130271baaccc68ccb432e6318e0791547eb6d54d3b61103b9ab39a530d15e6187a580062fe9e5c1442df5d976ee7850448a3
SSDEEP 192:/vnBrHsNjxAPGuPKm7gfsAq6/apEu74DFRO9e:/vnBrMw+uPK/Pq6/876y9
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 202KB
SHA256 7b59b02dc1080a72504ff11b885f44f3ef5323262baa96224163bc6249103c3c
MD5 8c079da61c05f67e9b4dd448152be8a6
SHA1 83ad0fc926e16b8a0f2b806e34d2dfe2f29b23c9
SHA512 902645a27d2c8338213b93a9c310ca46831fd91959bc796d6996631c8f340e0bd28e829f3861bbd88b8d6e48a17e7bd5d983627bf2453f62321ea6424d32eaf0
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0on:ek0QVlhmPojAPTMEsUTg0on
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 127KB
SHA256 461e437a0713027b9d70ea003eb365b9df7e431e35f07a8c9cbc7794f9161eff
MD5 73ff56d8b73b06c643b3d8b303a6d149
SHA1 2714d1169d59ad7509e7e4b2e59ac036b144a98b
SHA512 09f0a118fca496cb34ace4568a4d648fbd49b8e20da50740a36fcac4128fea9427e6fd8d15b78860d78353594851bd887ed3985f93eb57743e8dbedae8eeead0
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCru:etwtVmsWQ2GlhmPoqBeAlyA8YMBit
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 45KB
SHA256 51094d04b66a0e0059d550c33d4d035baaaa671cd28910399812396eae3e6111
MD5 c34c2ba032005f7d17a3072f5173f832
SHA1 f9d4d7a4e2c13fb30c8ac23fe48c5fc440c51bec
SHA512 a4073f878228a5329fde5f1beba06c44800a5ba522b60ad7dbbb2ad75bf115dfa2729b3889bf11d41d89b9d7d6f10dac2d48d754158b147ecb0a35b3a1a3c9dc
SSDEEP 768:gTtwo4/ija+1I/1WUT5fxkOHT3w7o6JDHo1PYNavQMPW679E1EOyrIoHLOQ99liN:etw5TT5fxVzaDgY4leQ9EGFLh9Cz
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 524KB
SHA256 000360672d5fb43ca6bb50e34999dbc4895cf80117e617db9b9927f7604f8107
MD5 df005eedbd4a456860e0823ec6b4efd0
SHA1 c85e02da9d1303c3bf23e0483e0e463505f04ac8
SHA512 93e84df494bcc4ba0a3c8584aa4ea58247d29df376aee688deac60976e2fdf98d0de96883ec3c8ee8de950c8c97a49a9861a2ac4f30f073434e249515ba50d33
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRTtYe3f+Iw8d:z0QRWoJEfg0oChGdJQbjPbNW5tYeP+Gd
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 142KB
SHA256 3033b7e82afa00091174c4bb86c1152c2867cba9eb57d3e016f34287800f6b2b
MD5 518fe9532fb8531ef676a25bbfd672a3
SHA1 28f7030650dfb040d595a060e5070595304783a8
SHA512 45f3e99a92913381c230efc80231145c43af695da5548fe77cd7a7a6eb3411c8018a7acb655846ee43333f5e12def5e5fa3c0c11d1304b9914404f442f20b1b9
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZPmds:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYB
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 136KB
SHA256 68494c6ac5d9aff1ae7129987598c469bcf39ce17f3f11e286cf980441c4c685
MD5 17359ff895579c8a4c2b53f271e84a86
SHA1 fa51941f26e05c632eaf81f8e724e534a7a31cc4
SHA512 c260c7a24c316d9000eec0e85020755d267cc9bd9414e7662155356c12c85717e1cbc5c88b834b23b7922d1868473176c477478f91c4d3e23c80001523441eb9
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5lnZQQvKPCrZP/:etwtVmsWQ2GlhmPoqBeAlyA8YMBiY/
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 43KB
SHA256 2643eb1873edd37864254c3573f58e167f407dbae5275136b484ea6cdb9658a9
MD5 0f36a5a2f5b80271b2141bfdcf3377fe
SHA1 d0169593e3a81473009a8028199c8f5aec7aaef9
SHA512 4dfd91d3d9b3183241678c0776c9b8867fa4743f13d726455dfe6861a45adbea7f668abf179fa941b4b34ac196a0bca648f7e41f7dcc4fd9acc4b1d49f4c11e8
SSDEEP 768:gTtwo4/ija+1I/1WUT5fxkOHT3w7o6JDHo1PYNavQMPW679E1EOyrIoHLOQ99lix:etw5TT5fxVzaDgY4leQ9EGFLh96
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\Rhq0UVuceXoj\msdcsc.exe
Size 106KB
SHA256 832689c1b38970dc45c1fbf11163912e7e3d2d604671d148f17f8c0cd764c0d3
MD5 0d7f77f50f0cc784d882d11fc5191788
SHA1 394812c60caa5f6e2e410ccc4f77c4bdb9b015d1
SHA512 f7fa5dc2bc0cf1a788bf47fa57aafe1ebd66a97221971ddd488b916f5974aeebe34659ed80161dbc4ab393cfacb5a55c2296f465b6cfb29875aba917b9aa6d40
SSDEEP 3072:etw5f/VmDgBgQ2Glh4dkk5oqBeAlyd7Segx85XPhUq5s:etwtVmsWQ2GlhmPoqBeAlyA8YB
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 747KB
SHA256 45ff45415078a431afc3e5478e6c76d71ee422799e2b8c213177ac280c526101
MD5 0ae1d2c27afb555c382b77cb96caf8f1
SHA1 10f63ca28c5ffaab574ec2354b679e3825d7fd72
SHA512 b1a39d8c7f992f45cc6eab632f58cc1429292ca044eb6186cdb621f868d3cd35979ca323029df18eac1e1fadf4173efc8d995a11e5460b8ab37423ac3e86cb1d
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRTtYe3f+Iw86k/9/+EXkknUnV:z0QRWoJEfg0oChGdJQbjPbNW5tYeP+GM
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 219KB
SHA256 b3538f0599f5e14fd892e12a696d12c90f06a0e907b877fe35681b5efdac9149
MD5 fe9f1254d0c052b14a4145c5dd6ad90c
SHA1 c95ad6e09d8cb6196997d9340ee1f264c161fa7d
SHA512 1c1e96c4fde95793f927209880dfb96d450c9a918af60e5bb8f62e02112811e8f916b90d13b349104be2f83fd1c1734b3b140dc2800b4bf126c3aa63e6039878
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5GB:ek0QVlhmPojAPTMEsUTg0oCh4
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 465KB
SHA256 fde66bf7e4c41391ab5655ee5b4c5115b43d06e4a2b3bc8d7b27e410a0eaaac6
MD5 9f4561a06bf8c3924eb34e9d205f9f76
SHA1 4b7af248ee42184524c251884d579a713cba4252
SHA512 819d17229c409ac44146e96bd5b11e5c61b62ee84cf158728e5102e2558caf6232e26fa5750ebaaea7680cf519e7acc4989faaecdf2e6bf73e214d12f66d3296
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRTtYe3n:z0QRWoJEfg0oChGdJQbjPbNW5tYeX
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\Rhq0UVuceXoj\msdcsc.exe
Size 310KB
SHA256 92abaeb712285d28d1af667e7d333082e6e220219478b07368ae188320c7f112
MD5 f63b952f1c660b6bc32330a7a1fb3545
SHA1 47db7673cf3937d129f43be8ac2d3aa0e22a851e
SHA512 419b2f9a3f72dafbd35b0dcfd620e52d8279089cea690648c8401cac7907c2b6d7bf21f9aaf3374ad86817d40625b5b47827fb1007b8cd261fac03039aef309a
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47/s3L2JTjc:ek0QVlhmPojAPTMEsUTg0oChO/Q2Jbs7
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\msdcsc.exe
Size 351KB
SHA256 14c70487907753c45e36ccd5858b2a6e1488205874ac2106494e5b6a17c658a3
MD5 bd0d62e63225a30bdc7df93c0905aca2
SHA1 fe8d18cf73b60820a9c95aa642d97beefb7858e8
SHA512 7a12143e887cb9d719da0eed5fc896b926bb88bd044a004d196c95f4c29ee3f5e6ca67a0c5aa94fd49e7ad39add8421aad70ee5653b4b37f842128c5cc2ca8cd
SSDEEP 6144:etwtVmsWQ2GlhmPoqBeAlyA8YMBiYvU7/X3/y5kGC9q0oOZh5G+3V47/s3L2JTjw:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsL
MD5 SHA1 SHA512 SSDEEP

Submit Download

msdcsc.exe

Path \Windows\SysWOW64\MSDCSC\msdcsc.exe
Size 576KB
SHA256 563e1e6775036f8e2b32722be968bbdfaad2e85c6bfd0b8e7db7c960a501e2a3
MD5 db2e70523351f7d16e600f7c6e5a55bd
SHA1 849c7ae76d41f8470918258ac862d90c6872f5f1
SHA512 fadb46def712a4fab8a76ac40a79c0d45bd973b1af0dad99740da0a0e93cdb0f6dadc3e95b6d463044b99375577b5d10bee8b1af572dd4a546a0660c99050bad
SSDEEP 12288:ek0QVlhmPojAPTMEsUTg0oChO/Q2JbsbjPbN5qhRTtYe3f+Iw86k/l:z0QRWoJEfg0oChGdJQbjPbNW5tYeP+G1
MD5 SHA1 SHA512 SSDEEP

Submit Download

memory/792-124-0x0000000000250000-0x0000000000251000-memory.dmp

Download

memory/792-136-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/960-204-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/960-205-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1036-99-0x00000000004D0000-0x00000000004D1000-memory.dmp

Download

memory/1036-112-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1056-210-0x0000000000290000-0x0000000000291000-memory.dmp

Download

memory/1056-211-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1324-97-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1324-85-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/1684-178-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1684-174-0x00000000003C0000-0x00000000003C1000-memory.dmp

Download

memory/1748-123-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1748-119-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/1876-141-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1876-137-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/1976-38-0x0000000000020000-0x0000000000028000-memory.dmp

Download

memory/1976-40-0x000007FEF58A0000-0x000007FEF628C000-memory.dmp

Download

memory/1976-41-0x000007FEF58A0000-0x000007FEF628C000-memory.dmp

Download

memory/1984-147-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/1984-143-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2032-117-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2032-113-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2060-206-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2060-172-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2060-207-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2060-168-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2200-212-0x00000000002C0000-0x00000000002C1000-memory.dmp

Download

memory/2200-213-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2248-182-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2248-179-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2420-154-0x0000000000300000-0x0000000000301000-memory.dmp

Download

memory/2420-148-0x0000000000400000-0x0000000000508000-memory.dmp

Download

memory/2420-62-0x0000000000400000-0x0000000000508000-memory.dmp

Download

memory/2420-250-0x0000000000400000-0x0000000000508000-memory.dmp

Download

memory/2420-63-0x0000000000300000-0x0000000000301000-memory.dmp

Download

memory/2464-202-0x0000000000290000-0x0000000000291000-memory.dmp

Download

memory/2464-203-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2564-71-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2564-83-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2588-201-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2680-158-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2680-166-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2692-184-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2692-195-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2728-199-0x00000000002C0000-0x00000000002C1000-memory.dmp

Download

memory/2728-200-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2752-261-0x00000000001D0000-0x00000000001D1000-memory.dmp

Download

memory/2752-208-0x00000000001D0000-0x00000000001D1000-memory.dmp

Download

memory/2752-209-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2804-61-0x0000000003110000-0x0000000003218000-memory.dmp

Download

memory/2808-224-0x0000000000250000-0x0000000000251000-memory.dmp

Download

memory/2808-225-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2836-339-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2836-223-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2836-214-0x00000000003C0000-0x00000000003C1000-memory.dmp

Download

memory/2836-348-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2852-149-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/2852-152-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2880-198-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/2880-197-0x0000000000250000-0x0000000000251000-memory.dmp

Download

memory/2920-44-0x0000000000110000-0x0000000000118000-memory.dmp

Download

memory/2920-45-0x000007FEF58A0000-0x000007FEF628C000-memory.dmp

Download

memory/3080-335-0x0000000000300000-0x0000000000301000-memory.dmp

Download

memory/3080-336-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3180-333-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3184-275-0x00000000003C0000-0x00000000003C1000-memory.dmp

Download

memory/3184-284-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3192-235-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3192-226-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/3212-286-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3212-285-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/3216-349-0x0000000000290000-0x0000000000291000-memory.dmp

Download

memory/3216-350-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3288-237-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3288-236-0x0000000000250000-0x0000000000251000-memory.dmp

Download

memory/3336-287-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/3336-288-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3388-312-0x00000000001D0000-0x00000000001D1000-memory.dmp

Download

memory/3388-313-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3448-238-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/3448-247-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3448-289-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3496-337-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/3496-338-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3520-249-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3520-248-0x0000000000250000-0x0000000000251000-memory.dmp

Download

memory/3648-322-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3648-254-0x00000000002C0000-0x00000000002C1000-memory.dmp

Download

memory/3648-260-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3652-351-0x00000000002C0000-0x00000000002C1000-memory.dmp

Download

memory/3652-360-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3676-334-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3732-262-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3792-299-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3792-290-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/3808-300-0x0000000000260000-0x0000000000261000-memory.dmp

Download

memory/3808-301-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3912-323-0x00000000001D0000-0x00000000001D1000-memory.dmp

Download

memory/3912-324-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3924-272-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/3924-263-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/4004-274-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4004-273-0x00000000003C0000-0x00000000003C1000-memory.dmp

Download

memory/4064-302-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/4064-311-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4112-361-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4120-400-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4152-404-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4256-362-0x00000000003E0000-0x00000000003E1000-memory.dmp

Download

memory/4256-371-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4336-372-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4408-373-0x00000000003B0000-0x00000000003B1000-memory.dmp

Download

memory/4408-374-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4504-414-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4504-405-0x0000000000350000-0x0000000000351000-memory.dmp

Download

memory/4596-375-0x0000000000240000-0x0000000000241000-memory.dmp

Download

memory/4596-384-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4628-416-0x00000000001D0000-0x00000000001D1000-memory.dmp

Download

memory/4672-386-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4672-385-0x00000000003D0000-0x00000000003D1000-memory.dmp

Download

memory/4832-387-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4840-418-0x0000000000290000-0x0000000000291000-memory.dmp

Download

memory/4908-390-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/4908-388-0x00000000002D0000-0x00000000002D1000-memory.dmp

Download

memory/5056-399-0x0000000000400000-0x00000000004C8000-memory.dmp

Download

memory/5056-389-0x0000000000250000-0x0000000000251000-memory.dmp

Download

Analysis

Sharing

General

Malware Config

Extracted

Signatures

Processes

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads