Analysis
-
max time kernel
121s -
max time network
169s -
platform
windows7_x64 -
resource
win7-20240221-en -
resource tags
arch:x64arch:x86image:win7-20240221-enlocale:en-usos:windows7-x64system -
submitted
27-03-2024 01:05
Static task
static1
Behavioral task
behavioral1
Sample
RECHNUNGEN MIT IBAN.exe
Resource
win7-20240221-en
General
-
Target
RECHNUNGEN MIT IBAN.exe
-
Size
683KB
-
MD5
62737dc772d7ab223bbc1785a0b9e540
-
SHA1
b53bab1a6c131032d28e4259d05be33634af62ad
-
SHA256
79216525955a188f2a55f94514cfe9b9c0c1ce1e116d930cd9c5600dfb46ddfd
-
SHA512
8ddb107301aa5c05aa298a5def90c5fac642c26b441d83f832dd4b7cb4a8e81d59df8fa174160326532d43521425fae25f87ad302ac5f3212b434dec2c8ab600
-
SSDEEP
12288:3AoO3myQx0xjsWjRr0xRXrTXF2O7+7Yte+iRR3TuK7ktBH/2Yba04x:3Smx0TRr4XHF2tU8337kt0v04
Malware Config
Extracted
nanocore
1.2.2.0
194.147.140.158:2323
a988db37-80f7-4d81-b262-bd14326766b3
-
activate_away_mode
true
-
backup_connection_host
194.147.140.158
-
backup_dns_server
8.8.4.4
-
buffer_size
65535
-
build_time
2023-12-23T03:20:22.055277036Z
-
bypass_user_account_control
false
-
bypass_user_account_control_data
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
-
clear_access_control
true
-
clear_zone_identifier
false
-
connect_delay
4000
-
connection_port
2323
-
default_group
image
-
enable_debug_mode
true
-
gc_threshold
1.048576e+07
-
keep_alive_timeout
30000
-
keyboard_logging
false
-
lan_timeout
2500
-
max_packet_size
1.048576e+07
-
mutex
a988db37-80f7-4d81-b262-bd14326766b3
-
mutex_timeout
5000
-
prevent_system_sleep
false
-
primary_connection_host
194.147.140.158
-
primary_dns_server
8.8.8.8
-
request_elevation
true
-
restart_delay
5000
-
run_delay
0
-
run_on_startup
false
-
set_critical_process
true
-
timeout_interval
5000
-
use_custom_dns_server
false
-
version
1.2.2.0
-
wan_timeout
8000
Signatures
-
NirSoft MailPassView 4 IoCs
Password recovery tool for various email clients
Processes:
resource yara_rule behavioral1/memory/2320-89-0x0000000000400000-0x000000000041B000-memory.dmp MailPassView behavioral1/memory/2320-91-0x0000000000400000-0x000000000041B000-memory.dmp MailPassView behavioral1/memory/2320-92-0x0000000000400000-0x000000000041B000-memory.dmp MailPassView behavioral1/memory/2320-94-0x0000000000400000-0x000000000041B000-memory.dmp MailPassView -
Nirsoft 4 IoCs
Processes:
resource yara_rule behavioral1/memory/2320-89-0x0000000000400000-0x000000000041B000-memory.dmp Nirsoft behavioral1/memory/2320-91-0x0000000000400000-0x000000000041B000-memory.dmp Nirsoft behavioral1/memory/2320-92-0x0000000000400000-0x000000000041B000-memory.dmp Nirsoft behavioral1/memory/2320-94-0x0000000000400000-0x000000000041B000-memory.dmp Nirsoft -
Uses the VBS compiler for execution 1 TTPs
-
Accesses Microsoft Outlook accounts 1 TTPs 1 IoCs
Processes:
vbc.exedescription ioc process Key opened \REGISTRY\USER\S-1-5-21-3787592910-3720486031-2929222812-1000\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts vbc.exe -
Adds Run key to start application 2 TTPs 1 IoCs
Processes:
RECHNUNGEN MIT IBAN.exedescription ioc process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\DSL Service = "C:\\Program Files (x86)\\DSL Service\\dslsv.exe" RECHNUNGEN MIT IBAN.exe -
Processes:
RECHNUNGEN MIT IBAN.exedescription ioc process Key value queried \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLUA RECHNUNGEN MIT IBAN.exe -
Suspicious use of SetThreadContext 3 IoCs
Processes:
RECHNUNGEN MIT IBAN.exeRECHNUNGEN MIT IBAN.exedescription pid process target process PID 1232 set thread context of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 2724 set thread context of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 set thread context of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe -
Drops file in Program Files directory 2 IoCs
Processes:
RECHNUNGEN MIT IBAN.exedescription ioc process File opened for modification C:\Program Files (x86)\DSL Service\dslsv.exe RECHNUNGEN MIT IBAN.exe File created C:\Program Files (x86)\DSL Service\dslsv.exe RECHNUNGEN MIT IBAN.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Creates scheduled task(s) 1 TTPs 3 IoCs
Schtasks is often used by malware for persistence or to perform post-infection execution.
Processes:
schtasks.exeschtasks.exeschtasks.exepid process 2224 schtasks.exe 1984 schtasks.exe 684 schtasks.exe -
Suspicious behavior: EnumeratesProcesses 15 IoCs
Processes:
RECHNUNGEN MIT IBAN.exepowershell.exepowershell.exeRECHNUNGEN MIT IBAN.exepid process 1232 RECHNUNGEN MIT IBAN.exe 1232 RECHNUNGEN MIT IBAN.exe 1232 RECHNUNGEN MIT IBAN.exe 1232 RECHNUNGEN MIT IBAN.exe 1232 RECHNUNGEN MIT IBAN.exe 1232 RECHNUNGEN MIT IBAN.exe 1232 RECHNUNGEN MIT IBAN.exe 2676 powershell.exe 2572 powershell.exe 2724 RECHNUNGEN MIT IBAN.exe 2724 RECHNUNGEN MIT IBAN.exe 2724 RECHNUNGEN MIT IBAN.exe 2724 RECHNUNGEN MIT IBAN.exe 2724 RECHNUNGEN MIT IBAN.exe 2724 RECHNUNGEN MIT IBAN.exe -
Suspicious behavior: GetForegroundWindowSpam 1 IoCs
Processes:
RECHNUNGEN MIT IBAN.exepid process 2724 RECHNUNGEN MIT IBAN.exe -
Suspicious use of AdjustPrivilegeToken 4 IoCs
Processes:
RECHNUNGEN MIT IBAN.exepowershell.exepowershell.exeRECHNUNGEN MIT IBAN.exedescription pid process Token: SeDebugPrivilege 1232 RECHNUNGEN MIT IBAN.exe Token: SeDebugPrivilege 2676 powershell.exe Token: SeDebugPrivilege 2572 powershell.exe Token: SeDebugPrivilege 2724 RECHNUNGEN MIT IBAN.exe -
Suspicious use of WriteProcessMemory 49 IoCs
Processes:
RECHNUNGEN MIT IBAN.exeRECHNUNGEN MIT IBAN.exedescription pid process target process PID 1232 wrote to memory of 2572 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2572 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2572 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2572 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2676 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2676 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2676 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2676 1232 RECHNUNGEN MIT IBAN.exe powershell.exe PID 1232 wrote to memory of 2224 1232 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 1232 wrote to memory of 2224 1232 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 1232 wrote to memory of 2224 1232 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 1232 wrote to memory of 2224 1232 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 1232 wrote to memory of 2724 1232 RECHNUNGEN MIT IBAN.exe RECHNUNGEN MIT IBAN.exe PID 2724 wrote to memory of 1984 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 1984 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 1984 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 1984 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 684 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 684 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 684 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 684 2724 RECHNUNGEN MIT IBAN.exe schtasks.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 2320 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe PID 2724 wrote to memory of 940 2724 RECHNUNGEN MIT IBAN.exe vbc.exe
Processes
-
C:\Users\Admin\AppData\Local\Temp\RECHNUNGEN MIT IBAN.exe"C:\Users\Admin\AppData\Local\Temp\RECHNUNGEN MIT IBAN.exe"1⤵
- Suspicious use of SetThreadContext
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "C:\Users\Admin\AppData\Local\Temp\RECHNUNGEN MIT IBAN.exe"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "C:\Users\Admin\AppData\Roaming\QSiydtxApqxOny.exe"2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\SysWOW64\schtasks.exe"C:\Windows\System32\schtasks.exe" /Create /TN "Updates\QSiydtxApqxOny" /XML "C:\Users\Admin\AppData\Local\Temp\tmpD826.tmp"2⤵
- Creates scheduled task(s)
-
C:\Users\Admin\AppData\Local\Temp\RECHNUNGEN MIT IBAN.exe"C:\Users\Admin\AppData\Local\Temp\RECHNUNGEN MIT IBAN.exe"2⤵
- Adds Run key to start application
- Checks whether UAC is enabled
- Suspicious use of SetThreadContext
- Drops file in Program Files directory
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\SysWOW64\schtasks.exe"schtasks.exe" /create /f /tn "DSL Service" /xml "C:\Users\Admin\AppData\Local\Temp\tmpDF48.tmp"3⤵
- Creates scheduled task(s)
-
C:\Windows\SysWOW64\schtasks.exe"schtasks.exe" /create /f /tn "DSL Service Task" /xml "C:\Users\Admin\AppData\Local\Temp\tmpE5AF.tmp"3⤵
- Creates scheduled task(s)
-
\??\c:\windows\microsoft.net\framework\v4.0.30319\vbc.exe"c:\windows\microsoft.net\framework\v4.0.30319\vbc.exe" /shtml "C:\Users\Admin\AppData\Local\Temp\njf4lezk.11d"3⤵
- Accesses Microsoft Outlook accounts
-
\??\c:\windows\microsoft.net\framework\v4.0.30319\vbc.exe"c:\windows\microsoft.net\framework\v4.0.30319\vbc.exe" /shtml "C:\Users\Admin\AppData\Local\Temp\etjkklas.ypu"3⤵
Network
MITRE ATT&CK Matrix ATT&CK v13
Replay Monitor
Loading Replay Monitor...
Downloads
-
C:\Users\Admin\AppData\Local\Temp\etjkklas.ypuFilesize
926B
MD5919e671c3d5959a91ef2d4c377d2b2ff
SHA1b1202b19512bbd390d3d5164792501c87bb42c41
SHA256d2e079df7cf6388315368ba79bf099ad2ff5428af51bf5abf2d99a2d7c5eb651
SHA512f3298256372beab8efe81b2e08d3b3869281f625de1ee13189c6b95eb2134d223df6f64cc9e490dd6b52a53aa936adc17bd5dfe4e50ee0fe420f3ebae276381c
-
C:\Users\Admin\AppData\Local\Temp\njf4lezk.11dFilesize
523B
MD569b2a2e17e78d24abee9f1de2f04811a
SHA1d19c109704e83876ab3527457f9418a7d053aa33
SHA2561b1491f21e64681f8fdc27b2265e2274fb7813eecb6ad8b446d2e431f6300edd
SHA512eb7269979bc4187520636fe3d7b3089f2c7c02e81c4ce2a738ade680f72c61c67fe9577eeaa09d3ca93f34b60be8c434d2cfbfed6566e783f6611279f056150f
-
C:\Users\Admin\AppData\Local\Temp\tmpD826.tmpFilesize
1KB
MD50d4ed111d4f62264c53f96fae26706e9
SHA1457d63e2336a7b4348a068039d79e55acaf5ae52
SHA2563f7bc0e46ad87fa91de253adf1767467b953b482ec154e59c5363a63d1b8b2d6
SHA512b299ae8460fce5ba94e83207a33ce465032c18830a7a199e1a7e3cbc4fcba8807f5e3ce2be47f6871f36524b1ba6cd953032bcb718d5659aef53407e18c26ba3
-
C:\Users\Admin\AppData\Local\Temp\tmpDF48.tmpFilesize
1KB
MD5f26a8ddabc8f08262b745c27a7d7d677
SHA17026e58863c9393454116a32a1e68a787a0343b2
SHA25639e8909622f6f0da87f42525aa4b0a648f965df5a15fa16a6ba9475b05fa245f
SHA5122ff198dc05404c1bd0de0ff561d4eb25e3f0034367f0e5098dc760c864fb7c5c86dbae6270cc1f518074bbd39a2f9ce34949c25e0904a1921d36cec185e267cf
-
C:\Users\Admin\AppData\Local\Temp\tmpE5AF.tmpFilesize
1KB
MD5afb71a33ece3758f782f052bbe5da94f
SHA1e69b9070ff52f81fdf01a40f775d021e4b4e71e4
SHA256abd73bfca8458750ee751d4c6c106d54dcf0969592f476acc64ab0d7f2bb1978
SHA51222c45992ca358ca9d4605ac426b65903b11b27db1b9c608739245dc412aa256d0908566626b3cfdafb32fca0809bf46c8824ab98cea7b7662216c915e6ef013f
-
C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\C4B7E3BGPK7Y66BSH9O7.tempFilesize
7KB
MD5b314ab58363110d36d8955ddf79caa82
SHA1e67bb070a826b829d34a820c366c4ac280f5eb56
SHA25696f0c44b89c1a3269b4d315a417c3da26cc222e0f8e9b01f377f2e5b654364f4
SHA512b7cb62220ae7f963f3ca2dff2c99f79c0323562adba497e1c2fa5334c97f8f7ae26ed814e320fc9f42e5a215e476418cde8fbb415c089f60ea220417cd1663c4
-
memory/940-100-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-111-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-96-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-102-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-98-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-103-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-109-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-108-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-106-0x0000000000400000-0x0000000000453000-memory.dmpFilesize
332KB
-
memory/940-105-0x00000000FFFDE000-0x00000000FFFDF000-memory.dmpFilesize
4KB
-
memory/1232-4-0x0000000000460000-0x000000000046C000-memory.dmpFilesize
48KB
-
memory/1232-3-0x0000000000430000-0x0000000000442000-memory.dmpFilesize
72KB
-
memory/1232-33-0x0000000074320000-0x0000000074A0E000-memory.dmpFilesize
6.9MB
-
memory/1232-0-0x0000000074320000-0x0000000074A0E000-memory.dmpFilesize
6.9MB
-
memory/1232-6-0x0000000074320000-0x0000000074A0E000-memory.dmpFilesize
6.9MB
-
memory/1232-5-0x0000000005E50000-0x0000000005ECA000-memory.dmpFilesize
488KB
-
memory/1232-2-0x0000000004D20000-0x0000000004D60000-memory.dmpFilesize
256KB
-
memory/1232-1-0x00000000008B0000-0x0000000000960000-memory.dmpFilesize
704KB
-
memory/1232-22-0x0000000004D20000-0x0000000004D60000-memory.dmpFilesize
256KB
-
memory/2320-84-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-92-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-91-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-78-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-82-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-89-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-86-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-94-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2320-88-0x00000000FFFDE000-0x00000000FFFDF000-memory.dmpFilesize
4KB
-
memory/2320-80-0x0000000000400000-0x000000000041B000-memory.dmpFilesize
108KB
-
memory/2572-34-0x000000006E3B0000-0x000000006E95B000-memory.dmpFilesize
5.7MB
-
memory/2572-56-0x000000006E3B0000-0x000000006E95B000-memory.dmpFilesize
5.7MB
-
memory/2572-39-0x0000000002670000-0x00000000026B0000-memory.dmpFilesize
256KB
-
memory/2572-42-0x000000006E3B0000-0x000000006E95B000-memory.dmpFilesize
5.7MB
-
memory/2572-45-0x0000000002670000-0x00000000026B0000-memory.dmpFilesize
256KB
-
memory/2572-48-0x0000000002670000-0x00000000026B0000-memory.dmpFilesize
256KB
-
memory/2676-37-0x000000006E3B0000-0x000000006E95B000-memory.dmpFilesize
5.7MB
-
memory/2676-41-0x000000006E3B0000-0x000000006E95B000-memory.dmpFilesize
5.7MB
-
memory/2676-44-0x0000000002740000-0x0000000002780000-memory.dmpFilesize
256KB
-
memory/2676-47-0x0000000002740000-0x0000000002780000-memory.dmpFilesize
256KB
-
memory/2676-55-0x000000006E3B0000-0x000000006E95B000-memory.dmpFilesize
5.7MB
-
memory/2724-63-0x0000000001F90000-0x0000000001F9C000-memory.dmpFilesize
48KB
-
memory/2724-43-0x0000000004DF0000-0x0000000004E30000-memory.dmpFilesize
256KB
-
memory/2724-59-0x0000000000620000-0x0000000000632000-memory.dmpFilesize
72KB
-
memory/2724-72-0x0000000004DF0000-0x0000000004E30000-memory.dmpFilesize
256KB
-
memory/2724-77-0x0000000074320000-0x0000000074A0E000-memory.dmpFilesize
6.9MB
-
memory/2724-62-0x0000000000850000-0x0000000000862000-memory.dmpFilesize
72KB
-
memory/2724-54-0x0000000000450000-0x000000000045A000-memory.dmpFilesize
40KB
-
memory/2724-53-0x00000000005B0000-0x00000000005CE000-memory.dmpFilesize
120KB
-
memory/2724-52-0x0000000000440000-0x000000000044A000-memory.dmpFilesize
40KB
-
memory/2724-64-0x0000000001FA0000-0x0000000001FAE000-memory.dmpFilesize
56KB
-
memory/2724-65-0x0000000001FB0000-0x0000000001FC4000-memory.dmpFilesize
80KB
-
memory/2724-46-0x0000000074320000-0x0000000074A0E000-memory.dmpFilesize
6.9MB
-
memory/2724-66-0x0000000001FC0000-0x0000000001FD0000-memory.dmpFilesize
64KB
-
memory/2724-61-0x0000000000840000-0x000000000084E000-memory.dmpFilesize
56KB
-
memory/2724-67-0x00000000020D0000-0x00000000020E4000-memory.dmpFilesize
80KB
-
memory/2724-68-0x0000000002120000-0x000000000212E000-memory.dmpFilesize
56KB
-
memory/2724-70-0x0000000002140000-0x0000000002154000-memory.dmpFilesize
80KB
-
memory/2724-69-0x0000000004700000-0x000000000472E000-memory.dmpFilesize
184KB
-
memory/2724-60-0x0000000000670000-0x000000000068A000-memory.dmpFilesize
104KB
-
memory/2724-32-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2724-30-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2724-28-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2724-26-0x000000007EFDE000-0x000000007EFDF000-memory.dmpFilesize
4KB
-
memory/2724-24-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2724-21-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2724-19-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB
-
memory/2724-20-0x0000000000400000-0x0000000000438000-memory.dmpFilesize
224KB