5504c20f7875172aac0f018ed73f2abe0443bffce5d1da10f6692c9be3932cbc

Analysis

max time kernel
150s
max time network
154s
platform
windows10-2004_x64
resource
win10v2004-20240412-en
resource tags

arch:x64arch:x86image:win10v2004-20240412-enlocale:en-usos:windows10-2004-x64system
submitted
17/04/2024, 08:05

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target

f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe
Size

6KB
MD5

f555376d1ba616398abf591172c7b18c
SHA1

0f451c3089b4b754530b08147aece7a5e58f2888
SHA256

5504c20f7875172aac0f018ed73f2abe0443bffce5d1da10f6692c9be3932cbc
SHA512

c43d713d0df5984a097e636895d5c9e88415a30d380237b1da8197b70328732d8998190358c57b7bc8f4c5384aff83829dfc0a2a45171be631fbf1191bf3ce63
SSDEEP

192:nnxZ+Z/mr9pSWsllVdWOVv00Dg8KblbyL+D:WhmbilVdJVvrDg88byL6

Score

7^/10

persistence

Malware Config

Signatures

Executes dropped EXE 1 IoCs

pid	Process
4716	USBWorm.exe

Adds Run key to start application 2 TTPs 64 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\TestUSBWorm = "C:\\Windows\\system32\\USBWorm.exe"	reg.exe

Drops autorun.inf file 1 TTPs 4 IoCs

Malware can abuse Windows Autorun to spread further via attached volumes.

Replication Through Removable Media

T1091

description	ioc	Process
File created	C:\AutoRun.inf	USBWorm.exe
File opened for modification	C:\AutoRun.inf	USBWorm.exe
File created	F:\AutoRun.inf	USBWorm.exe
File opened for modification	F:\AutoRun.inf	USBWorm.exe

Drops file in System32 directory 2 IoCs

description	ioc	Process
File opened for modification	C:\Windows\SysWOW64\USBWorm.exe	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe
File created	C:\Windows\SysWOW64\USBWorm.exe	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe

Modifies Internet Explorer settings 1 TTPs 4 IoCs

adware spyware

Modify Registry

T1112

description	ioc	Process
Set value (int)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000\SOFTWARE\Microsoft\Internet Explorer\Toolbar\Locked = "1"	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000\SOFTWARE\Microsoft\Internet Explorer\Toolbar\ShellBrowser	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000\SOFTWARE\Microsoft\Internet Explorer\Toolbar\ShellBrowser\ITBar7Layout = 13000000000000000000000020000000100000000000000001000000010700005e01000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000\Software\Microsoft\Internet Explorer\Toolbar	explorer.exe

Modifies registry class 20 IoCs

description	ioc	Process
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\NodeSlots	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0 = 14001f50e04fd020ea3a6910a2d808002b30309d0000	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\MRUListEx = 00000000ffffffff	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\MRUListEx = ffffffff	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\NodeSlots = 02	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\Shell	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags	explorer.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\Shell\SniffedFolderType = "Generic"	explorer.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\NodeSlot = "1"	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1	explorer.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\CLSID\{4336a54d-038b-4685-ab02-99bb52d3fb8b}\Instance\	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\MRUListEx = ffffffff	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0 = 19002f433a5c000000000000000000000000000000000000000000	explorer.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\MRUListEx = 00000000ffffffff	explorer.exe
Key created	\REGISTRY\USER\S-1-5-21-3198953144-1466794930-246379610-1000_Classes\CLSID\{018D5C66-4533-4307-9B53-224DE2ED1FE6}\Instance\	explorer.exe

Suspicious behavior: AddClipboardFormatListener 1 IoCs

pid	Process
3532	explorer.exe

Suspicious use of SetWindowsHookEx 2 IoCs

pid	Process
3532	explorer.exe
3532	explorer.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 2976 wrote to memory of 1672	2976	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe	85
PID 2976 wrote to memory of 1672	2976	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe	85
PID 2976 wrote to memory of 1672	2976	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe	85
PID 2976 wrote to memory of 4716	2976	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe	86
PID 2976 wrote to memory of 4716	2976	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe	86
PID 2976 wrote to memory of 4716	2976	f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe	86
PID 4716 wrote to memory of 1636	4716	USBWorm.exe	88
PID 4716 wrote to memory of 1636	4716	USBWorm.exe	88
PID 4716 wrote to memory of 1636	4716	USBWorm.exe	88
PID 1672 wrote to memory of 5080	1672	cmd.exe	89
PID 1672 wrote to memory of 5080	1672	cmd.exe	89
PID 1672 wrote to memory of 5080	1672	cmd.exe	89
PID 4716 wrote to memory of 4916	4716	USBWorm.exe	90
PID 4716 wrote to memory of 4916	4716	USBWorm.exe	90
PID 4716 wrote to memory of 4916	4716	USBWorm.exe	90
PID 4916 wrote to memory of 5044	4916	cmd.exe	94
PID 4916 wrote to memory of 5044	4916	cmd.exe	94
PID 4916 wrote to memory of 5044	4916	cmd.exe	94
PID 4716 wrote to memory of 3900	4716	USBWorm.exe	96
PID 4716 wrote to memory of 3900	4716	USBWorm.exe	96
PID 4716 wrote to memory of 3900	4716	USBWorm.exe	96
PID 3900 wrote to memory of 2776	3900	cmd.exe	98
PID 3900 wrote to memory of 2776	3900	cmd.exe	98
PID 3900 wrote to memory of 2776	3900	cmd.exe	98
PID 4716 wrote to memory of 3436	4716	USBWorm.exe	100
PID 4716 wrote to memory of 3436	4716	USBWorm.exe	100
PID 4716 wrote to memory of 3436	4716	USBWorm.exe	100
PID 3436 wrote to memory of 1820	3436	cmd.exe	102
PID 3436 wrote to memory of 1820	3436	cmd.exe	102
PID 3436 wrote to memory of 1820	3436	cmd.exe	102
PID 4716 wrote to memory of 1920	4716	USBWorm.exe	104
PID 4716 wrote to memory of 1920	4716	USBWorm.exe	104
PID 4716 wrote to memory of 1920	4716	USBWorm.exe	104
PID 1920 wrote to memory of 1304	1920	cmd.exe	106
PID 1920 wrote to memory of 1304	1920	cmd.exe	106
PID 1920 wrote to memory of 1304	1920	cmd.exe	106
PID 4716 wrote to memory of 376	4716	USBWorm.exe	107
PID 4716 wrote to memory of 376	4716	USBWorm.exe	107
PID 4716 wrote to memory of 376	4716	USBWorm.exe	107
PID 376 wrote to memory of 1052	376	cmd.exe	110
PID 376 wrote to memory of 1052	376	cmd.exe	110
PID 376 wrote to memory of 1052	376	cmd.exe	110
PID 4716 wrote to memory of 2508	4716	USBWorm.exe	111
PID 4716 wrote to memory of 2508	4716	USBWorm.exe	111
PID 4716 wrote to memory of 2508	4716	USBWorm.exe	111
PID 2508 wrote to memory of 2400	2508	cmd.exe	113
PID 2508 wrote to memory of 2400	2508	cmd.exe	113
PID 2508 wrote to memory of 2400	2508	cmd.exe	113
PID 4716 wrote to memory of 4592	4716	USBWorm.exe	114
PID 4716 wrote to memory of 4592	4716	USBWorm.exe	114
PID 4716 wrote to memory of 4592	4716	USBWorm.exe	114
PID 4592 wrote to memory of 5096	4592	cmd.exe	116
PID 4592 wrote to memory of 5096	4592	cmd.exe	116
PID 4592 wrote to memory of 5096	4592	cmd.exe	116
PID 4716 wrote to memory of 544	4716	USBWorm.exe	117
PID 4716 wrote to memory of 544	4716	USBWorm.exe	117
PID 4716 wrote to memory of 544	4716	USBWorm.exe	117
PID 544 wrote to memory of 3404	544	cmd.exe	119
PID 544 wrote to memory of 3404	544	cmd.exe	119
PID 544 wrote to memory of 3404	544	cmd.exe	119
PID 4716 wrote to memory of 2456	4716	USBWorm.exe	120
PID 4716 wrote to memory of 2456	4716	USBWorm.exe	120
PID 4716 wrote to memory of 2456	4716	USBWorm.exe	120
PID 2456 wrote to memory of 408	2456	cmd.exe	122

C:\Users\Admin\AppData\Local\Temp\f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe
"C:\Users\Admin\AppData\Local\Temp\f555376d1ba616398abf591172c7b18c_JaffaCakes118.exe"
1⤵
- Drops file in System32 directory
- Suspicious use of WriteProcessMemory
PID:2976
- C:\Windows\SysWOW64\cmd.exe
  C:\Windows\system32\cmd.exe /c bat.bat
  2⤵
  - Suspicious use of WriteProcessMemory
  PID:1672
- - C:\Windows\SysWOW64\reg.exe
    reg import key.reg
    3⤵
    PID:5080
- C:\Windows\SysWOW64\USBWorm.exe
  C:\Windows\system32\USBWorm.exe
  2⤵
  - Executes dropped EXE
  - Drops autorun.inf file
  - Suspicious use of WriteProcessMemory
  PID:4716
- - C:\Windows\SysWOW64\explorer.exe
    explorer C:\
    3⤵
    PID:1636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4916
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5044
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:3900
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2776
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:3436
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1820
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:1920
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1304
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:376
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1052
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:2508
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4592
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5096
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:544
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3404
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:2456
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:408
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2892
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3972
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3576
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3668
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2520
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3032
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4164
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3508
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4044
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4544
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1388
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3592
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3060
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3784
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3552
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5040
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3584
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5012
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:408
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4548
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4392
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3692
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5100
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2436
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3828
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2476
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2448
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4656
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3716
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3152
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5116
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4164
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4536
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2728
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4328
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:704
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1088
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:660
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2880
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4608
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2068
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3944
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3584
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1328
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5048
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4068
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3692
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1240
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4636
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4056
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4404
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1772
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2976
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3724
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4656
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4048
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2924
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4220
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2024
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4836
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3708
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3720
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:920
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4788
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3768
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4728
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2244
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:688
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1748
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4804
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3704
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2124
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4556
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1840
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2424
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4636
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3852
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4612
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1564
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1200
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:832
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3900
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1612
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1820
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4856
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:404
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1304
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1276
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4724
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3060
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:376
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2932
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3224
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2936
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5096
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2076
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2068
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2456
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4420
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5016
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1476
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4292
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2892
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3696
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4612
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3716
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3724
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3516
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3452
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2420
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1612
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3436
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2728
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4380
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4328
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1700
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3864
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3592
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4592
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1676
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2832
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4804
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4900
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3784
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3744
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3296
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2424
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4444
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4144
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3852
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1664
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1620
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:948
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4388
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3516
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4872
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4372
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1892
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1784
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3204
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4328
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1204
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2244
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:64
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3592
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4064
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2144
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:544
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1520
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3404
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3856
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1840
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2436
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3828
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4612
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1620
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:744
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2676
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1452
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4048
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4872
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4168
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3236
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4596
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4600
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:116
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:996
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1276
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3816
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2400
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4032
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1508
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1052
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4824
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2788
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4564
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3744
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:840
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4384
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2156
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4144
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3228
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1664
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3032
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2656
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1200
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2476
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4884
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3040
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4048
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:8
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4596
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:756
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:996
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2988
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3816
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4976
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1748
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3288
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2472
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2664
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2936
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5096
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3744
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1780
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3404
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4036
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3560
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4292
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2892
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1888
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2520
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2200
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:856
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1220
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4760
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2356
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:236
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1820
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2984
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3604
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3152
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2852
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4952
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:988
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3224
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3160
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4824
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4508
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2664
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:976
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3916
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4268
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2220
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4384
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4868
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3240
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3956
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4636
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2892
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4424
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1528
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3640
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:856
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5116
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3320
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2420
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2624
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1820
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1312
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4496
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1448
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:116
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1304
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4544
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:740
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4592
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2760
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2612
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2880
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2044
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4512
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4300
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3920
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2472
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2944
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1520
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2416
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:852
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5084
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4456
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3452
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4144
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4636
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4060
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4732
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4392
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4436
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3096
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:752
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4372
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:920
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1312
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1448
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1244
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1460
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3680
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4668
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3208
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2760
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3816
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3160
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5000
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4508
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2144
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4620
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2072
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4268
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2068
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1140
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2124
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4036
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4476
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2544
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4560
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3240
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4076
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4060
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2020
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1664
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4320
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3032
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:232
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4884
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4072
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3236
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4168
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3536
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1900
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1920
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3076
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2608
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1468
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1304
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1784
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:112
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4028
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4524
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3256
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5004
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4108
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:660
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1748
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4128
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2268
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4628
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2944
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:544
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:452
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3688
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1020
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:896
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2556
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1548
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1884
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2912
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1196
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4932
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1320
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1132
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:948
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4388
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2924
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4884
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4984
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3368
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:404
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2356
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3244
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1920
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:844
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2608
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4316
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2308
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2888
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4724
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1396
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:996
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4980
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2244
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3288
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1748
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3832
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2268
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4900
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2944
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4040
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:452
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2456
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3792
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1192
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:408
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:440
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2972
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1196
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4440
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2892
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2424
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3692
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3096
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2256
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1392
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5100
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3536
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2024
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4136
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2012
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2852
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2608
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1972
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2308
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3208
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4724
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3816
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:996
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2028
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4232
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4124
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3288
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3960
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1880
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4080
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4900
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3916
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4040
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2040
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2456
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3056
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4868
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4916
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:440
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2976
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2972
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4444
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1688
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2488
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:836
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3032
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3692
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4580
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1892
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2520
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:404
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2572
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2624
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2516
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1468
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1764
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2852
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2392
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1812
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2952
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:3552
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4032
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4748
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:448
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4088
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4064
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5032
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4576
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1676
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:2472
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1332
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:5060
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2968
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3972
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4348
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2016
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2060
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4916
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4424
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1196
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4392
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1320
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1636
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:4436
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4760
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1620
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2604
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3724
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1612
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:752
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1348
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4788
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2516
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:844
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1088
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:1408
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2392
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2748
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2952
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3132
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4728
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:3224
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4736
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4980
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:184
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4936
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:5096
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:624
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2268
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1680
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2944
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:4040
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2220
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1772
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2768
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1192
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4772
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:1884
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:4204
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      Adds Run key to start application
      PID:3956
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:1196
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:2460
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c bat.bat
    3⤵
    PID:2316
  - - C:\Windows\SysWOW64\reg.exe
      reg import key.reg
      4⤵
      PID:836

C:\Windows\explorer.exe
C:\Windows\explorer.exe /factory,{75dff2b7-6936-4c06-a8bb-676a7b00b24b} -Embedding
1⤵
- Modifies Internet Explorer settings
- Modifies registry class
- Suspicious behavior: AddClipboardFormatListener
- Suspicious use of SetWindowsHookEx
PID:3532

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Replication Through Removable Media

T1091

Execution

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Replication Through Removable Media

T1091

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Temp\bat.bat

Filesize
47B

MD5
3f73e850701f2426bad7b8bea0481018

SHA1
9499fa5bdb83f2eaf5d63f619c1662dee24bf1a7

SHA256
9c26df4e24dd3e95a5789f20890b9f6e3f36b4bb6ae516ffe932c4b3d082a189

SHA512
8a5c6171329890edd6a92b70bc82c1ccc35dfb3be40f73a62c0ae43b7a969785b3b8f71f6495e35d23ddb3856a7791c041b75bcfc3dc312775cd56faedeb75eb

Download Submit
C:\Users\Admin\AppData\Local\Temp\key.reg

Filesize
128B

MD5
50af90903ae80bf4b1a464d13af52160

SHA1
d4578c7f6f80a752fa8cec8f532631ec4c638675

SHA256
fe652c72c6ea2151a98d69a2c8bde2ae18e94a06ed640c0280be1ce3428f296b

SHA512
8d29de335b0ba6d50ca998c3359839c63b11f66201ed9726d4c8e9a9a60f9145f6817065729355ba848d6a68f8963ea77c002313be5fefbf76c8b0151d2f6898

Download Submit
C:\Windows\SysWOW64\USBWorm.exe

Filesize
6KB

MD5
f555376d1ba616398abf591172c7b18c

SHA1
0f451c3089b4b754530b08147aece7a5e58f2888

SHA256
5504c20f7875172aac0f018ed73f2abe0443bffce5d1da10f6692c9be3932cbc

SHA512
c43d713d0df5984a097e636895d5c9e88415a30d380237b1da8197b70328732d8998190358c57b7bc8f4c5384aff83829dfc0a2a45171be631fbf1191bf3ce63

Download Submit
memory/2976-0-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/2976-14-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-457-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-848-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-361-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-156-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-568-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-664-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-757-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-270-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-964-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-1055-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-1146-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-1242-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-1353-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download
memory/4716-1449-0x0000000000400000-0x000000000040C000-memory.dmp

Filesize
48KB

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads