a0c34d1a767d054a1be27844c8aaaa25072adddccd53c42601e3c73c4a37963e

Analysis

max time kernel
300s
max time network
53s
platform
windows10-2004_x64
resource
win10v2004-20240419-en
resource tags

arch:x64arch:x86image:win10v2004-20240419-enlocale:en-usos:windows10-2004-x64system
submitted
28-04-2024 00:56

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

Seven.exe
Size

139KB
MD5

6503f847c3281ff85b304fc674b62580
SHA1

947536e0741c085f37557b7328b067ef97cb1a61
SHA256

afd7657f941024ef69ca34d1e61e640c5523b19b0fad4dcb1c9f1b01a6fa166f
SHA512

abc3b32a1cd7d0a60dd7354a9fcdff0bc37ec8a20bb2a8258353716d820f62d343c6ba9385ba893be0cca981bbb9ab4e189ccfeee6dd77cc0dc723e975532174
SSDEEP

3072:miS4omp03WQthI/9S3BZi08iRQ1G78IVn27bSfcJd8lto:miS4ompB9S3BZi0a1G78IVhcTct

Score

10^/10

evasion spyware stealer trojan

Malware Config

Signatures

Modifies Windows Defender Real-time Protection settings 3 TTPs 4 IoCs

evasion trojan

Modify Registry

T1112

Windows Service

T1543.003

Disable or Modify Tools

T1562.001

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableScanOnRealtimeEnable = "1"	Seven.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableBehaviorMonitoring = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableOnAccessProtection = "1"	Seven.exe

UAC bypass 3 TTPs 2 IoCs

evasion trojan

Bypass User Account Control

T1548.002

Disable or Modify Tools

T1562.001

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Disables RegEdit via registry modification 2 IoCs

evasion

Processes:

SevenCopy.exeSevenCopy.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = "1"	SevenCopy.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = "1"	SevenCopy.exe

Disables Task Manager via registry modification
evasion

Disables cmd.exe use via registry modification 2 IoCs

evasion

Processes:

SevenCopy.exeSevenCopy.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD = "1"	SevenCopy.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD = "1"	SevenCopy.exe

Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.

Query Registry
T1012

System Information Discovery
T1082

Processes:

Seven.exe

description ioc process

Key value queried \REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000\Control Panel\International\Geo\Nation Seven.exe
Deletes itself 1 IoCs

Processes:

SevenCopy.exe

pid process

3516 SevenCopy.exe
Executes dropped EXE 2 IoCs

Processes:

SevenCopy.exeSevenCopy.exe

pid process

3516 SevenCopy.exe
5660 SevenCopy.exe
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
spyware stealer

Data from Local System
T1005

Credentials In Files
T1552.001
Windows security modification 2 TTPs 1 IoCs
evasion trojan

Disable or Modify Tools
T1562.001

Modify Registry
T1112

Processes:

Seven.exe

description ioc process

Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0" Seven.exe

description	ioc	process
Key value queried	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000\Control Panel\International\Geo\Nation	Seven.exe

pid	process
3516	SevenCopy.exe

pid	process
3516	SevenCopy.exe
5660	SevenCopy.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0"	Seven.exe

Checks whether UAC is enabled 1 TTPs 2 IoCs

evasion trojan

System Information Discovery

T1082

Processes:

Seven.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe

Drops desktop.ini file(s) 7 IoCs

Processes:

SevenCopy.exe

description	ioc	process
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Music\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Pictures\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Pictures\Camera Roll\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Pictures\Saved Pictures\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Documents\desktop.ini	SevenCopy.exe

Drops file in System32 directory 8 IoCs

Processes:

cmd.exeSevenCopy.execmd.execmd.exe

description	ioc	process
File created	C:\Windows\System32\Seven.dll	cmd.exe
File opened for modification	C:\Windows\System32\Seven.dll	cmd.exe
File created	C:\Windows\system32\KeyAndIV.txt	SevenCopy.exe
File created	C:\Windows\system32\EncryptedLog.txt	SevenCopy.exe
File created	C:\Windows\System32\Seven.runtimeconfig.json	cmd.exe
File opened for modification	C:\Windows\System32\Seven.runtimeconfig.json	cmd.exe
File created	C:\Windows\System32\SevenCopy.exe	cmd.exe
File opened for modification	C:\Windows\System32\SevenCopy.exe	cmd.exe

Modifies registry class 49 IoCs

Processes:

mmc.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0\0\NodeSlot = "1"	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\Sort = 000000000000000000000000000000000100000030f125b7ef471a10a5f102608c9eebac0a00000001000000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\ColInfo = 00000000000000000000000000000000fddfdffd100000000000000000000000040000001800000030f125b7ef471a10a5f102608c9eebac0a0000001001000030f125b7ef471a10a5f102608c9eebac0e0000009000000030f125b7ef471a10a5f102608c9eebac040000007800000030f125b7ef471a10a5f102608c9eebac0c00000050000000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\MRUListEx = 00000000ffffffff	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\Shell	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0 = 5c003100000000009358f03a14004d4943524f537e310000440009000400efbe9358b1389c5823072e0000006de10100000001000000000000000000000000000000e8325e004d006900630072006f0073006f0066007400000018000000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0\0 = 9a003100000000009358b338110041444d494e497e310000820009000400efbe9358b3389c5824072e0000009ce30100000001000000000000000000580000000000a02fb800410064006d0069006e00690073007400720061007400690076006500200054006f006f006c007300000040007300680065006c006c00330032002e0064006c006c002c002d0032003100370036003200000018000000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\NodeSlots = 02	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\IconSize = "16"	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0 = 86003100000000009358b338110053544152544d7e3100006e0009000400efbe9358b1389c5824072e00000070e10100000001000000000000000000440000000000fef3bc005300740061007200740020004d0065006e007500000040007300680065006c006c00330032002e0064006c006c002c002d0032003100370038003600000018000000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0\0\MRUListEx = ffffffff	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0 = 14001f44471a0359723fa74489c55595fe6b30ee0000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0 = 56003100000000009c5827071000526f616d696e6700400009000400efbe9358b1389c5827072e0000006ce101000000010000000000000000000000000000005a6f3a0052006f0061006d0069006e006700000016000000	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\MRUListEx = 00000000ffffffff	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0\MRUListEx = 00000000ffffffff	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\MRUListEx = ffffffff	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0 = 82003100000000009c582807110050726f6772616d7300006a0009000400efbe9358b1389c5828072e00000071e101000000010000000000000000004000000000009dff5800500072006f006700720061006d007300000040007300680065006c006c00330032002e0064006c006c002c002d0032003100370038003200000018000000	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\Mode = "4"	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\GroupView = "0"	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\NodeSlots	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\MRUListEx = 00000000ffffffff	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\GroupByDirection = "1"	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0 = 56003100000000009358b538100057696e646f777300400009000400efbe9358b1389c5823072e0000006ee1010000000100000000000000000000000000000042484f00570069006e0064006f0077007300000016000000	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\LogicalViewMode = "1"	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\MRUListEx = 00000000ffffffff	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy	mmc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\GroupByKey:FMTID = "{00000000-0000-0000-0000-000000000000}"	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\GroupByKey:PID = "0"	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\MRUListEx = 00000000ffffffff	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\MRUListEx = 00000000ffffffff	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\MRUListEx = 00000000ffffffff	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0\0\0	mmc.exe
Set value (data)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0 = 820074001c004346534616003100000000009358b138120041707044617461000000741a595e96dfd3488d671733bcee28bac5cdfadf9f6756418947c5c76bc0b67f400009000400efbe9358b1389c5822072e0000006be10100000001000000000000000000000000000000a82148004100700070004400610074006100000042000000	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0	mmc.exe
Key created	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU\0\0\0\0\0\0	mmc.exe
Set value (str)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\Shell\SniffedFolderType = "Generic"	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\FFlags = "1"	mmc.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-3726321484-1950364574-433157660-1000_Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags\1\ComDlgLegacy\{5C4F28B5-F869-4E84-8E60-F11DB97C5CC7}\FFlags = "1092616257"	mmc.exe

Suspicious behavior: EnumeratesProcesses 2 IoCs

Processes:

powershell.exe

pid process

1468 powershell.exe
1468 powershell.exe
Suspicious behavior: GetForegroundWindowSpam 1 IoCs

Processes:

mmc.exe

pid process

4164 mmc.exe

pid	process
1468	powershell.exe
1468	powershell.exe

pid	process
4164	mmc.exe

Suspicious use of AdjustPrivilegeToken 13 IoCs

Processes:

powershell.exemmc.exe

description	pid	process
Token: SeDebugPrivilege	1468	powershell.exe
Token: 33	4164	mmc.exe
Token: SeIncBasePriorityPrivilege	4164	mmc.exe
Token: 33	4164	mmc.exe
Token: SeIncBasePriorityPrivilege	4164	mmc.exe
Token: 33	4164	mmc.exe
Token: SeIncBasePriorityPrivilege	4164	mmc.exe
Token: 33	4164	mmc.exe
Token: SeIncBasePriorityPrivilege	4164	mmc.exe
Token: 33	4164	mmc.exe
Token: SeIncBasePriorityPrivilege	4164	mmc.exe
Token: 33	4164	mmc.exe
Token: SeIncBasePriorityPrivilege	4164	mmc.exe

Suspicious use of SetWindowsHookEx 6 IoCs

Processes:

mmc.exe

pid process

4164 mmc.exe
4164 mmc.exe
4164 mmc.exe
4164 mmc.exe
4164 mmc.exe
4164 mmc.exe

pid	process
4164	mmc.exe
4164	mmc.exe
4164	mmc.exe
4164	mmc.exe
4164	mmc.exe
4164	mmc.exe

Suspicious use of WriteProcessMemory 64 IoCs

Processes:

Seven.exeSevenCopy.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.exe

description	pid	process	target process
PID 4236 wrote to memory of 1468	4236	Seven.exe	powershell.exe
PID 4236 wrote to memory of 1468	4236	Seven.exe	powershell.exe
PID 4236 wrote to memory of 4136	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 4136	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 3984	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 3984	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 2560	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 2560	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 4708	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 4708	4236	Seven.exe	cmd.exe
PID 4236 wrote to memory of 3516	4236	Seven.exe	SevenCopy.exe
PID 4236 wrote to memory of 3516	4236	Seven.exe	SevenCopy.exe
PID 3516 wrote to memory of 1992	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1992	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 2416	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 2416	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 3712	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 3712	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 844	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 844	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 2912	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 2912	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1020	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1020	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4428	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4428	3516	SevenCopy.exe	cmd.exe
PID 1992 wrote to memory of 1152	1992	cmd.exe	choice.exe
PID 1992 wrote to memory of 1152	1992	cmd.exe	choice.exe
PID 3516 wrote to memory of 4796	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4796	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1840	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1840	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4784	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4784	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4472	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 4472	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1648	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1648	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 840	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 840	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 2052	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 2052	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 944	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 944	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1520	3516	SevenCopy.exe	cmd.exe
PID 3516 wrote to memory of 1520	3516	SevenCopy.exe	cmd.exe
PID 844 wrote to memory of 4912	844	cmd.exe	choice.exe
PID 844 wrote to memory of 4912	844	cmd.exe	choice.exe
PID 840 wrote to memory of 3020	840	cmd.exe	choice.exe
PID 840 wrote to memory of 3020	840	cmd.exe	choice.exe
PID 2416 wrote to memory of 4520	2416	cmd.exe	choice.exe
PID 2416 wrote to memory of 4520	2416	cmd.exe	choice.exe
PID 3712 wrote to memory of 3140	3712	cmd.exe	choice.exe
PID 3712 wrote to memory of 3140	3712	cmd.exe	choice.exe
PID 4796 wrote to memory of 4996	4796	cmd.exe	choice.exe
PID 4796 wrote to memory of 4996	4796	cmd.exe	choice.exe
PID 4428 wrote to memory of 60	4428	cmd.exe	choice.exe
PID 4428 wrote to memory of 60	4428	cmd.exe	choice.exe
PID 2912 wrote to memory of 3988	2912	cmd.exe	choice.exe
PID 2912 wrote to memory of 3988	2912	cmd.exe	choice.exe
PID 1020 wrote to memory of 3428	1020	cmd.exe	choice.exe
PID 1020 wrote to memory of 3428	1020	cmd.exe	choice.exe
PID 2052 wrote to memory of 400	2052	cmd.exe	choice.exe
PID 2052 wrote to memory of 400	2052	cmd.exe	choice.exe

System policy modification 1 TTPs 2 IoCs

evasion

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Uses Task Scheduler COM API 1 TTPs
The Task Scheduler COM API can be used to schedule applications to run on boot or at set times.
persistence

Query Registry
T1012

C:\Users\Admin\AppData\Local\Temp\Seven.exe
"C:\Users\Admin\AppData\Local\Temp\Seven.exe"
1⤵
- Modifies Windows Defender Real-time Protection settings
- UAC bypass
- Checks computer location settings
- Windows security modification
- Checks whether UAC is enabled
- Suspicious use of WriteProcessMemory
- System policy modification
PID:4236

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
"powershell" Get-MpPreference -verbose
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:1468

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.exe C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe
2⤵
PID:4136

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.exe C:\Windows\System32\SevenCopy.exe
2⤵
- Drops file in System32 directory
PID:3984

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.dll C:\Windows\System32\Seven.dll
2⤵
- Drops file in System32 directory
PID:2560

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.runtimeconfig.json C:\Windows\System32\Seven.runtimeconfig.json
2⤵
- Drops file in System32 directory
PID:4708

C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe
"C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe"
2⤵
- Disables RegEdit via registry modification
- Disables cmd.exe use via registry modification
- Deletes itself
- Executes dropped EXE
- Drops desktop.ini file(s)
- Suspicious use of WriteProcessMemory
PID:3516

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log-MSI_vc_red.msi.txt"
3⤵
- Suspicious use of WriteProcessMemory
PID:1992

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1152

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log.html"
3⤵
- Suspicious use of WriteProcessMemory
PID:2416

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4520

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log-MSI_vc_red.msi.txt"
3⤵
- Suspicious use of WriteProcessMemory
PID:3712

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3140

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log.html"
3⤵
- Suspicious use of WriteProcessMemory
PID:844

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4912

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_0_vcRuntimeMinimum_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:2912

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3988

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_1_vcRuntimeAdditional_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:1020

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3428

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_0_vcRuntimeMinimum_x86.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:4428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:60

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_1_vcRuntimeAdditional_x86.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:4796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_000_vcRuntimeMinimum_x64.log"
3⤵
PID:1840

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2352

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_001_vcRuntimeAdditional_x64.log"
3⤵
PID:4784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1156

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_000_vcRuntimeMinimum_x86.log"
3⤵
PID:4472

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4876

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_001_vcRuntimeAdditional_x86.log"
3⤵
PID:1648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_000_vcRuntimeMinimum_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:840

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3020

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_001_vcRuntimeAdditional_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:2052

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:400

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_000_vcRuntimeMinimum_x86.log"
3⤵
PID:944

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4928

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_001_vcRuntimeAdditional_x86.log"
3⤵
PID:1520

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\CloseWatch.odt"
3⤵
PID:3896

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6048

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\ExportJoin.bmp"
3⤵
PID:4240

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\Microsoft Edge.lnk"
3⤵
PID:2452

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\ResizeComplete.txt"
3⤵
PID:2996

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9876

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\ResizeEnable.bmp"
3⤵
PID:1040

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10212

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Are.docx"
3⤵
PID:1700

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:7284

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\ExitEdit.txt"
3⤵
PID:4072

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:7144

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\ExitRequest.pptx"
3⤵
PID:4724

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10220

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Files.docx"
3⤵
PID:3744

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5276

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\GroupCompress.txt"
3⤵
PID:2968

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9964

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\HideExpand.docx"
3⤵
PID:4164

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6092

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Opened.docx"
3⤵
PID:3732

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Recently.docx"
3⤵
PID:3668

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9940

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\ResolveExport.pptx"
3⤵
PID:3176

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6188

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\StepJoin.doc"
3⤵
PID:4960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\These.docx"
3⤵
PID:4708

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5760

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\UndoDeny.html"
3⤵
PID:2712

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\UpdateSubmit.xlsx"
3⤵
PID:2564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6312

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\RevokeApprove.lnk"
3⤵
PID:3536

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5236

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\StopOut.odt"
3⤵
PID:5064

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6392

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\TestDisconnect.asp"
3⤵
PID:4028

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5572

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Desktop.lnk"
3⤵
PID:5136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6464

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Downloads.lnk"
3⤵
PID:5152

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\TestSplit.docx"
3⤵
PID:5172

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6148

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\EnterAdd.jpg"
3⤵
PID:5200

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6480

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\MergeBlock.jpg"
3⤵
PID:5220

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5644

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\My Wallpaper.jpg"
3⤵
PID:5240

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\SkipStep.png"
3⤵
PID:5264

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6244

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\BackupComplete.png"
3⤵
PID:5328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\RemoveAdd.bmp"
3⤵
PID:5428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5876

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\BroadcastMsg_1713511184.txt"
3⤵
PID:5440

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_NDP472-KB4054530-x86-x64-AllOS-ENU_decompression_log.txt"
3⤵
PID:5504

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6276

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI29AC.txt"
3⤵
PID:5556

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10176

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI29CD.txt"
3⤵
PID:5584

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9388

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI29AC.txt"
3⤵
PID:5604

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI29CD.txt"
3⤵
PID:5624

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10116

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\jawshtml.html"
3⤵
PID:5636

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10124

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\mapping.csv"
3⤵
PID:5648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14376

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Microsoft .NET Framework 4.7.2 Setup_20240419_071507928.html"
3⤵
PID:5664

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14444

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\brndlog.txt"
3⤵
PID:5680

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:6296

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\OneDrive.VisualElementsManifest.xml"
3⤵
PID:5800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14436

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\edge_shutdown_ms.txt"
3⤵
PID:5812

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\IECompatData\iecompatdata.xml"
3⤵
PID:5824

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\excel.exe_Rules.xml"
3⤵
PID:5908

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:7204

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\msoia.exe_Rules.xml"
3⤵
PID:5928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11360

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\office2016setup.exe_Rules.xml"
3⤵
PID:6020

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10408

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\officeclicktorun.exe_Rules.xml"
3⤵
PID:6036

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\onenote.exe_Rules.xml"
3⤵
PID:6064

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12176

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\winword.exe_Rules.xml"
3⤵
PID:6096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12144

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\alertIcon.png"
3⤵
PID:6120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14812

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppBlue.png"
3⤵
PID:6136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12036

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorBlue.png"
3⤵
PID:3100

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14780

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorWhite.png"
3⤵
PID:5132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppWhite.png"
3⤵
PID:5168

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14864

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AutoPlayOptIn.png"
3⤵
PID:5212

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppBlue.png"
3⤵
PID:5188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppWhite.png"
3⤵
PID:5380

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14772

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Error.png"
3⤵
PID:5408

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14724

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ErrorPage.html"
3⤵
PID:5436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14736

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMHeroToast.png"
3⤵
PID:5552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:7984

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMLockedFileToast.png"
3⤵
PID:5620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14804

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMScanExclusionToast.png"
3⤵
PID:5500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\LoadingPage.html"
3⤵
PID:5796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9392

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\OneDriveLogo.png"
3⤵
PID:5888

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14940

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaCritical.png"
3⤵
PID:5788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14888

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaError.png"
3⤵
PID:5852

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14896

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaNearing.png"
3⤵
PID:6152

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14848

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\TestSharePage.html"
3⤵
PID:6164

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14764

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ThirdPartyNotices.txt"
3⤵
PID:6176

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14912

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Warning.png"
3⤵
PID:6192

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14752

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-100.png"
3⤵
PID:6208

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14796

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-125.png"
3⤵
PID:6360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14924

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-150.png"
3⤵
PID:6396

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14856

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-200.png"
3⤵
PID:6632

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:8004

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-400.png"
3⤵
PID:6644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:8060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-100.png"
3⤵
PID:6816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:8052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-125.png"
3⤵
PID:6832

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:8024

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-150.png"
3⤵
PID:6948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15296

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-200.png"
3⤵
PID:6960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14456

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-400.png"
3⤵
PID:7096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15184

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-100.png"
3⤵
PID:7116

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-125.png"
3⤵
PID:7156

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13920

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-150.png"
3⤵
PID:7304

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15076

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-200.png"
3⤵
PID:7368

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1216

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-400.png"
3⤵
PID:7384

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:7396

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-100.png"
3⤵
PID:7400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-125.png"
3⤵
PID:7412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-150.png"
3⤵
PID:7424

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15312

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-200.png"
3⤵
PID:7440

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14560

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-400.png"
3⤵
PID:7456

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14512

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-100.png"
3⤵
PID:7468

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-125.png"
3⤵
PID:7484

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3092

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-150.png"
3⤵
PID:7500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3304

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-200.png"
3⤵
PID:7512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13392

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-400.png"
3⤵
PID:7524

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15008

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-100.png"
3⤵
PID:7536

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14020

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-125.png"
3⤵
PID:7548

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-150.png"
3⤵
PID:7560

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4040

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-200.png"
3⤵
PID:7572

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1596

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-400.png"
3⤵
PID:7584

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\Shell\DefaultLayouts.xml"
3⤵
PID:7596

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2792

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk"
3⤵
PID:7608

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14820

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Microsoft Edge.lnk"
3⤵
PID:7620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15304

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk"
3⤵
PID:7636

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2236

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk"
3⤵
PID:7648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Are.docx.lnk"
3⤵
PID:7660

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2096

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Files.docx.lnk"
3⤵
PID:7672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1912

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Opened.docx.lnk"
3⤵
PID:7684

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15000

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Recently.docx.lnk"
3⤵
PID:7696

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:964

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\These.docx.lnk"
3⤵
PID:7708

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14744

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\SendTo\Fax Recipient.lnk"
3⤵
PID:7720

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13936

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\Default\Microsoft Edge.lnk"
3⤵
PID:7732

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2192

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\images\blurrect.png"
3⤵
PID:7744

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15196

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group1\1 - Desktop.lnk"
3⤵
PID:7756

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15176

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\1 - Run.lnk"
3⤵
PID:7768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3108

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\2 - Search.lnk"
3⤵
PID:7780

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3800

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\3 - Windows Explorer.lnk"
3⤵
PID:7792

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\4 - Control Panel.lnk"
3⤵
PID:7804

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15264

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\5 - Task Manager.lnk"
3⤵
PID:8100

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01 - Command Prompt.lnk"
3⤵
PID:8112

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01a - Windows PowerShell.lnk"
3⤵
PID:8124

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15248

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02 - Command Prompt.lnk"
3⤵
PID:8144

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4496

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02a - Windows PowerShell.lnk"
3⤵
PID:8164

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\03 - Computer Management.lnk"
3⤵
PID:6424

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04 - Disk Management.lnk"
3⤵
PID:6788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04-1 - NetworkStatus.lnk"
3⤵
PID:7012

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2736

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\05 - Device Manager.lnk"
3⤵
PID:6956

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\06 - SystemAbout.lnk"
3⤵
PID:7296

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2336

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\07 - Event Viewer.lnk"
3⤵
PID:7616

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\08 - PowerAndSleep.lnk"
3⤵
PID:7764

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2416

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\09 - Mobility Center.lnk"
3⤵
PID:7876

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1412

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\10 - AppsAndFeatures.lnk"
3⤵
PID:7592

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14604

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579839446140267.txt"
3⤵
PID:8208

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3864

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840135824682.txt"
3⤵
PID:8232

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:696

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840503567844.txt"
3⤵
PID:8516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15112

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840700580475.txt"
3⤵
PID:8532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3908

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840746051862.txt"
3⤵
PID:8552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3680

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840805647182.txt"
3⤵
PID:8640

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1048

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579841000679404.txt"
3⤵
PID:8688

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579841044461171.txt"
3⤵
PID:8812

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579841103643755.txt"
3⤵
PID:8836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1636

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579844203170839.txt"
3⤵
PID:8852

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579847726247611.txt"
3⤵
PID:8876

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579848027779190.txt"
3⤵
PID:8896

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15240

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579848328601309.txt"
3⤵
PID:8916

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14992

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579848720705765.txt"
3⤵
PID:8940

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15228

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579849175070968.txt"
3⤵
PID:8960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1568

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579849319456479.txt"
3⤵
PID:8980

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3136

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579850631342657.txt"
3⤵
PID:8996

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1452

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579850930939937.txt"
3⤵
PID:9016

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579851238643505.txt"
3⤵
PID:9036

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579851531594146.txt"
3⤵
PID:9060

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14904

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579852325460694.txt"
3⤵
PID:9076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1448

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579893210839103.txt"
3⤵
PID:9096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2372

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579896162712257.txt"
3⤵
PID:9120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1752

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\SettingsCache.txt"
3⤵
PID:9192

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"
3⤵
PID:9212

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15388

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Themes\CachedFiles\CachedImage_1280_720_POS4.jpg"
3⤵
PID:7924

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15340

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\l594d31n.default-release\pkcs11.txt"
3⤵
PID:7496

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14632

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\PQX1KJ9K\known_providers_download_v1[1].xml"
3⤵
PID:9460

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\PQX1KJ9K\update100[1].xml"
3⤵
PID:9476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:452

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\squaretile.png"
3⤵
PID:9500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3284

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\tinytile.png"
3⤵
PID:9512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15256

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\squaretile.png"
3⤵
PID:9532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4776

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\tinytile.png"
3⤵
PID:9548

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:436

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\squaretile.png"
3⤵
PID:9564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1296

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\tinytile.png"
3⤵
PID:9576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\squaretile.png"
3⤵
PID:9604

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\tinytile.png"
3⤵
PID:9672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15524

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{51622a83-c5a1-47aa-894c-769a99748b42}\0.0.filtertrie.intermediate.txt"
3⤵
PID:9688

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{51622a83-c5a1-47aa-894c-769a99748b42}\0.1.filtertrie.intermediate.txt"
3⤵
PID:9724

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14344

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{51622a83-c5a1-47aa-894c-769a99748b42}\0.2.filtertrie.intermediate.txt"
3⤵
PID:9748

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15944

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{97aa592d-5351-434d-9595-8e3ad0bc76bf}\0.0.filtertrie.intermediate.txt"
3⤵
PID:9760

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15952

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{97aa592d-5351-434d-9595-8e3ad0bc76bf}\0.1.filtertrie.intermediate.txt"
3⤵
PID:9772

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{97aa592d-5351-434d-9595-8e3ad0bc76bf}\0.2.filtertrie.intermediate.txt"
3⤵
PID:9796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15396

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{e2d51bc5-bfa7-4ef2-93f4-d3b0c0e1fd6a}\0.0.filtertrie.intermediate.txt"
3⤵
PID:8680

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1668

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{e2d51bc5-bfa7-4ef2-93f4-d3b0c0e1fd6a}\0.1.filtertrie.intermediate.txt"
3⤵
PID:6996

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15380

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{e2d51bc5-bfa7-4ef2-93f4-d3b0c0e1fd6a}\0.2.filtertrie.intermediate.txt"
3⤵
PID:8140

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3000

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{06d6dbf2-6fa7-4f0e-b51d-f65b2b277c45}\appsconversions.txt"
3⤵
PID:8912

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4240

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{06d6dbf2-6fa7-4f0e-b51d-f65b2b277c45}\appsglobals.txt"
3⤵
PID:9088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{06d6dbf2-6fa7-4f0e-b51d-f65b2b277c45}\appssynonyms.txt"
3⤵
PID:7632

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15704

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{06d6dbf2-6fa7-4f0e-b51d-f65b2b277c45}\settingsconversions.txt"
3⤵
PID:10260

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1496

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{06d6dbf2-6fa7-4f0e-b51d-f65b2b277c45}\settingsglobals.txt"
3⤵
PID:10280

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15924

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{06d6dbf2-6fa7-4f0e-b51d-f65b2b277c45}\settingssynonyms.txt"
3⤵
PID:10668

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15492

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{0dc5dae9-fb25-4269-96d8-d7c2b39a1144}\0.0.filtertrie.intermediate.txt"
3⤵
PID:10692

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15696

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{0dc5dae9-fb25-4269-96d8-d7c2b39a1144}\0.1.filtertrie.intermediate.txt"
3⤵
PID:10708

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15516

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{0dc5dae9-fb25-4269-96d8-d7c2b39a1144}\0.2.filtertrie.intermediate.txt"
3⤵
PID:10728

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3688

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{64987acc-59da-4839-bbed-20b8b0feb713}\0.0.filtertrie.intermediate.txt"
3⤵
PID:10752

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1648

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{64987acc-59da-4839-bbed-20b8b0feb713}\0.1.filtertrie.intermediate.txt"
3⤵
PID:10768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3992

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{64987acc-59da-4839-bbed-20b8b0feb713}\0.2.filtertrie.intermediate.txt"
3⤵
PID:10784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15564

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\File Explorer.lnk"
3⤵
PID:10796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15500

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk"
3⤵
PID:10808

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk"
3⤵
PID:10824

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15464

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Microsoft Edge.lnk"
3⤵
PID:10844

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15628

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Magnify.lnk"
3⤵
PID:10860

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15508

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Narrator.lnk"
3⤵
PID:10880

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15456

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\On-Screen Keyboard.lnk"
3⤵
PID:10892

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Internet Explorer.lnk"
3⤵
PID:10924

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15368

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Administrative Tools.lnk"
3⤵
PID:11256

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15916

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Command Prompt.lnk"
3⤵
PID:10476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15688

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\computer.lnk"
3⤵
PID:10856

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15648

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Control Panel.lnk"
3⤵
PID:10656

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15908

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\File Explorer.lnk"
3⤵
PID:11272

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15860

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Run.lnk"
3⤵
PID:11284

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16156

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell (x86).lnk"
3⤵
PID:11568

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16172

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell.lnk"
3⤵
PID:11584

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16184

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\128.png"
3⤵
PID:11600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15848

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\offscreendocument.html"
3⤵
PID:11768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15480

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\3ART8LJX\microsoft.windows[1].xml"
3⤵
PID:11784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15768

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\ZMTSYCJM\www.bing[1].xml"
3⤵
PID:11800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16164

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\html\craw_window.html"
3⤵
PID:11820

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15656

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_128.png"
3⤵
PID:11836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15472

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_16.png"
3⤵
PID:11864

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16120

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button.png"
3⤵
PID:11876

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15680

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_close.png"
3⤵
PID:11892

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16000

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_hover.png"
3⤵
PID:11920

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15984

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_maximize.png"
3⤵
PID:11948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16028

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_pressed.png"
3⤵
PID:11960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15976

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\128.png"
3⤵
PID:11972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15744

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\192.png"
3⤵
PID:11992

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15968

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\256.png"
3⤵
PID:12004

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16488

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\32.png"
3⤵
PID:12412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16328

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\48.png"
3⤵
PID:12424

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16084

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\64.png"
3⤵
PID:12436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16192

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\96.png"
3⤵
PID:12456

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16536

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\128.png"
3⤵
PID:12476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16200

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\192.png"
3⤵
PID:12492

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16320

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\256.png"
3⤵
PID:12508

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16452

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\32.png"
3⤵
PID:12524

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16512

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\48.png"
3⤵
PID:12544

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16108

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\64.png"
3⤵
PID:12560

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\96.png"
3⤵
PID:12576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\128.png"
3⤵
PID:12596

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16092

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\192.png"
3⤵
PID:12612

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16128

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\256.png"
3⤵
PID:12628

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16704

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\32.png"
3⤵
PID:13060

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16464

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\48.png"
3⤵
PID:13076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16504

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\64.png"
3⤵
PID:13092

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4412

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\96.png"
3⤵
PID:13112

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16496

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\128.png"
3⤵
PID:13128

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16148

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\192.png"
3⤵
PID:13152

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16520

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\256.png"
3⤵
PID:12420

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16336

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\32.png"
3⤵
PID:10820

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16472

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\48.png"
3⤵
PID:4676

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16344

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\64.png"
3⤵
PID:3388

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16680

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\96.png"
3⤵
PID:13316

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16756

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\128.png"
3⤵
PID:13332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16388

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\192.png"
3⤵
PID:13344

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16748

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\256.png"
3⤵
PID:13360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16792

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\32.png"
3⤵
PID:13380

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16916

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\48.png"
3⤵
PID:13396

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16844

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\64.png"
3⤵
PID:13412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16800

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\96.png"
3⤵
PID:13428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\128.png"
3⤵
PID:13452

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16480

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\192.png"
3⤵
PID:13472

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3476

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\256.png"
3⤵
PID:13768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16832

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\32.png"
3⤵
PID:13784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\48.png"
3⤵
PID:13800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16936

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\64.png"
3⤵
PID:13816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16852

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\96.png"
3⤵
PID:13832

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:16720

C:\Windows\System32\mmc.exe
"C:\Windows\System32\mmc.exe"
1⤵
- Modifies registry class
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of SetWindowsHookEx
PID:4164

C:\Windows\System32\SevenCopy.exe
C:\Windows\System32\SevenCopy.exe
1⤵
- Disables RegEdit via registry modification
- Disables cmd.exe use via registry modification
- Executes dropped EXE
- Drops file in System32 directory
PID:5660

C:\Windows\System32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\New folder.lnk"
2⤵
PID:6728

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5716

C:\Windows\System32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133587394348470936.txt"
2⤵
PID:6272

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:7324

C:\Windows\System32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133587394368806086.txt"
2⤵
PID:1384

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5656

C:\Windows\System32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133587394388816591.txt"
2⤵
PID:7788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:7420

C:\Windows\System32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Themes\CachedFiles\CachedImage_1280_720_POS4.jpg"
2⤵
PID:8004

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:7884

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Create or Modify System Process

T1543

Windows Service

T1543.003

Privilege Escalation

Abuse Elevation Control Mechanism

T1548

Bypass User Account Control

T1548.002

Create or Modify System Process

T1543

Windows Service

T1543.003

Defense Evasion

Abuse Elevation Control Mechanism

T1548

Bypass User Account Control

T1548.002

Impair Defenses

T1562

Disable or Modify Tools

T1562.001

Modify Registry

T1112

Credential Access

Unsecured Credentials

T1552

Credentials In Files

T1552.001

Discovery

Query Registry

T1012

System Information Discovery

T1082

Lateral Movement

Collection

Data from Local System

T1005

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{64987acc-59da-4839-bbed-20b8b0feb713}\0.1.filtertrie.intermediate.txt.420

Filesize
16B

MD5
e8aaa566651759e399714d464cdfb390

SHA1
373942a3618c8d5ff0ba8aab8e22d4a64e5641ae

SHA256
1a4a61c3ade192d7f35bb5879ba1493ac39369579eaf9f73c72c44a9ecfa3a6a

SHA512
23f835ffc6cfa06b864ee0f945dc844cb88aa1b0ab3cf2d0f8bf616c9a7446a563875ebd04f1b23d86d5a20ccc1a2cacd3e199c228cd73e8652c6f9e34b55ce2

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{64987acc-59da-4839-bbed-20b8b0feb713}\0.2.filtertrie.intermediate.txt.420

Filesize
16B

MD5
209371fb985ae536f7a01b2cbf06fdeb

SHA1
6e5d735e5a6aef442f3342931eaf47d505763578

SHA256
4cef54ede857b123a2b675fdce8147dbcc1a7c4d471ec5bfd8791f9e2ad9c0b3

SHA512
53203c3447837fc04d0114f282e5b1efaeb1e81a90a9d50bd6384bd44823ab70c37f12aca73a52f803ba61a11ed3d7fd05ea04f79fc969212dce946df89b8bbe

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840746051862.txt.420

Filesize
77KB

MD5
8c8699799855f5ab38ff56c774afcda5

SHA1
06d98b4e89bed2c30087f147e406a85b2eeaebe3

SHA256
de083b617b8528d6b44ff8eaedb6113ebce0296fe06a8fad0536598921d87834

SHA512
1ff303014c355fb36e1158c29a57e970e976d130c86b759abea0c34533b493ecaf25466403d8fdd51f2cfc52c98aa4d31e006fe119090205294bda90c6366e03

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579844203170839.txt.420

Filesize
47KB

MD5
22e53dc5709ced95e3c83af5804336a6

SHA1
0163069ed72c9616e06d8997c1f5d7fba597b0e0

SHA256
a128f39f65bd1068191be32727905f92217b625bde930a65ffae3250ec557373

SHA512
ce53d6e40b75737475193824dba4026508f9315be3a79698c3f5529863fad78bec5456b7e6f5971b08d5df5d753bc3dfe83dfa0aecb180d67ce970f6f2ef8dea

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579850631342657.txt.420

Filesize
66KB

MD5
4a90573d4e1350bb3cb06a825fbd66de

SHA1
3f3ce3606d802cd06dda067fa2a07dfa745c90df

SHA256
5a74f880421a86087c44f74e3c105c9ec4fd4b1eae138984644c3d51d3e55242

SHA512
b09feba996e833c149a309cb45f56e79998cbdeb7fce71c15ef99a1615468aa62fd4c9b1cf3a4f802c27558a75db4c0885f84d65b1fdee979abde314d07c208c

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579896162712257.txt.420

Filesize
75KB

MD5
ab69555e8ae9d8ff1de5605724761c5f

SHA1
3e09f9b5cfaf45fb19a8ff5c3ff884f570015171

SHA256
358df7dc00b3290428a7551c7ea07259efbcd6afee694654809819d1ef6604e5

SHA512
5c372847305cf5157b59e0479367560e3e36291055c93f80e41c33d2a711d35d2009cf314b06ec0c5b925d690957d14ee86218d9b4f9afb1d8883f70cd05793b

Download Submit
C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe

Filesize
139KB

MD5
6503f847c3281ff85b304fc674b62580

SHA1
947536e0741c085f37557b7328b067ef97cb1a61

SHA256
afd7657f941024ef69ca34d1e61e640c5523b19b0fad4dcb1c9f1b01a6fa166f

SHA512
abc3b32a1cd7d0a60dd7354a9fcdff0bc37ec8a20bb2a8258353716d820f62d343c6ba9385ba893be0cca981bbb9ab4e189ccfeee6dd77cc0dc723e975532174

Download Submit
C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_v3cij0uo.vhz.ps1

Filesize
60B

MD5
d17fe0a3f47be24a6453e9ef58c94641

SHA1
6ab83620379fc69f80c0242105ddffd7d98d5d9d

SHA256
96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

SHA512
5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

Download Submit
C:\Windows\System32\Seven.dll

Filesize
1.0MB

MD5
2f7fa34472d99fc50de7d88820a677a2

SHA1
53ed65b2edf9195faa0ccc3fec60f5ab5c2d90f6

SHA256
5757b771b5221426aaf0a47e1585a627e969b5d9df8121a5c911f1d581fd283a

SHA512
c1a3a38b1a2b66a122d3594ba1d40ea6bb71297b5fdf4997cfac4618ae48994179da9867178a65ddac4cee9a7c5691d4bb69934023d109320f43eb6074f684f9

Download Submit
C:\Windows\System32\Seven.runtimeconfig.json

Filesize
340B

MD5
253333997e82f7d44ea8072dfae6db39

SHA1
03b9744e89327431a619505a7c72fd497783d884

SHA256
28329cf08f6505e73806b17558b187c02f0c1c516fe47ebfb7a013d082aaa306

SHA512
56d99039e0fb6305588e9f87361e7e0d5051507bf321ba36619c4d29741f35c27c62f025a52523c9e1c7287aabf1533444330a8cdf840fa5af0fa2241fcb4fc2

Download Submit
memory/1468-15-0x00007FFEC2280000-0x00007FFEC2D41000-memory.dmp

Filesize
10.8MB

Download
memory/1468-10-0x00007FFEC2280000-0x00007FFEC2D41000-memory.dmp

Filesize
10.8MB

Download
memory/1468-11-0x00000199BF550000-0x00000199BF560000-memory.dmp

Filesize
64KB

Download
memory/1468-12-0x00000199BF550000-0x00000199BF560000-memory.dmp

Filesize
64KB

Download
memory/1468-9-0x00000199BFF70000-0x00000199BFF92000-memory.dmp

Filesize
136KB

Download