e66f93950eb89d5a9c526efe94b1424b40c2be94b8fc63a4696064c177549e6c

General

Target

Seven.exe
Size

74.3MB
MD5

15a70d3e34a04721e328aebcae98dfcc
SHA1

04742e76346ca12dcaeee83bf345fd28f735aabc
SHA256

e66f93950eb89d5a9c526efe94b1424b40c2be94b8fc63a4696064c177549e6c
SHA512

f593e2249a79e1d150ff0954edb49d262d969647359cad7fca6d37846039856de852c5b315f03e154da7658adfcc8ac8701f446f3a7d7ae1e30bb85ae1607e79
SSDEEP

786432:P5utDS/zEQsh4RznBbsQA0x2RcYE6XD5HXVL:P5upSL7+Q12BZZFL

Score

10^/10

evasion spyware stealer trojan

Malware Config

Signatures

Modifies Windows Defender Real-time Protection settings 3 TTPs 4 IoCs

evasion trojan

Modify Registry

T1112

Windows Service

T1543.003

Disable or Modify Tools

T1562.001

Processes:

Seven.exe

description	ioc	process
Key created	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableBehaviorMonitoring = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableOnAccessProtection = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableScanOnRealtimeEnable = "1"	Seven.exe

UAC bypass 3 TTPs 2 IoCs

evasion trojan

Bypass User Account Control

T1548.002

Disable or Modify Tools

T1562.001

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Disables RegEdit via registry modification 2 IoCs

evasion

Processes:

SevenCopy.exeSevenCopy.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-734199974-1358367239-436541239-1000\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = "1"	SevenCopy.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-734199974-1358367239-436541239-1000\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = "1"	SevenCopy.exe

Disables Task Manager via registry modification
evasion

Disables cmd.exe use via registry modification 2 IoCs

evasion

Processes:

SevenCopy.exeSevenCopy.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-734199974-1358367239-436541239-1000\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD = "1"	SevenCopy.exe
Set value (int)	\REGISTRY\USER\S-1-5-21-734199974-1358367239-436541239-1000\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD = "1"	SevenCopy.exe

Deletes itself 1 IoCs

Processes:

SevenCopy.exe

pid process

268 SevenCopy.exe
Executes dropped EXE 2 IoCs

Processes:

SevenCopy.exeSevenCopy.exe

pid process

268 SevenCopy.exe
16336 SevenCopy.exe
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
spyware stealer

Data from Local System
T1005

Credentials In Files
T1552.001
Windows security modification 2 TTPs 1 IoCs
evasion trojan

Disable or Modify Tools
T1562.001

Modify Registry
T1112

Processes:

Seven.exe

description ioc process

Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0" Seven.exe

pid	process
268	SevenCopy.exe

pid	process
268	SevenCopy.exe
16336	SevenCopy.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0"	Seven.exe

Checks whether UAC is enabled 1 TTPs 2 IoCs

evasion trojan

System Information Discovery

T1082

Processes:

Seven.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe

Drops desktop.ini file(s) 7 IoCs

Processes:

SevenCopy.exe

description	ioc	process
File opened for modification	C:\Users\Admin\Pictures\Camera Roll\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Pictures\Saved Pictures\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Documents\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Music\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	SevenCopy.exe
File opened for modification	C:\Users\Admin\Pictures\desktop.ini	SevenCopy.exe

Drops file in System32 directory 6 IoCs

Processes:

Seven.execmd.exeSevenCopy.exe

description	ioc	process
File created	C:\Windows\System32\KillCMD.bat	Seven.exe
File created	C:\Windows\System32\SevenCopy.exe	cmd.exe
File opened for modification	C:\Windows\System32\SevenCopy.exe	cmd.exe
File created	C:\Windows\system32\KeyAndIV.txt	SevenCopy.exe
File created	C:\Windows\system32\EncryptedLog.txt	SevenCopy.exe
File created	C:\Windows\System32\KillMMC.bat	Seven.exe

Suspicious behavior: EnumeratesProcesses 2 IoCs

Processes:

powershell.exe

pid process

824 powershell.exe
824 powershell.exe
Suspicious use of AdjustPrivilegeToken 1 IoCs

Processes:

powershell.exe

description pid process

Token: SeDebugPrivilege 824 powershell.exe

pid	process
824	powershell.exe
824	powershell.exe

description	pid	process
Token: SeDebugPrivilege	824	powershell.exe

Suspicious use of WriteProcessMemory 64 IoCs

Processes:

Seven.exeSevenCopy.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.exe

description	pid	process	target process
PID 2952 wrote to memory of 824	2952	Seven.exe	powershell.exe
PID 2952 wrote to memory of 824	2952	Seven.exe	powershell.exe
PID 2952 wrote to memory of 2384	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 2384	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 3400	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 3400	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 2344	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 2344	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 2716	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 2716	2952	Seven.exe	cmd.exe
PID 2952 wrote to memory of 268	2952	Seven.exe	SevenCopy.exe
PID 2952 wrote to memory of 268	2952	Seven.exe	SevenCopy.exe
PID 268 wrote to memory of 2120	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 2120	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 412	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 412	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3548	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3548	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3120	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3120	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3580	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3580	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4688	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4688	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 2160	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 2160	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 916	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 916	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 428	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 428	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4008	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4008	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 664	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 664	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4612	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4612	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3624	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 3624	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4212	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 4212	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 1208	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 1208	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 1932	268	SevenCopy.exe	cmd.exe
PID 268 wrote to memory of 1932	268	SevenCopy.exe	cmd.exe
PID 2120 wrote to memory of 4912	2120	cmd.exe	choice.exe
PID 2120 wrote to memory of 4912	2120	cmd.exe	choice.exe
PID 3548 wrote to memory of 2760	3548	cmd.exe	choice.exe
PID 3548 wrote to memory of 2760	3548	cmd.exe	choice.exe
PID 412 wrote to memory of 2852	412	cmd.exe	choice.exe
PID 412 wrote to memory of 2852	412	cmd.exe	choice.exe
PID 664 wrote to memory of 4016	664	cmd.exe	choice.exe
PID 664 wrote to memory of 4016	664	cmd.exe	choice.exe
PID 3120 wrote to memory of 2016	3120	cmd.exe	choice.exe
PID 3120 wrote to memory of 2016	3120	cmd.exe	choice.exe
PID 1932 wrote to memory of 2360	1932	cmd.exe	choice.exe
PID 1932 wrote to memory of 2360	1932	cmd.exe	choice.exe
PID 4212 wrote to memory of 1872	4212	cmd.exe	choice.exe
PID 4212 wrote to memory of 1872	4212	cmd.exe	choice.exe
PID 3580 wrote to memory of 5088	3580	cmd.exe	choice.exe
PID 3580 wrote to memory of 5088	3580	cmd.exe	choice.exe
PID 4688 wrote to memory of 2152	4688	cmd.exe	choice.exe
PID 4688 wrote to memory of 2152	4688	cmd.exe	choice.exe
PID 4008 wrote to memory of 1656	4008	cmd.exe	choice.exe
PID 4008 wrote to memory of 1656	4008	cmd.exe	choice.exe

System policy modification 1 TTPs 2 IoCs

evasion

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Uses Task Scheduler COM API 1 TTPs
The Task Scheduler COM API can be used to schedule applications to run on boot or at set times.
persistence

Query Registry
T1012

C:\Users\Admin\AppData\Local\Temp\Seven.exe
"C:\Users\Admin\AppData\Local\Temp\Seven.exe"
1⤵
- Modifies Windows Defender Real-time Protection settings
- UAC bypass
- Windows security modification
- Checks whether UAC is enabled
- Drops file in System32 directory
- Suspicious use of WriteProcessMemory
- System policy modification
PID:2952

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
"powershell" Get-MpPreference -verbose
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:824

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.exe C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe
2⤵
PID:2384

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.exe C:\Windows\System32\SevenCopy.exe
2⤵
- Drops file in System32 directory
PID:3400

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.dll C:\Windows\System32\Seven.dll
2⤵
PID:2344

C:\Windows\SYSTEM32\cmd.exe
"cmd.exe" /C copy C:\Users\Admin\AppData\Local\Temp\Seven.runtimeconfig.json C:\Windows\System32\Seven.runtimeconfig.json
2⤵
PID:2716

C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe
"C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe"
2⤵
- Disables RegEdit via registry modification
- Disables cmd.exe use via registry modification
- Deletes itself
- Executes dropped EXE
- Drops desktop.ini file(s)
- Suspicious use of WriteProcessMemory
PID:268

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log-MSI_vc_red.msi.txt"
3⤵
- Suspicious use of WriteProcessMemory
PID:2120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4912

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log.html"
3⤵
- Suspicious use of WriteProcessMemory
PID:412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2852

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log-MSI_vc_red.msi.txt"
3⤵
- Suspicious use of WriteProcessMemory
PID:3548

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2760

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log.html"
3⤵
- Suspicious use of WriteProcessMemory
PID:3120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_0_vcRuntimeMinimum_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:3580

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5088

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_1_vcRuntimeAdditional_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:4688

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2152

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_0_vcRuntimeMinimum_x86.log"
3⤵
PID:2160

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_1_vcRuntimeAdditional_x86.log"
3⤵
PID:916

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:552

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_000_vcRuntimeMinimum_x64.log"
3⤵
PID:428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4480

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_001_vcRuntimeAdditional_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:4008

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1656

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_000_vcRuntimeMinimum_x86.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:664

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_001_vcRuntimeAdditional_x86.log"
3⤵
PID:4612

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_000_vcRuntimeMinimum_x64.log"
3⤵
PID:3624

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3152

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_001_vcRuntimeAdditional_x64.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:4212

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_000_vcRuntimeMinimum_x86.log"
3⤵
PID:1208

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_001_vcRuntimeAdditional_x86.log"
3⤵
- Suspicious use of WriteProcessMemory
PID:1932

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2360

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\InstallLimit.xls"
3⤵
PID:1560

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5456

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\Microsoft Edge.lnk"
3⤵
PID:4500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10408

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\NewClear.xml"
3⤵
PID:4484

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9108

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\NewJoin.png"
3⤵
PID:224

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10392

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Are.docx"
3⤵
PID:2660

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:8812

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\BlockUnblock.odt"
3⤵
PID:4720

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10416

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\CloseUnlock.xlsx"
3⤵
PID:3860

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\DisconnectFind.docx"
3⤵
PID:624

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Files.docx"
3⤵
PID:2836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11228

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\HideRequest.html"
3⤵
PID:1600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10740

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\JoinOpen.txt"
3⤵
PID:4572

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10400

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Opened.docx"
3⤵
PID:2940

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11600

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\PingConfirm.csv"
3⤵
PID:3672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\PopSet.txt"
3⤵
PID:2132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10072

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Recently.docx"
3⤵
PID:2008

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10752

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\RenameCheckpoint.xlsx"
3⤵
PID:2520

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9696

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\These.docx"
3⤵
PID:2788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12708

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\BlockAdd.sql"
3⤵
PID:3400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12952

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\ConvertToRevoke.xls"
3⤵
PID:2224

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11340

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\ConvertToStep.pptx"
3⤵
PID:4528

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\CopyDisconnect.docx"
3⤵
PID:2168

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12012

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\JoinPublish.pptx"
3⤵
PID:2076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11276

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\PopShow.asp"
3⤵
PID:1068

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13520

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Desktop.lnk"
3⤵
PID:3972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13572

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Downloads.lnk"
3⤵
PID:1308

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13488

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\CompleteClear.xml"
3⤵
PID:660

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13556

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\ConvertOpen.bmp"
3⤵
PID:5132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14076

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\DenyOptimize.png"
3⤵
PID:5216

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\DisconnectCheckpoint.csv"
3⤵
PID:5232

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13792

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\MeasureCompress.xml"
3⤵
PID:5252

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:7632

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\ProtectTest.odt"
3⤵
PID:5332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14068

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\UpdateClear.pptx"
3⤵
PID:5360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\ConvertUnprotect.png"
3⤵
PID:5372

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14116

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\DismountTest.bmp"
3⤵
PID:5384

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14236

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\GroupRestart.jpg"
3⤵
PID:5396

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14304

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\My Wallpaper.jpg"
3⤵
PID:5416

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13912

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\ResolveExit.jpg"
3⤵
PID:5428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13888

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\WaitLimit.pptx"
3⤵
PID:5444

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13928

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\BroadcastMsg_1713519732.txt"
3⤵
PID:5460

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13920

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_NDP472-KB4054530-x86-x64-AllOS-ENU_decompression_log.txt"
3⤵
PID:5476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI177A.txt"
3⤵
PID:5508

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13940

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI1795.txt"
3⤵
PID:5572

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14128

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI177A.txt"
3⤵
PID:5592

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13276

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI1795.txt"
3⤵
PID:5684

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3716

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\jawshtml.html"
3⤵
PID:5728

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3592

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\mapping.csv"
3⤵
PID:5756

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Microsoft .NET Framework 4.7.2 Setup_20240419_093814897.html"
3⤵
PID:5772

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14200

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\brndlog.txt"
3⤵
PID:5864

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13024

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\OneDrive.VisualElementsManifest.xml"
3⤵
PID:5876

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\edge_shutdown_ms.txt"
3⤵
PID:5888

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13040

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\IECompatData\iecompatdata.xml"
3⤵
PID:5904

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:704

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\excel.exe_Rules.xml"
3⤵
PID:5916

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3704

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\msoia.exe_Rules.xml"
3⤵
PID:5928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14328

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\office2016setup.exe_Rules.xml"
3⤵
PID:5944

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11812

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\officeclicktorun.exe_Rules.xml"
3⤵
PID:5964

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14264

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\onenote.exe_Rules.xml"
3⤵
PID:5988

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13236

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\winword.exe_Rules.xml"
3⤵
PID:6004

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13284

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\alertIcon.png"
3⤵
PID:6016

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:584

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppBlue.png"
3⤵
PID:6036

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1452

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorBlue.png"
3⤵
PID:6052

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5092

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorWhite.png"
3⤵
PID:6076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2724

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppWhite.png"
3⤵
PID:6096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3944

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AutoPlayOptIn.png"
3⤵
PID:6108

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13028

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppBlue.png"
3⤵
PID:6120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13048

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppWhite.png"
3⤵
PID:6132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:10312

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Error.png"
3⤵
PID:3024

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4364

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ErrorPage.html"
3⤵
PID:1060

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12272

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMHeroToast.png"
3⤵
PID:5264

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13748

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMLockedFileToast.png"
3⤵
PID:5588

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1516

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMScanExclusionToast.png"
3⤵
PID:6316

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3152

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\LoadingPage.html"
3⤵
PID:6332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:228

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\OneDriveLogo.png"
3⤵
PID:6360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13728

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaCritical.png"
3⤵
PID:6376

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaError.png"
3⤵
PID:6584

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaNearing.png"
3⤵
PID:6600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13652

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\TestSharePage.html"
3⤵
PID:6624

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ThirdPartyNotices.txt"
3⤵
PID:6652

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Warning.png"
3⤵
PID:6672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14592

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-100.png"
3⤵
PID:6776

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14416

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-125.png"
3⤵
PID:6788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3412

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-150.png"
3⤵
PID:6800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13636

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-200.png"
3⤵
PID:6816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13668

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-400.png"
3⤵
PID:6832

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-100.png"
3⤵
PID:6856

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13620

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-125.png"
3⤵
PID:6872

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4236

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-150.png"
3⤵
PID:6888

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14488

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-200.png"
3⤵
PID:6900

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-400.png"
3⤵
PID:6916

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:772

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-100.png"
3⤵
PID:6928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14424

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-125.png"
3⤵
PID:6944

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13184

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-150.png"
3⤵
PID:6960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14496

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-200.png"
3⤵
PID:6972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2436

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-400.png"
3⤵
PID:6988

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1744

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-100.png"
3⤵
PID:7008

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13176

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-125.png"
3⤵
PID:7056

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4856

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-150.png"
3⤵
PID:7068

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14520

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-200.png"
3⤵
PID:7080

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2584

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-400.png"
3⤵
PID:7092

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14448

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-100.png"
3⤵
PID:7104

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-125.png"
3⤵
PID:6308

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13232

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-150.png"
3⤵
PID:6516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4324

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-200.png"
3⤵
PID:5640

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14600

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-400.png"
3⤵
PID:7088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:656

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-100.png"
3⤵
PID:7172

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2360

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-125.png"
3⤵
PID:7184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-150.png"
3⤵
PID:7388

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13224

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-200.png"
3⤵
PID:7416

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-400.png"
3⤵
PID:7648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15144

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\Shell\DefaultLayouts.xml"
3⤵
PID:7668

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13660

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\TempState\SettingsCache.txt"
3⤵
PID:7796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk"
3⤵
PID:7824

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14900

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Microsoft Edge.lnk"
3⤵
PID:7836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14988

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk"
3⤵
PID:7856

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14564

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk"
3⤵
PID:7880

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14368

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Are.docx.lnk"
3⤵
PID:7896

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9896

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Files.docx.lnk"
3⤵
PID:7908

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Opened.docx.lnk"
3⤵
PID:7928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Recently.docx.lnk"
3⤵
PID:7948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15008

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\These.docx.lnk"
3⤵
PID:7964

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12928

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\SendTo\Fax Recipient.lnk"
3⤵
PID:7988

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\Default\Microsoft Edge.lnk"
3⤵
PID:8016

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\images\blurrect.png"
3⤵
PID:8032

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14908

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group1\1 - Desktop.lnk"
3⤵
PID:8048

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\1 - Run.lnk"
3⤵
PID:8064

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14512

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\2 - Search.lnk"
3⤵
PID:8076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15332

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\3 - Windows Explorer.lnk"
3⤵
PID:8088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\4 - Control Panel.lnk"
3⤵
PID:8104

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14548

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\5 - Task Manager.lnk"
3⤵
PID:8120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15072

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01 - Windows Terminal.lnk"
3⤵
PID:8136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15032

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02 - Windows Terminal.lnk"
3⤵
PID:8160

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\03 - Computer Management.lnk"
3⤵
PID:8180

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14892

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04 - Disk Management.lnk"
3⤵
PID:6620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15048

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04-1 - NetworkStatus.lnk"
3⤵
PID:7116

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15096

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\05 - Device Manager.lnk"
3⤵
PID:6292

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\06 - SystemAbout.lnk"
3⤵
PID:5328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\07 - Event Viewer.lnk"
3⤵
PID:7100

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\08 - PowerAndSleep.lnk"
3⤵
PID:7220

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4368

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\09 - Mobility Center.lnk"
3⤵
PID:6968

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3160

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\10 - AppsAndFeatures.lnk"
3⤵
PID:7440

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13708

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579927371651072.txt"
3⤵
PID:7536

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15040

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579929849406423.txt"
3⤵
PID:7608

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15300

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579937884317107.txt"
3⤵
PID:7844

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14504

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Administrative Tools.lnk"
3⤵
PID:8200

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1396

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\File Explorer.lnk"
3⤵
PID:8452

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:9344

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Microsoft Edge.lnk"
3⤵
PID:8468

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14928

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"
3⤵
PID:8488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15024

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Themes\CachedFiles\CachedImage_1280_720_POS4.jpg"
3⤵
PID:8516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14828

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\oil2g1jl.default-release\pkcs11.txt"
3⤵
PID:8540

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14884

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\KO46DDIU\update100[1].xml"
3⤵
PID:8572

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15276

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\squaretile.png"
3⤵
PID:8596

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3868

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\tinytile.png"
3⤵
PID:8616

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11104

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\squaretile.png"
3⤵
PID:8636

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3008

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\tinytile.png"
3⤵
PID:8664

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\squaretile.png"
3⤵
PID:8692

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15284

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\tinytile.png"
3⤵
PID:8712

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:11860

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\squaretile.png"
3⤵
PID:8744

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\tinytile.png"
3⤵
PID:8768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14716

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\A75XOOG6\RW1dRhL[1].png"
3⤵
PID:8784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15252

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\A75XOOG6\RW1kENf[1].png"
3⤵
PID:8800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15340

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\B7WXTMOI\RW1dYo3[1].png"
3⤵
PID:8824

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\B7WXTMOI\RW1kPif[1].png"
3⤵
PID:8840

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:5044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\K8LP5RFI\RW1dOLr[1].png"
3⤵
PID:8884

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\K8LP5RFI\RW1kPie[1].png"
3⤵
PID:7984

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.StartMenuExperienceHost_cw5n1h2txyewy\AC\INetCache\OLIYNWYZ\RW1dYo2[1].png"
3⤵
PID:7148

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3552

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{416db75e-5007-4c49-ab50-59218770975e}\0.0.filtertrie.intermediate.txt"
3⤵
PID:8188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3124

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{416db75e-5007-4c49-ab50-59218770975e}\0.1.filtertrie.intermediate.txt"
3⤵
PID:7820

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{416db75e-5007-4c49-ab50-59218770975e}\0.2.filtertrie.intermediate.txt"
3⤵
PID:7412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15292

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{a752e130-d94a-4d0c-b546-dcd516c2ef51}\0.0.filtertrie.intermediate.txt"
3⤵
PID:7960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{a752e130-d94a-4d0c-b546-dcd516c2ef51}\0.1.filtertrie.intermediate.txt"
3⤵
PID:8044

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:696

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{a752e130-d94a-4d0c-b546-dcd516c2ef51}\0.2.filtertrie.intermediate.txt"
3⤵
PID:8072

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1112

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{31d79b48-f50e-460b-ac4f-7b4251f9ca93}\appsconversions.txt"
3⤵
PID:8660

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15324

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{31d79b48-f50e-460b-ac4f-7b4251f9ca93}\appsglobals.txt"
3⤵
PID:8380

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14956

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{31d79b48-f50e-460b-ac4f-7b4251f9ca93}\appssynonyms.txt"
3⤵
PID:8836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1664

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{31d79b48-f50e-460b-ac4f-7b4251f9ca93}\settingsconversions.txt"
3⤵
PID:8436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:14556

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{31d79b48-f50e-460b-ac4f-7b4251f9ca93}\settingsglobals.txt"
3⤵
PID:8532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1652

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{31d79b48-f50e-460b-ac4f-7b4251f9ca93}\settingssynonyms.txt"
3⤵
PID:8608

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15460

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{ecddc5c0-f0f6-4c9e-bdf2-2ccb1ffe75fa}\0.0.filtertrie.intermediate.txt"
3⤵
PID:9580

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{ecddc5c0-f0f6-4c9e-bdf2-2ccb1ffe75fa}\0.1.filtertrie.intermediate.txt"
3⤵
PID:9600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3568

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{ecddc5c0-f0f6-4c9e-bdf2-2ccb1ffe75fa}\0.2.filtertrie.intermediate.txt"
3⤵
PID:9996

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4436

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\File Explorer.lnk"
3⤵
PID:10016

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15172

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk"
3⤵
PID:10028

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1116

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk"
3⤵
PID:10044

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Microsoft Edge.lnk"
3⤵
PID:10060

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15408

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Magnify.lnk"
3⤵
PID:10076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Narrator.lnk"
3⤵
PID:10088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2612

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\On-Screen Keyboard.lnk"
3⤵
PID:10100

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1480

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Command Prompt.lnk"
3⤵
PID:10112

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1304

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Control Panel.lnk"
3⤵
PID:10124

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15600

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Run.lnk"
3⤵
PID:10136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4652

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell (x86).lnk"
3⤵
PID:10164

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell.lnk"
3⤵
PID:10176

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1192

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\128.png"
3⤵
PID:10192

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3120

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\offscreendocument.html"
3⤵
PID:10204

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15268

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\MicrosoftWindows.Client.CBS_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\5M5V95W2\www.bing[1].xml"
3⤵
PID:10220

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2576

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\html\craw_window.html"
3⤵
PID:8704

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_128.png"
3⤵
PID:8676

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_16.png"
3⤵
PID:8132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:564

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button.png"
3⤵
PID:8740

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_close.png"
3⤵
PID:8328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:288

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_hover.png"
3⤵
PID:9356

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15260

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_maximize.png"
3⤵
PID:9488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3176

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_pressed.png"
3⤵
PID:9556

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2852

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\128.png"
3⤵
PID:10244

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\192.png"
3⤵
PID:10268

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4468

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\256.png"
3⤵
PID:10948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15572

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\32.png"
3⤵
PID:11204

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13220

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\48.png"
3⤵
PID:11220

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15436

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\64.png"
3⤵
PID:11240

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15824

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\96.png"
3⤵
PID:11256

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15772

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\128.png"
3⤵
PID:10160

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15468

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\192.png"
3⤵
PID:8116

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15544

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\256.png"
3⤵
PID:9836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3336

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\32.png"
3⤵
PID:10108

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15660

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\48.png"
3⤵
PID:10200

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15668

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\64.png"
3⤵
PID:8940

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\96.png"
3⤵
PID:9228

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15452

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\128.png"
3⤵
PID:11268

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15912

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\192.png"
3⤵
PID:11280

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:1828

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\256.png"
3⤵
PID:11300

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15676

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\32.png"
3⤵
PID:11312

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:2624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\48.png"
3⤵
PID:11328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15564

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\64.png"
3⤵
PID:11344

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15420

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\96.png"
3⤵
PID:11356

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4612

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\128.png"
3⤵
PID:11384

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\192.png"
3⤵
PID:11400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15652

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\256.png"
3⤵
PID:11420

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15764

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\32.png"
3⤵
PID:11440

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15780

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\48.png"
3⤵
PID:11456

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:3796

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\64.png"
3⤵
PID:11480

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15588

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\96.png"
3⤵
PID:11500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4008

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\128.png"
3⤵
PID:11528

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\192.png"
3⤵
PID:11544

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:4660

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\256.png"
3⤵
PID:11564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15556

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\32.png"
3⤵
PID:11576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15400

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\48.png"
3⤵
PID:11976

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15808

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\64.png"
3⤵
PID:12004

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15888

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\96.png"
3⤵
PID:12024

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15632

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\128.png"
3⤵
PID:12052

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15904

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\192.png"
3⤵
PID:12184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15428

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\256.png"
3⤵
PID:12196

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:12836

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\32.png"
3⤵
PID:12208

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\48.png"
3⤵
PID:12220

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\64.png"
3⤵
PID:12232

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:13336

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\96.png"
3⤵
PID:12244

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
4⤵
PID:15444

C:\Windows\System32\SevenCopy.exe
C:\Windows\System32\SevenCopy.exe
1⤵
- Disables RegEdit via registry modification
- Disables cmd.exe use via registry modification
- Executes dropped EXE
- Drops file in System32 directory
PID:16336

C:\Windows\SYSTEM32\cmd.exe
C:\Windows\SYSTEM32\cmd.exe /c "C:\Windows\System32\KillCMD.bat"
1⤵
PID:16344

C:\Windows\SYSTEM32\cmd.exe
C:\Windows\SYSTEM32\cmd.exe /c "C:\Windows\System32\KillMMC.bat"
1⤵
PID:16352

Network

MITRE ATT&CK Matrix ATT&CK v13

Initial Access

Execution

Persistence

Create or Modify System Process

1

T1543

Windows Service

1

T1543.003

Privilege Escalation

Create or Modify System Process

1

T1543

Windows Service

1

T1543.003

Abuse Elevation Control Mechanism

1

T1548

Bypass User Account Control

1

T1548.002

Defense Evasion

Modify Registry

4

T1112

Impair Defenses

3

T1562

Disable or Modify Tools

3

T1562.001

Abuse Elevation Control Mechanism

1

T1548

Bypass User Account Control

1

T1548.002

Credential Access

Unsecured Credentials

1

T1552

Credentials In Files

1

T1552.001

Discovery

System Information Discovery

1

T1082

Query Registry

1

T1012

Lateral Movement

Collection

Data from Local System

1

T1005

Exfiltration

Command and Control

Impact

Resource Development

Reconnaissance

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Temp\SevenCopy.exe
Filesize
74.3MB

MD5
15a70d3e34a04721e328aebcae98dfcc

SHA1
04742e76346ca12dcaeee83bf345fd28f735aabc

SHA256
e66f93950eb89d5a9c526efe94b1424b40c2be94b8fc63a4696064c177549e6c

SHA512
f593e2249a79e1d150ff0954edb49d262d969647359cad7fca6d37846039856de852c5b315f03e154da7658adfcc8ac8701f446f3a7d7ae1e30bb85ae1607e79

Download Submit
C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_1ebraxu4.hwr.ps1
Filesize
60B

MD5
d17fe0a3f47be24a6453e9ef58c94641

SHA1
6ab83620379fc69f80c0242105ddffd7d98d5d9d

SHA256
96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

SHA512
5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

Download Submit
C:\Windows\System32\KillCMD.bat
Filesize
54B

MD5
2962944c19da9fe7d73e36a1e46264c3

SHA1
a5c9eb0f17c74aac7c9b3a4257720ffff5a923e2

SHA256
8d4711908870baea82ad2cd4ad9909087cde874a196f3b808c128c2652fe0028

SHA512
19f77974c1f52f675ada628d001731c89ff0900647d9eb5d4c880bc11506ce9d420898906f4566e097b7bb01f0ed5e28bfb13d1c46a412bbe99aade9b363d133

Download Submit
C:\Windows\System32\KillMMC.bat
Filesize
54B

MD5
b595b6e486bdba62e6efaf29a8c317d2

SHA1
be05a02462234b2d2afd7efea8ccfdf63b1c8c0a

SHA256
ab327cd6963ad38ee1e08936cdb0198112d6087ce54632fbebf72c5404249d4e

SHA512
8f6dea47d09ba07e4f65b385b4c6d8d275f98ee4e04a3e3eaeb6e5cdde9cf9afacdffd58825ab39f6334e7e334b5ba9319e4c7d13c1b09bfe7d2807aff2c1280

Download Submit
memory/824-2-0x000001F69D4F0000-0x000001F69D512000-memory.dmp

Filesize
136KB

Download
memory/824-11-0x00007FFCDF1D0000-0x00007FFCDFC92000-memory.dmp

Filesize
10.8MB

Download
memory/824-14-0x000001F684E50000-0x000001F684E60000-memory.dmp

Filesize
64KB

Download
memory/824-13-0x000001F684E50000-0x000001F684E60000-memory.dmp

Filesize
64KB

Download
memory/824-12-0x000001F684E50000-0x000001F684E60000-memory.dmp

Filesize
64KB

Download
memory/824-15-0x000001F684E50000-0x000001F684E60000-memory.dmp

Filesize
64KB

Download
memory/824-18-0x00007FFCDF1D0000-0x00007FFCDFC92000-memory.dmp

Filesize
10.8MB

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Matrix ATT&CK v13

Replay Monitor

Loading Replay Monitor...

Downloads