5bfa662b7aeb1148a4332102316ef2d8bb68c4e7897b2637af151ff6d2be567e

General

Target

Seven.exe
Size

139KB
MD5

6503f847c3281ff85b304fc674b62580
SHA1

947536e0741c085f37557b7328b067ef97cb1a61
SHA256

afd7657f941024ef69ca34d1e61e640c5523b19b0fad4dcb1c9f1b01a6fa166f
SHA512

abc3b32a1cd7d0a60dd7354a9fcdff0bc37ec8a20bb2a8258353716d820f62d343c6ba9385ba893be0cca981bbb9ab4e189ccfeee6dd77cc0dc723e975532174
SSDEEP

3072:miS4omp03WQthI/9S3BZi08iRQ1G78IVn27bSfcJd8lto:miS4ompB9S3BZi0a1G78IVhcTct

Score

10^/10

evasion spyware stealer trojan

Malware Config

Signatures

Modifies Windows Defender Real-time Protection settings 3 TTPs 4 IoCs

evasion trojan

Modify Registry

T1112

Windows Service

T1543.003

Disable or Modify Tools

T1562.001

Processes:

Seven.exe

description	ioc	process
Key created	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableBehaviorMonitoring = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableOnAccessProtection = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableScanOnRealtimeEnable = "1"	Seven.exe

UAC bypass 3 TTPs 2 IoCs

evasion trojan

Bypass User Account Control

T1548.002

Disable or Modify Tools

T1562.001

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Blocks application from running via registry modification 1 IoCs
Adds application to list of disallowed applications.
evasion

Processes:

Seven.exe

description ioc process

Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun = "1" Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun = "1"	Seven.exe

Disables RegEdit via registry modification 1 IoCs

evasion

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-2860750803-256193626-1801997576-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = "1"	Seven.exe

Disables Task Manager via registry modification
evasion

Disables cmd.exe use via registry modification 1 IoCs

evasion

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-2860750803-256193626-1801997576-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD = "1"	Seven.exe

Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.

Query Registry
T1012

System Information Discovery
T1082

Processes:

Seven.exe

description ioc process

Key value queried \REGISTRY\USER\S-1-5-21-2860750803-256193626-1801997576-1000\Control Panel\International\Geo\Nation Seven.exe
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
spyware stealer

Data from Local System
T1005

Credentials In Files
T1552.001
Windows security modification 2 TTPs 1 IoCs
evasion trojan

Disable or Modify Tools
T1562.001

Modify Registry
T1112

Processes:

Seven.exe

description ioc process

Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0" Seven.exe

description	ioc	process
Key value queried	\REGISTRY\USER\S-1-5-21-2860750803-256193626-1801997576-1000\Control Panel\International\Geo\Nation	Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0"	Seven.exe

Checks whether UAC is enabled 1 TTPs 2 IoCs

evasion trojan

System Information Discovery

T1082

Processes:

Seven.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe

Drops desktop.ini file(s) 7 IoCs

Processes:

Seven.exe

description	ioc	process
File opened for modification	C:\Users\Admin\Pictures\Saved Pictures\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Documents\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Music\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Pictures\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Pictures\Camera Roll\desktop.ini	Seven.exe

Opens file in notepad (likely ransom note) 1 IoCs
ransomware

Processes:

NOTEPAD.EXE

pid process

14000 NOTEPAD.EXE
Suspicious behavior: EnumeratesProcesses 4 IoCs

Processes:

powershell.exe

pid process

2060 powershell.exe
2060 powershell.exe
2060 powershell.exe
2060 powershell.exe
Suspicious use of AdjustPrivilegeToken 1 IoCs

Processes:

powershell.exe

description pid process

Token: SeDebugPrivilege 2060 powershell.exe

pid	process
14000	NOTEPAD.EXE

pid	process
2060	powershell.exe
2060	powershell.exe
2060	powershell.exe
2060	powershell.exe

description	pid	process
Token: SeDebugPrivilege	2060	powershell.exe

Suspicious use of WriteProcessMemory 64 IoCs

Processes:

Seven.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.exe

description	pid	process	target process
PID 5064 wrote to memory of 544	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 544	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 4392	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 4392	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 1816	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 1816	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 1644	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 1644	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2384	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2384	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2860	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2860	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2156	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2156	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 3972	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 3972	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 1212	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 1212	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 3932	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 3932	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2436	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 2436	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 564	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 564	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 4204	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 4204	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 3024	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 3024	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 116	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 116	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 960	5064	Seven.exe	cmd.exe
PID 5064 wrote to memory of 960	5064	Seven.exe	cmd.exe
PID 4204 wrote to memory of 3784	4204	cmd.exe	choice.exe
PID 4204 wrote to memory of 3784	4204	cmd.exe	choice.exe
PID 3932 wrote to memory of 672	3932	cmd.exe	choice.exe
PID 3932 wrote to memory of 672	3932	cmd.exe	choice.exe
PID 960 wrote to memory of 2356	960	cmd.exe	choice.exe
PID 960 wrote to memory of 2356	960	cmd.exe	choice.exe
PID 116 wrote to memory of 208	116	cmd.exe	choice.exe
PID 116 wrote to memory of 208	116	cmd.exe	choice.exe
PID 2436 wrote to memory of 4904	2436	cmd.exe	choice.exe
PID 2436 wrote to memory of 4904	2436	cmd.exe	choice.exe
PID 1816 wrote to memory of 3872	1816	cmd.exe	choice.exe
PID 1816 wrote to memory of 3872	1816	cmd.exe	choice.exe
PID 1644 wrote to memory of 4376	1644	cmd.exe	choice.exe
PID 1644 wrote to memory of 4376	1644	cmd.exe	choice.exe
PID 544 wrote to memory of 3240	544	cmd.exe	choice.exe
PID 544 wrote to memory of 3240	544	cmd.exe	choice.exe
PID 4392 wrote to memory of 1860	4392	cmd.exe	choice.exe
PID 4392 wrote to memory of 1860	4392	cmd.exe	choice.exe
PID 2860 wrote to memory of 4760	2860	cmd.exe	choice.exe
PID 2860 wrote to memory of 4760	2860	cmd.exe	choice.exe
PID 1212 wrote to memory of 100	1212	cmd.exe	choice.exe
PID 1212 wrote to memory of 100	1212	cmd.exe	choice.exe
PID 2156 wrote to memory of 1220	2156	cmd.exe	choice.exe
PID 2156 wrote to memory of 1220	2156	cmd.exe	choice.exe
PID 2384 wrote to memory of 3112	2384	cmd.exe	choice.exe
PID 2384 wrote to memory of 3112	2384	cmd.exe	choice.exe
PID 3024 wrote to memory of 440	3024	cmd.exe	choice.exe
PID 3024 wrote to memory of 440	3024	cmd.exe	choice.exe
PID 3972 wrote to memory of 4300	3972	cmd.exe	choice.exe
PID 3972 wrote to memory of 4300	3972	cmd.exe	choice.exe
PID 564 wrote to memory of 4328	564	cmd.exe	choice.exe
PID 564 wrote to memory of 4328	564	cmd.exe	choice.exe

System policy modification 1 TTPs 3 IoCs

evasion

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun = "1"	Seven.exe

Uses Task Scheduler COM API 1 TTPs
The Task Scheduler COM API can be used to schedule applications to run on boot or at set times.
persistence

Query Registry
T1012

C:\Users\Admin\AppData\Local\Temp\Seven.exe
"C:\Users\Admin\AppData\Local\Temp\Seven.exe"
1⤵
- Modifies Windows Defender Real-time Protection settings
- UAC bypass
- Blocks application from running via registry modification
- Disables RegEdit via registry modification
- Disables cmd.exe use via registry modification
- Checks computer location settings
- Windows security modification
- Checks whether UAC is enabled
- Drops desktop.ini file(s)
- Suspicious use of WriteProcessMemory
- System policy modification
PID:5064

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log-MSI_vc_red.msi.txt"
2⤵
- Suspicious use of WriteProcessMemory
PID:544

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3240

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log.html"
2⤵
- Suspicious use of WriteProcessMemory
PID:4392

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1860

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log-MSI_vc_red.msi.txt"
2⤵
- Suspicious use of WriteProcessMemory
PID:1816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log.html"
2⤵
- Suspicious use of WriteProcessMemory
PID:1644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4376

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_0_vcRuntimeMinimum_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:2384

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3112

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_1_vcRuntimeAdditional_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:2860

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4760

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_0_vcRuntimeMinimum_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:2156

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1220

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_1_vcRuntimeAdditional_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:3972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4300

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_000_vcRuntimeMinimum_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:1212

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_001_vcRuntimeAdditional_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:3932

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:672

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_000_vcRuntimeMinimum_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:2436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4904

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_001_vcRuntimeAdditional_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4328

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_000_vcRuntimeMinimum_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:4204

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_001_vcRuntimeAdditional_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:3024

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_000_vcRuntimeMinimum_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:116

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_001_vcRuntimeAdditional_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\ExitProtect.docx"
2⤵
PID:3900

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\FormatPing.xlsx"
2⤵
PID:4472

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13944

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\Microsoft Edge.lnk"
2⤵
PID:4968

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\UninstallPing.xlsx"
2⤵
PID:5056

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Are.docx"
2⤵
PID:3436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13916

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\EditRevoke.xlsx"
2⤵
PID:1108

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Files.docx"
2⤵
PID:1240

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14028

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Opened.docx"
2⤵
PID:4056

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Recently.docx"
2⤵
PID:3448

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13832

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\StartOptimize.ppt"
2⤵
PID:4532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13952

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\These.docx"
2⤵
PID:3656

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14088

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\JoinRename.png"
2⤵
PID:1788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14072

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\OpenDismount.bmp"
2⤵
PID:3020

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13808

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\RemoveTrace.pptx"
2⤵
PID:3648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\ShowInvoke.docx"
2⤵
PID:4412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13924

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\StopFind.html"
2⤵
PID:1064

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14132

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\StopUnregister.jpg"
2⤵
PID:4064

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14124

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\WaitEnable.png"
2⤵
PID:2104

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13816

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Desktop.lnk"
2⤵
PID:4324

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13824

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Downloads.lnk"
2⤵
PID:1916

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13968

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\InitializeReceive.php"
2⤵
PID:5068

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14188

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\PublishEnter.asp"
2⤵
PID:4316

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14116

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\ResolveSuspend.docx"
2⤵
PID:2620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13864

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\SendInitialize.html"
2⤵
PID:1484

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14108

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\StartRemove.png"
2⤵
PID:1040

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14140

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\LimitEnable.jpg"
2⤵
PID:4396

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14020

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\My Wallpaper.jpg"
2⤵
PID:2544

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13840

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\RegisterExpand.jpg"
2⤵
PID:1804

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14824

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\RestartUse.png"
2⤵
PID:4956

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14528

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\WaitSwitch.bmp"
2⤵
PID:4992

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14148

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\WriteEnable.jpg"
2⤵
PID:3092

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14576

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\SwitchSuspend.csv"
2⤵
PID:2800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13988

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\BroadcastMsg_1713510821.txt"
2⤵
PID:4896

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4332

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_NDP472-KB4054530-x86-x64-AllOS-ENU_decompression_log.txt"
2⤵
PID:5040

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15184

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI24F4.txt"
2⤵
PID:2380

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14080

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI2518.txt"
2⤵
PID:5124

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15216

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI24F4.txt"
2⤵
PID:5136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15756

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI2518.txt"
2⤵
PID:5148

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14156

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\jawshtml.html"
2⤵
PID:5164

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14748

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\mapping.csv"
2⤵
PID:5184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Microsoft .NET Framework 4.7.2 Setup_20240419_070859354.html"
2⤵
PID:5196

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14344

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\brndlog.txt"
2⤵
PID:5208

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13976

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\OneDrive.VisualElementsManifest.xml"
2⤵
PID:5220

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\edge_shutdown_ms.txt"
2⤵
PID:5232

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2604

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\IECompatData\iecompatdata.xml"
2⤵
PID:5248

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14036

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\excel.exe_Rules.xml"
2⤵
PID:5264

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:752

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\msoia.exe_Rules.xml"
2⤵
PID:5292

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14172

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\office2016setup.exe_Rules.xml"
2⤵
PID:5344

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4012

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\officeclicktorun.exe_Rules.xml"
2⤵
PID:5360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3568

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\onenote.exe_Rules.xml"
2⤵
PID:5372

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14416

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\winword.exe_Rules.xml"
2⤵
PID:5392

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14840

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\alertIcon.png"
2⤵
PID:5412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppBlue.png"
2⤵
PID:5440

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5076

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorBlue.png"
2⤵
PID:5460

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14560

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorWhite.png"
2⤵
PID:5476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14376

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppWhite.png"
2⤵
PID:5496

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14908

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AutoPlayOptIn.png"
2⤵
PID:5516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13536

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppBlue.png"
2⤵
PID:5544

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14656

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppWhite.png"
2⤵
PID:5564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14520

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Error.png"
2⤵
PID:5588

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15232

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ErrorPage.html"
2⤵
PID:5608

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14552

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMHeroToast.png"
2⤵
PID:5620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3164

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMLockedFileToast.png"
2⤵
PID:5640

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14504

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMScanExclusionToast.png"
2⤵
PID:5660

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14724

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\LoadingPage.html"
2⤵
PID:5696

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15320

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\OneDriveLogo.png"
2⤵
PID:5720

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2860

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaCritical.png"
2⤵
PID:5736

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14716

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaError.png"
2⤵
PID:5760

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15700

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaNearing.png"
2⤵
PID:5776

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14664

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\TestSharePage.html"
2⤵
PID:5796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15572

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ThirdPartyNotices.txt"
2⤵
PID:5816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14980

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Warning.png"
2⤵
PID:5836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14164

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-100.png"
2⤵
PID:5848

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4800

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-125.png"
2⤵
PID:5860

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-150.png"
2⤵
PID:5872

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15072

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-200.png"
2⤵
PID:5912

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-400.png"
2⤵
PID:5936

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-100.png"
2⤵
PID:5960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3688

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-125.png"
2⤵
PID:5976

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15036

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-150.png"
2⤵
PID:6000

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14448

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-200.png"
2⤵
PID:6016

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-400.png"
2⤵
PID:6036

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15160

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-100.png"
2⤵
PID:6056

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13848

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-125.png"
2⤵
PID:6076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4420

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-150.png"
2⤵
PID:6096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-200.png"
2⤵
PID:6112

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-400.png"
2⤵
PID:6132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14256

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-100.png"
2⤵
PID:5080

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15716

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-125.png"
2⤵
PID:3068

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-150.png"
2⤵
PID:5260

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3724

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-200.png"
2⤵
PID:644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15128

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-400.png"
2⤵
PID:5436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14700

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-100.png"
2⤵
PID:5508

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5084

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-125.png"
2⤵
PID:2216

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4632

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-150.png"
2⤵
PID:6156

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15692

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-200.png"
2⤵
PID:6180

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15420

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-400.png"
2⤵
PID:6196

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14756

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-100.png"
2⤵
PID:6212

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14672

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-125.png"
2⤵
PID:6232

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2612

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-150.png"
2⤵
PID:6252

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-200.png"
2⤵
PID:6276

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2792

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-400.png"
2⤵
PID:6292

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14632

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\Shell\DefaultLayouts.xml"
2⤵
PID:6316

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15644

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk"
2⤵
PID:6332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15636

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Microsoft Edge.lnk"
2⤵
PID:6360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1376

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk"
2⤵
PID:6372

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15064

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk"
2⤵
PID:6392

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14496

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Are.docx.lnk"
2⤵
PID:6412

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1896

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Files.docx.lnk"
2⤵
PID:6432

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1868

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Opened.docx.lnk"
2⤵
PID:6452

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5112

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Recently.docx.lnk"
2⤵
PID:6464

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3776

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\These.docx.lnk"
2⤵
PID:6484

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\SendTo\Fax Recipient.lnk"
2⤵
PID:6496

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1644

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\Default\Microsoft Edge.lnk"
2⤵
PID:6508

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13856

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\images\blurrect.png"
2⤵
PID:6532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4308

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group1\1 - Desktop.lnk"
2⤵
PID:6552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14352

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\1 - Run.lnk"
2⤵
PID:6572

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15136

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\2 - Search.lnk"
2⤵
PID:6592

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14740

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\3 - Windows Explorer.lnk"
2⤵
PID:6616

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15780

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\4 - Control Panel.lnk"
2⤵
PID:6628

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15500

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\5 - Task Manager.lnk"
2⤵
PID:6644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15056

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01 - Command Prompt.lnk"
2⤵
PID:6668

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01a - Windows PowerShell.lnk"
2⤵
PID:6692

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15732

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02 - Command Prompt.lnk"
2⤵
PID:6720

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02a - Windows PowerShell.lnk"
2⤵
PID:6744

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15596

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\03 - Computer Management.lnk"
2⤵
PID:6772

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04 - Disk Management.lnk"
2⤵
PID:6784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:548

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04-1 - NetworkStatus.lnk"
2⤵
PID:6796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3360

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\05 - Device Manager.lnk"
2⤵
PID:6808

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:444

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\06 - SystemAbout.lnk"
2⤵
PID:6820

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15144

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\07 - Event Viewer.lnk"
2⤵
PID:6832

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15152

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\08 - PowerAndSleep.lnk"
2⤵
PID:6848

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14832

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\09 - Mobility Center.lnk"
2⤵
PID:6860

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15004

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\10 - AppsAndFeatures.lnk"
2⤵
PID:6872

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15508

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579837245521736.txt"
2⤵
PID:6900

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4072

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579837928247116.txt"
2⤵
PID:6928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15940

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838254684814.txt"
2⤵
PID:6948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15224

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838451029087.txt"
2⤵
PID:6960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838515694078.txt"
2⤵
PID:6972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14400

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838567180292.txt"
2⤵
PID:6996

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16004

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838750839126.txt"
2⤵
PID:7020

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14408

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838812679810.txt"
2⤵
PID:7044

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15676

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838854958362.txt"
2⤵
PID:7076

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15252

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579839873338736.txt"
2⤵
PID:7088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15244

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579840507559806.txt"
2⤵
PID:7120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15344

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579844022702774.txt"
2⤵
PID:7136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14600

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579844322952340.txt"
2⤵
PID:7156

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13804

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579844624250116.txt"
2⤵
PID:1908

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15660

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579844979319796.txt"
2⤵
PID:5868

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14392

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579845400670849.txt"
2⤵
PID:5928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15368

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579845577900100.txt"
2⤵
PID:5536

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14956

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579847200385598.txt"
2⤵
PID:1516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579847499992299.txt"
2⤵
PID:5652

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15740

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579847800283963.txt"
2⤵
PID:7184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15964

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579848100459721.txt"
2⤵
PID:7204

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15428

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579848894597947.txt"
2⤵
PID:7228

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:976

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579859691985302.txt"
2⤵
PID:7240

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15708

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\SettingsCache.txt"
2⤵
PID:7272

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14848

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"
2⤵
PID:7296

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15652

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Themes\CachedFiles\CachedImage_1280_720_POS4.jpg"
2⤵
PID:7312

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15980

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\k6zex9vv.default-release\pkcs11.txt"
2⤵
PID:7336

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15336

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\I50YRZD3\update100[1].xml"
2⤵
PID:7356

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15668

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\X2NSSXLH\known_providers_download_v1[1].xml"
2⤵
PID:7380

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2888

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\squaretile.png"
2⤵
PID:7400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15548

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\tinytile.png"
2⤵
PID:7420

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14856

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\squaretile.png"
2⤵
PID:7436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\tinytile.png"
2⤵
PID:7464

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15200

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\squaretile.png"
2⤵
PID:7476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\tinytile.png"
2⤵
PID:7496

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14964

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\squaretile.png"
2⤵
PID:7516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14808

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\tinytile.png"
2⤵
PID:7536

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4976

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{2ebe6a11-de91-4077-996f-4f928bc5976b}\0.0.filtertrie.intermediate.txt"
2⤵
PID:7556

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15120

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{2ebe6a11-de91-4077-996f-4f928bc5976b}\0.1.filtertrie.intermediate.txt"
2⤵
PID:7576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{2ebe6a11-de91-4077-996f-4f928bc5976b}\0.2.filtertrie.intermediate.txt"
2⤵
PID:7592

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15748

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{39cbc589-0e9f-4643-9bd1-14b1344aa8da}\0.0.filtertrie.intermediate.txt"
2⤵
PID:7616

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15604

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{39cbc589-0e9f-4643-9bd1-14b1344aa8da}\0.1.filtertrie.intermediate.txt"
2⤵
PID:7628

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15620

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{39cbc589-0e9f-4643-9bd1-14b1344aa8da}\0.2.filtertrie.intermediate.txt"
2⤵
PID:7640

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{78006fd9-97ea-4e8b-944e-a99df6b04196}\0.0.filtertrie.intermediate.txt"
2⤵
PID:7652

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14692

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{78006fd9-97ea-4e8b-944e-a99df6b04196}\0.1.filtertrie.intermediate.txt"
2⤵
PID:7664

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14900

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{78006fd9-97ea-4e8b-944e-a99df6b04196}\0.2.filtertrie.intermediate.txt"
2⤵
PID:7680

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{c8c8a0c5-5b6a-469a-ad55-8725a0448738}\appsconversions.txt"
2⤵
PID:7732

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1816

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{c8c8a0c5-5b6a-469a-ad55-8725a0448738}\appsglobals.txt"
2⤵
PID:7760

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15112

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{c8c8a0c5-5b6a-469a-ad55-8725a0448738}\appssynonyms.txt"
2⤵
PID:7788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13424

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{c8c8a0c5-5b6a-469a-ad55-8725a0448738}\settingsconversions.txt"
2⤵
PID:7836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3488

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{c8c8a0c5-5b6a-469a-ad55-8725a0448738}\settingsglobals.txt"
2⤵
PID:7852

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3188

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{c8c8a0c5-5b6a-469a-ad55-8725a0448738}\settingssynonyms.txt"
2⤵
PID:7880

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15588

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{3ca7e305-e169-4803-b267-dc38483a5382}\0.0.filtertrie.intermediate.txt"
2⤵
PID:7896

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{3ca7e305-e169-4803-b267-dc38483a5382}\0.1.filtertrie.intermediate.txt"
2⤵
PID:7928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2900

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{3ca7e305-e169-4803-b267-dc38483a5382}\0.2.filtertrie.intermediate.txt"
2⤵
PID:7948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14708

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{fadcd841-1261-4517-ac09-1289a2098b6f}\0.0.filtertrie.intermediate.txt"
2⤵
PID:7968

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15556

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{fadcd841-1261-4517-ac09-1289a2098b6f}\0.1.filtertrie.intermediate.txt"
2⤵
PID:7984

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14472

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{fadcd841-1261-4517-ac09-1289a2098b6f}\0.2.filtertrie.intermediate.txt"
2⤵
PID:8008

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15764

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\File Explorer.lnk"
2⤵
PID:8020

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14360

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk"
2⤵
PID:8036

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14368

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk"
2⤵
PID:8056

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14456

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Microsoft Edge.lnk"
2⤵
PID:8072

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15564

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Magnify.lnk"
2⤵
PID:8096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14764

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Narrator.lnk"
2⤵
PID:8116

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2688

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\On-Screen Keyboard.lnk"
2⤵
PID:8136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4552

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Internet Explorer.lnk"
2⤵
PID:8156

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14892

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Administrative Tools.lnk"
2⤵
PID:8176

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4256

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Command Prompt.lnk"
2⤵
PID:8188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14864

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\computer.lnk"
2⤵
PID:5708

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Control Panel.lnk"
2⤵
PID:5732

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14424

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\File Explorer.lnk"
2⤵
PID:5408

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:456

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Run.lnk"
2⤵
PID:6368

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15612

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell (x86).lnk"
2⤵
PID:6480

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell.lnk"
2⤵
PID:5900

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15176

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\128.png"
2⤵
PID:6708

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15724

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\offscreendocument.html"
2⤵
PID:5540

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15328

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\EGU4Q1MN\microsoft.windows[1].xml"
2⤵
PID:6072

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14480

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\RGTD1OIS\www.bing[1].xml"
2⤵
PID:8204

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14816

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\html\craw_window.html"
2⤵
PID:8216

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14684

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_128.png"
2⤵
PID:8228

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15804

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_16.png"
2⤵
PID:8240

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15168

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button.png"
2⤵
PID:8252

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15096

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_close.png"
2⤵
PID:8264

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15988

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_hover.png"
2⤵
PID:8276

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_maximize.png"
2⤵
PID:8288

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15088

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_pressed.png"
2⤵
PID:8300

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\128.png"
2⤵
PID:8328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4628

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\192.png"
2⤵
PID:8340

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\256.png"
2⤵
PID:8352

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15268

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\32.png"
2⤵
PID:8364

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:380

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\48.png"
2⤵
PID:8376

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15192

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\64.png"
2⤵
PID:8388

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\96.png"
2⤵
PID:8400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\128.png"
2⤵
PID:8416

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14512

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\192.png"
2⤵
PID:8436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14988

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\256.png"
2⤵
PID:8460

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14592

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\32.png"
2⤵
PID:8488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14916

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\48.png"
2⤵
PID:8500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15376

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\64.png"
2⤵
PID:8512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14464

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\96.png"
2⤵
PID:8540

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15260

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\128.png"
2⤵
PID:8552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15772

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\192.png"
2⤵
PID:8564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:396

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\256.png"
2⤵
PID:8576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14488

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\32.png"
2⤵
PID:8588

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15492

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\48.png"
2⤵
PID:8600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15684

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\64.png"
2⤵
PID:8612

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\96.png"
2⤵
PID:8624

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15080

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\128.png"
2⤵
PID:8636

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\192.png"
2⤵
PID:8648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1976

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\256.png"
2⤵
PID:8660

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15956

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\32.png"
2⤵
PID:8672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\48.png"
2⤵
PID:8684

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3800

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\64.png"
2⤵
PID:8696

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15484

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\96.png"
2⤵
PID:8708

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\128.png"
2⤵
PID:8720

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15104

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\192.png"
2⤵
PID:8732

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14924

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\256.png"
2⤵
PID:8744

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14648

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\32.png"
2⤵
PID:8756

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14940

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\48.png"
2⤵
PID:8768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1856

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\64.png"
2⤵
PID:8784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13872

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\96.png"
2⤵
PID:8796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\128.png"
2⤵
PID:8816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1496

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\192.png"
2⤵
PID:8836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\256.png"
2⤵
PID:8848

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1964

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\32.png"
2⤵
PID:8860

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14568

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\48.png"
2⤵
PID:8876

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15628

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\64.png"
2⤵
PID:8888

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3952

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\96.png"
2⤵
PID:8900

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1700

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
"powershell" Get-MpPreference -verbose
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:2060

C:\Windows\system32\NOTEPAD.EXE
"C:\Windows\system32\NOTEPAD.EXE" C:\Users\Admin\Desktop\EncryptedLog.txt
1⤵
- Opens file in notepad (likely ransom note)
PID:14000

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Create or Modify System Process

1

T1543

Windows Service

1

T1543.003

Privilege Escalation

Abuse Elevation Control Mechanism

1

T1548

Bypass User Account Control

1

T1548.002

Create or Modify System Process

1

T1543

Windows Service

1

T1543.003

Defense Evasion

Abuse Elevation Control Mechanism

1

T1548

Bypass User Account Control

1

T1548.002

Impair Defenses

3

T1562

Disable or Modify Tools

Modify Registry

Credential Access

Unsecured Credentials

1

T1552

Credentials In Files

1

T1552.001

Discovery

Query Registry

2

T1012

System Information Discovery

2

T1082

Lateral Movement

Collection

Data from Local System

1

T1005

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{fadcd841-1261-4517-ac09-1289a2098b6f}\0.1.filtertrie.intermediate.txt.420

Filesize
16B

MD5
e8aaa566651759e399714d464cdfb390

SHA1
373942a3618c8d5ff0ba8aab8e22d4a64e5641ae

SHA256
1a4a61c3ade192d7f35bb5879ba1493ac39369579eaf9f73c72c44a9ecfa3a6a

SHA512
23f835ffc6cfa06b864ee0f945dc844cb88aa1b0ab3cf2d0f8bf616c9a7446a563875ebd04f1b23d86d5a20ccc1a2cacd3e199c228cd73e8652c6f9e34b55ce2

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{fadcd841-1261-4517-ac09-1289a2098b6f}\0.2.filtertrie.intermediate.txt.420

Filesize
16B

MD5
209371fb985ae536f7a01b2cbf06fdeb

SHA1
6e5d735e5a6aef442f3342931eaf47d505763578

SHA256
4cef54ede857b123a2b675fdce8147dbcc1a7c4d471ec5bfd8791f9e2ad9c0b3

SHA512
53203c3447837fc04d0114f282e5b1efaeb1e81a90a9d50bd6384bd44823ab70c37f12aca73a52f803ba61a11ed3d7fd05ea04f79fc969212dce946df89b8bbe

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579838515694078.txt.420

Filesize
77KB

MD5
ccd6899680ab969cf8307cf47dd4f4e8

SHA1
2c59cfa65c4365a9296dae439358d8642ae6f3c0

SHA256
017f27ce648318c3d6f3e763bef01ae0375d1d606865a9b442d97ac7db4a0f74

SHA512
6e3f92ad5bc44810d0db428e05aeb5d174bf7b0d0546dba679ecb5e5afdb8e37b13c32101ced5f3f39690642d78be556f77d11ac4509e7ffb5b07930e79cd001

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579839873338736.txt.420

Filesize
47KB

MD5
a1a3feea7a332f9e97a62bc975eb8016

SHA1
1b28c0cf1ab5c10eb4cf0bad4618f213dd793ff7

SHA256
d4fee481ae945c46b3093d6d0b13c48453915d8ee8adc8b8acef0b551bced32b

SHA512
7539948701264c387a24768cb7d7c8e006f9cf7a64bce07c5f5eea84ec05e02d08d1c8e7c422185781cbea06139960259584116dec63ccc667ae91f76801a5c3

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133579847200385598.txt.420

Filesize
66KB

MD5
4a90573d4e1350bb3cb06a825fbd66de

SHA1
3f3ce3606d802cd06dda067fa2a07dfa745c90df

SHA256
5a74f880421a86087c44f74e3c105c9ec4fd4b1eae138984644c3d51d3e55242

SHA512
b09feba996e833c149a309cb45f56e79998cbdeb7fce71c15ef99a1615468aa62fd4c9b1cf3a4f802c27558a75db4c0885f84d65b1fdee979abde314d07c208c

Download Submit
C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_tysqgder.qhn.ps1

Filesize
60B

MD5
d17fe0a3f47be24a6453e9ef58c94641

SHA1
6ab83620379fc69f80c0242105ddffd7d98d5d9d

SHA256
96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

SHA512
5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

Download Submit
C:\Users\Admin\Desktop\EncryptedLog.txt

Filesize
114B

MD5
779b2e00d5f4665aecc2e28777506810

SHA1
3e8fd35f2966ad8487b9a4af968fab7bd3d45e9d

SHA256
c592bced77531c9f958bb8a01023a016852fc96a808d517573171a82be4aa0bf

SHA512
8292a3111c362b0ba42ff836ff16b7def846ba93b94793fd0547a9b8f2e748d5503f9fa35c2f82c5879f079ffa19703b4245a36fc9ad7567a2a7d2b33b8c3344

Download Submit
memory/2060-350-0x000001E3A7940000-0x000001E3A7962000-memory.dmp

Filesize
136KB

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v15

Replay Monitor

Loading Replay Monitor...

Downloads