9ab6ff2c7ecf0bef297c8b0b58122c42e18e087665d043aff7a9d3d02641f86f

Analysis

max time kernel
111s
max time network
103s
platform
windows10-2004_x64
resource
win10v2004-20240426-en
resource tags

arch:x64arch:x86image:win10v2004-20240426-enlocale:en-usos:windows10-2004-x64system
submitted
28-04-2024 08:48

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

Seven.exe
Size

139KB
MD5

6503f847c3281ff85b304fc674b62580
SHA1

947536e0741c085f37557b7328b067ef97cb1a61
SHA256

afd7657f941024ef69ca34d1e61e640c5523b19b0fad4dcb1c9f1b01a6fa166f
SHA512

abc3b32a1cd7d0a60dd7354a9fcdff0bc37ec8a20bb2a8258353716d820f62d343c6ba9385ba893be0cca981bbb9ab4e189ccfeee6dd77cc0dc723e975532174
SSDEEP

3072:miS4omp03WQthI/9S3BZi08iRQ1G78IVn27bSfcJd8lto:miS4ompB9S3BZi0a1G78IVhcTct

Score

10^/10

evasion spyware stealer trojan

Malware Config

Signatures

Modifies Windows Defender Real-time Protection settings 3 TTPs 4 IoCs

evasion trojan

Modify Registry

T1112

Windows Service

T1543.003

Disable or Modify Tools

T1562.001

Processes:

Seven.exe

description	ioc	process
Key created	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableBehaviorMonitoring = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableOnAccessProtection = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection\DisableScanOnRealtimeEnable = "1"	Seven.exe

UAC bypass 3 TTPs 2 IoCs

evasion trojan

Bypass User Account Control

T1548.002

Disable or Modify Tools

T1562.001

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Blocks application from running via registry modification 1 IoCs
Adds application to list of disallowed applications.
evasion

Processes:

Seven.exe

description ioc process

Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun = "1" Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun = "1"	Seven.exe

Disables RegEdit via registry modification 1 IoCs

evasion

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-711569230-3659488422-571408806-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools = "1"	Seven.exe

Disables Task Manager via registry modification
evasion

Disables cmd.exe use via registry modification 1 IoCs

evasion

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\USER\S-1-5-21-711569230-3659488422-571408806-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD = "1"	Seven.exe

Checks computer location settings 2 TTPs 1 IoCs
Looks up country code configured in the registry, likely geofence.

Query Registry
T1012

System Information Discovery
T1082

Processes:

Seven.exe

description ioc process

Key value queried \REGISTRY\USER\S-1-5-21-711569230-3659488422-571408806-1000\Control Panel\International\Geo\Nation Seven.exe
Reads user/profile data of web browsers 2 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
spyware stealer

Data from Local System
T1005

Credentials In Files
T1552.001
Windows security modification 2 TTPs 1 IoCs
evasion trojan

Disable or Modify Tools
T1562.001

Modify Registry
T1112

Processes:

Seven.exe

description ioc process

Set value (int) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0" Seven.exe

description	ioc	process
Key value queried	\REGISTRY\USER\S-1-5-21-711569230-3659488422-571408806-1000\Control Panel\International\Geo\Nation	Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows Defender\Features\TamperProtection = "0"	Seven.exe

Checks whether UAC is enabled 1 TTPs 2 IoCs

evasion trojan

System Information Discovery

T1082

Processes:

Seven.exe

description	ioc	process
Key value queried	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe

Drops desktop.ini file(s) 7 IoCs

Processes:

Seven.exe

description	ioc	process
File opened for modification	C:\Users\Admin\Pictures\Saved Pictures\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Documents\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Downloads\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Music\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Desktop\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Pictures\desktop.ini	Seven.exe
File opened for modification	C:\Users\Admin\Pictures\Camera Roll\desktop.ini	Seven.exe

Checks processor information in registry 2 TTPs 6 IoCs

Processor information is often read in order to detect sandboxing environments.

Query Registry

T1012

System Information Discovery

T1082

Processes:

WINWORD.EXEWINWORD.EXE

description	ioc	process
Key opened	\REGISTRY\MACHINE\Hardware\Description\System\CentralProcessor\0	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\~MHz	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString	WINWORD.EXE
Key opened	\REGISTRY\MACHINE\Hardware\Description\System\CentralProcessor\0	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\~MHz	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString	WINWORD.EXE

Enumerates system info in registry 2 TTPs 6 IoCs

Query Registry

T1012

System Information Discovery

T1082

Processes:

WINWORD.EXEWINWORD.EXE

description	ioc	process
Key opened	\REGISTRY\MACHINE\Hardware\Description\System\BIOS	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemFamily	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemSKU	WINWORD.EXE
Key opened	\REGISTRY\MACHINE\Hardware\Description\System\BIOS	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemFamily	WINWORD.EXE
Key value queried	\REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemSKU	WINWORD.EXE

Opens file in notepad (likely ransom note) 2 IoCs
ransomware

Processes:

NOTEPAD.EXENOTEPAD.EXE

pid process

10744 NOTEPAD.EXE
18052 NOTEPAD.EXE
Suspicious behavior: AddClipboardFormatListener 4 IoCs

Processes:

WINWORD.EXEWINWORD.EXE

pid process

9184 WINWORD.EXE
9184 WINWORD.EXE
4924 WINWORD.EXE
4924 WINWORD.EXE
Suspicious behavior: EnumeratesProcesses 3 IoCs

Processes:

powershell.exe

pid process

15764 powershell.exe
15764 powershell.exe
15764 powershell.exe
Suspicious use of AdjustPrivilegeToken 1 IoCs

Processes:

powershell.exe

description pid process

Token: SeDebugPrivilege 15764 powershell.exe

pid	process
10744	NOTEPAD.EXE
18052	NOTEPAD.EXE

pid	process
15764	powershell.exe
15764	powershell.exe
15764	powershell.exe

description	pid	process
Token: SeDebugPrivilege	15764	powershell.exe

Suspicious use of SetWindowsHookEx 14 IoCs

Processes:

WINWORD.EXEWINWORD.EXE

pid	process
9184	WINWORD.EXE
9184	WINWORD.EXE
9184	WINWORD.EXE
9184	WINWORD.EXE
9184	WINWORD.EXE
9184	WINWORD.EXE
9184	WINWORD.EXE
4924	WINWORD.EXE
4924	WINWORD.EXE
4924	WINWORD.EXE
4924	WINWORD.EXE
4924	WINWORD.EXE
4924	WINWORD.EXE
4924	WINWORD.EXE

Suspicious use of WriteProcessMemory 64 IoCs

Processes:

Seven.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.execmd.exe

description	pid	process	target process
PID 3196 wrote to memory of 2676	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 2676	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4428	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4428	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 1576	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 1576	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 2340	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 2340	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 5012	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 5012	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 2844	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 2844	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4348	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4348	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4888	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4888	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 1772	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 1772	3196	Seven.exe	cmd.exe
PID 4428 wrote to memory of 4220	4428	cmd.exe	choice.exe
PID 4428 wrote to memory of 4220	4428	cmd.exe	choice.exe
PID 3196 wrote to memory of 5088	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 5088	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 1824	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 1824	3196	Seven.exe	cmd.exe
PID 1576 wrote to memory of 2832	1576	cmd.exe	choice.exe
PID 1576 wrote to memory of 2832	1576	cmd.exe	choice.exe
PID 3196 wrote to memory of 3908	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 3908	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 3444	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 3444	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4588	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 4588	3196	Seven.exe	cmd.exe
PID 2676 wrote to memory of 4364	2676	cmd.exe	choice.exe
PID 2676 wrote to memory of 4364	2676	cmd.exe	choice.exe
PID 3196 wrote to memory of 2312	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 2312	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 564	3196	Seven.exe	cmd.exe
PID 3196 wrote to memory of 564	3196	Seven.exe	cmd.exe
PID 1772 wrote to memory of 3960	1772	cmd.exe	choice.exe
PID 1772 wrote to memory of 3960	1772	cmd.exe	choice.exe
PID 4888 wrote to memory of 2956	4888	cmd.exe	choice.exe
PID 4888 wrote to memory of 2956	4888	cmd.exe	choice.exe
PID 2340 wrote to memory of 3548	2340	cmd.exe	choice.exe
PID 2340 wrote to memory of 3548	2340	cmd.exe	choice.exe
PID 2844 wrote to memory of 3016	2844	cmd.exe	choice.exe
PID 2844 wrote to memory of 3016	2844	cmd.exe	choice.exe
PID 4588 wrote to memory of 2316	4588	cmd.exe	choice.exe
PID 4588 wrote to memory of 2316	4588	cmd.exe	choice.exe
PID 5012 wrote to memory of 1828	5012	cmd.exe	choice.exe
PID 5012 wrote to memory of 1828	5012	cmd.exe	choice.exe
PID 2312 wrote to memory of 1760	2312	cmd.exe	choice.exe
PID 2312 wrote to memory of 1760	2312	cmd.exe	choice.exe
PID 5088 wrote to memory of 5060	5088	cmd.exe	choice.exe
PID 5088 wrote to memory of 5060	5088	cmd.exe	choice.exe
PID 4348 wrote to memory of 2688	4348	cmd.exe	choice.exe
PID 4348 wrote to memory of 2688	4348	cmd.exe	choice.exe
PID 1824 wrote to memory of 3700	1824	cmd.exe	choice.exe
PID 1824 wrote to memory of 3700	1824	cmd.exe	choice.exe
PID 3444 wrote to memory of 4504	3444	cmd.exe	choice.exe
PID 3444 wrote to memory of 4504	3444	cmd.exe	choice.exe
PID 3908 wrote to memory of 3100	3908	cmd.exe	choice.exe
PID 3908 wrote to memory of 3100	3908	cmd.exe	choice.exe
PID 564 wrote to memory of 2952	564	cmd.exe	choice.exe
PID 564 wrote to memory of 2952	564	cmd.exe	choice.exe

System policy modification 1 TTPs 3 IoCs

evasion

Modify Registry

T1112

Processes:

Seven.exe

description	ioc	process
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\EnableLua = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun = "1"	Seven.exe
Set value (int)	\REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin = "1"	Seven.exe

Uses Task Scheduler COM API 1 TTPs
The Task Scheduler COM API can be used to schedule applications to run on boot or at set times.
persistence

Query Registry
T1012

C:\Users\Admin\AppData\Local\Temp\Seven.exe
"C:\Users\Admin\AppData\Local\Temp\Seven.exe"
1⤵
- Modifies Windows Defender Real-time Protection settings
- UAC bypass
- Blocks application from running via registry modification
- Disables RegEdit via registry modification
- Disables cmd.exe use via registry modification
- Checks computer location settings
- Windows security modification
- Checks whether UAC is enabled
- Drops desktop.ini file(s)
- Suspicious use of WriteProcessMemory
- System policy modification
PID:3196

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log-MSI_vc_red.msi.txt"
2⤵
- Suspicious use of WriteProcessMemory
PID:2676

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4364

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x64.log.html"
2⤵
- Suspicious use of WriteProcessMemory
PID:4428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4220

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log-MSI_vc_red.msi.txt"
2⤵
- Suspicious use of WriteProcessMemory
PID:1576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2832

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2010_x86.log.html"
2⤵
- Suspicious use of WriteProcessMemory
PID:2340

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3548

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_0_vcRuntimeMinimum_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:5012

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1828

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x64_1_vcRuntimeAdditional_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:2844

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3016

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_0_vcRuntimeMinimum_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:4348

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2688

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2012_x86_1_vcRuntimeAdditional_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:4888

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2956

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_000_vcRuntimeMinimum_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:1772

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x64_001_vcRuntimeAdditional_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:5088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_000_vcRuntimeMinimum_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:1824

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3700

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2013_x86_001_vcRuntimeAdditional_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:3908

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3100

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_000_vcRuntimeMinimum_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:3444

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4504

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x64_001_vcRuntimeAdditional_x64.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:4588

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2316

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_000_vcRuntimeMinimum_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:2312

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1760

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\vcredist2022_x86_001_vcRuntimeAdditional_x86.log"
2⤵
- Suspicious use of WriteProcessMemory
PID:564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2952

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\InitializeDebug.csv"
2⤵
PID:3912

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5856

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\RepairCheckpoint.png"
2⤵
PID:224

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:7944

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Desktop\UnprotectDismount.odt"
2⤵
PID:1644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:6876

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Are.docx"
2⤵
PID:3696

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:8728

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\CompareDisable.html"
2⤵
PID:2576

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:8712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\CopyDismount.odt"
2⤵
PID:916

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:8704

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\ExitSelect.xls"
2⤵
PID:3992

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:9384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Files.docx"
2⤵
PID:4704

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:8720

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\LockMerge.doc"
2⤵
PID:3096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10220

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\MergeClose.csv"
2⤵
PID:3184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:7108

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Opened.docx"
2⤵
PID:3972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:7728

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\Recently.docx"
2⤵
PID:3332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:9980

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\RedoGrant.html"
2⤵
PID:1764

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10288

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\RestartResize.pdf"
2⤵
PID:5092

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:9696

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Documents\These.docx"
2⤵
PID:1332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10120

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\ExitStart.png"
2⤵
PID:4760

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11924

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\GroupRead.xls"
2⤵
PID:4512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:8948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\UnlockConvertFrom.png"
2⤵
PID:4072

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11916

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Downloads\WaitDisable.odt"
2⤵
PID:1536

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10492

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Desktop.lnk"
2⤵
PID:4568

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10500

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Links\Downloads.lnk"
2⤵
PID:1616

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11244

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\DisableOptimize.txt"
2⤵
PID:2756

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:12528

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Music\RepairExit.xml"
2⤵
PID:1396

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11900

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\AddExpand.png"
2⤵
PID:456

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11504

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\EnterConvertFrom.bmp"
2⤵
PID:2308

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:12440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\HideStep.bmp"
2⤵
PID:4696

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11908

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\Pictures\My Wallpaper.jpg"
2⤵
PID:2672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:9164

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\AssertRestart.xls"
2⤵
PID:3968

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\BlockSplit.csv"
2⤵
PID:3132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:10828

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\RedoEnter.html"
2⤵
PID:2108

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13776

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\SyncOut.odt"
2⤵
PID:5148

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13768

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\BroadcastMsg_1714135575.txt"
2⤵
PID:5168

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:12808

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_NDP472-KB4054530-x86-x64-AllOS-ENU_decompression_log.txt"
2⤵
PID:5260

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13340

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI46F8.txt"
2⤵
PID:5284

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13108

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistMSI4719.txt"
2⤵
PID:5340

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI46F8.txt"
2⤵
PID:5400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:12756

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\dd_vcredistUI4719.txt"
2⤵
PID:5424

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\jawshtml.html"
2⤵
PID:5448

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Temp\Microsoft .NET Framework 4.7.2 Setup_20240426_124211808.html"
2⤵
PID:5468

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\brndlog.txt"
2⤵
PID:5484

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:11564

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\OneDrive.VisualElementsManifest.xml"
2⤵
PID:5504

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13360

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\chrome_shutdown_ms.txt"
2⤵
PID:5516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14156

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\edge_shutdown_ms.txt"
2⤵
PID:5532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13536

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Internet Explorer\IECompatData\iecompatdata.xml"
2⤵
PID:5552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13512

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\excel.exe_Rules.xml"
2⤵
PID:5564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13832

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\msoia.exe_Rules.xml"
2⤵
PID:5600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13980

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\office2016setup.exe_Rules.xml"
2⤵
PID:5712

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13840

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\officeclicktorun.exe_Rules.xml"
2⤵
PID:5724

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14324

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\onenote.exe_Rules.xml"
2⤵
PID:5736

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13860

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\winword.exe_Rules.xml"
2⤵
PID:5752

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13852

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\alertIcon.png"
2⤵
PID:5868

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14520

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppBlue.png"
2⤵
PID:5940

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorBlue.png"
2⤵
PID:5952

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppErrorWhite.png"
2⤵
PID:5964

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2956

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AppWhite.png"
2⤵
PID:5976

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2256

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\AutoPlayOptIn.png"
2⤵
PID:5988

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2476

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppBlue.png"
2⤵
PID:6004

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14192

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ElevatedAppWhite.png"
2⤵
PID:6108

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2184

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Error.png"
2⤵
PID:6120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ErrorPage.html"
2⤵
PID:6132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14448

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMHeroToast.png"
2⤵
PID:3160

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3664

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMLockedFileToast.png"
2⤵
PID:5216

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13132

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\KFMScanExclusionToast.png"
2⤵
PID:4196

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13524

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\LoadingPage.html"
2⤵
PID:5420

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1208

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\OneDriveLogo.png"
2⤵
PID:5436

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13528

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaCritical.png"
2⤵
PID:5512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2316

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaError.png"
2⤵
PID:5588

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3484

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\QuotaNearing.png"
2⤵
PID:5620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\TestSharePage.html"
2⤵
PID:6244

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14512

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\ThirdPartyNotices.txt"
2⤵
PID:6400

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14504

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\Warning.png"
2⤵
PID:6592

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:9608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-100.png"
2⤵
PID:6756

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15048

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-125.png"
2⤵
PID:6768

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15280

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-150.png"
2⤵
PID:6780

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14940

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-200.png"
2⤵
PID:6800

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14948

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-black_scale-400.png"
2⤵
PID:6812

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14688

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-100.png"
2⤵
PID:6888

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15204

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-125.png"
2⤵
PID:6928

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14788

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-150.png"
2⤵
PID:6948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-200.png"
2⤵
PID:6960

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14804

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.contrast-white_scale-400.png"
2⤵
PID:6972

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14764

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-100.png"
2⤵
PID:6988

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15064

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-125.png"
2⤵
PID:7000

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15072

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-150.png"
2⤵
PID:7144

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15056

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-200.png"
2⤵
PID:7160

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15080

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveMedTile.scale-400.png"
2⤵
PID:2352

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14724

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-100.png"
2⤵
PID:5836

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15288

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-125.png"
2⤵
PID:5796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:932

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-150.png"
2⤵
PID:5696

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4420

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-200.png"
2⤵
PID:5628

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15012

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-black_scale-400.png"
2⤵
PID:6268

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1168

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-100.png"
2⤵
PID:6104

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15272

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-125.png"
2⤵
PID:6192

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15316

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-150.png"
2⤵
PID:6556

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15328

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-200.png"
2⤵
PID:6216

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2812

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.contrast-white_scale-400.png"
2⤵
PID:6396

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15296

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-100.png"
2⤵
PID:6752

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15088

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-125.png"
2⤵
PID:6796

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14812

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-150.png"
2⤵
PID:6924

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15304

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-200.png"
2⤵
PID:7096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14772

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\LogoImages\OneDriveSmallTile.scale-400.png"
2⤵
PID:7176

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15212

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\Shell\DefaultLayouts.xml"
2⤵
PID:7188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15220

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk"
2⤵
PID:7332

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15264

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Microsoft Edge.lnk"
2⤵
PID:7348

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15336

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Shows Desktop.lnk"
2⤵
PID:7444

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15248

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Window Switcher.lnk"
2⤵
PID:7464

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15256

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Are.docx.lnk"
2⤵
PID:7476

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14784

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Files.docx.lnk"
2⤵
PID:7488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14860

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Opened.docx.lnk"
2⤵
PID:7500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15240

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\Recently.docx.lnk"
2⤵
PID:7516

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15232

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\These.docx.lnk"
2⤵
PID:7532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14344

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\SendTo\Fax Recipient.lnk"
2⤵
PID:7552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15372

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Edge\User Data\Default\Microsoft Edge.lnk"
2⤵
PID:7572

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15104

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\OneDrive\18.151.0729.0013\images\blurrect.png"
2⤵
PID:7584

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:13972

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group1\1 - Desktop.lnk"
2⤵
PID:7596

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15408

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\1 - Run.lnk"
2⤵
PID:7608

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4552

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\2 - Search.lnk"
2⤵
PID:7620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14392

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\3 - Windows Explorer.lnk"
2⤵
PID:7632

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14868

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\4 - Control Panel.lnk"
2⤵
PID:7644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15464

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group2\5 - Task Manager.lnk"
2⤵
PID:7664

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15096

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01 - Command Prompt.lnk"
2⤵
PID:7684

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4888

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\01a - Windows PowerShell.lnk"
2⤵
PID:7968

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4936

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02 - Command Prompt.lnk"
2⤵
PID:7988

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2952

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\02a - Windows PowerShell.lnk"
2⤵
PID:8000

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\03 - Computer Management.lnk"
2⤵
PID:7088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14364

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04 - Disk Management.lnk"
2⤵
PID:7316

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14824

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\04-1 - NetworkStatus.lnk"
2⤵
PID:7080

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14800

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\05 - Device Manager.lnk"
2⤵
PID:7656

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15580

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\06 - SystemAbout.lnk"
2⤵
PID:7328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15488

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\07 - Event Viewer.lnk"
2⤵
PID:8096

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15772

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\08 - PowerAndSleep.lnk"
2⤵
PID:7512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15364

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\09 - Mobility Center.lnk"
2⤵
PID:7564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14880

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\WinX\Group3\10 - AppsAndFeatures.lnk"
2⤵
PID:8204

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14404

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586085317810659.txt"
2⤵
PID:8432

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2284

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086001319549.txt"
2⤵
PID:8456

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15528

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086355232539.txt"
2⤵
PID:8512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15508

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086552915319.txt"
2⤵
PID:8532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15440

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086595780251.txt"
2⤵
PID:8568

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14896

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086655653155.txt"
2⤵
PID:8584

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14384

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086850584383.txt"
2⤵
PID:8620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15600

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086893003160.txt"
2⤵
PID:8644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15616

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586087795228297.txt"
2⤵
PID:8844

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15756

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586088460765966.txt"
2⤵
PID:8868

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14372

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586091572288709.txt"
2⤵
PID:8884

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15748

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586091872548960.txt"
2⤵
PID:8900

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15624

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586092173205007.txt"
2⤵
PID:8912

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15608

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586092601552477.txt"
2⤵
PID:8936

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15628

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586093036863700.txt"
2⤵
PID:8956

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15692

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586093200486649.txt"
2⤵
PID:9112

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15720

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586094498261003.txt"
2⤵
PID:9132

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15536

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586094798035805.txt"
2⤵
PID:9168

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14396

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586095097931457.txt"
2⤵
PID:9188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1132

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586095989946285.txt"
2⤵
PID:9200

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15516

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586115613587491.txt"
2⤵
PID:9212

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15640

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586118591362150.txt"
2⤵
PID:7640

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15852

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\SettingsCache.txt"
2⤵
PID:7984

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\OneDrive.lnk"
2⤵
PID:8228

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16300

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Themes\CachedFiles\CachedImage_1280_720_POS4.jpg"
2⤵
PID:9300

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2340

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\47kntzet.default-release\AlternateServices.txt"
2⤵
PID:9312

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15916

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\47kntzet.default-release\pkcs11.txt"
2⤵
PID:9328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\47kntzet.default-release\SiteSecurityServiceState.txt"
2⤵
PID:9344

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15844

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\79ZXHV21\update100[1].xml"
2⤵
PID:9360

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15684

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\IE\9HVBWIRO\known_providers_download_v1[1].xml"
2⤵
PID:9376

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15592

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\squaretile.png"
2⤵
PID:9416

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15568

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\26310719480\tinytile.png"
2⤵
PID:9432

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14420

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\squaretile.png"
2⤵
PID:9456

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15780

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\38975140460\tinytile.png"
2⤵
PID:9468

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15836

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\squaretile.png"
2⤵
PID:9492

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\6501008900\tinytile.png"
2⤵
PID:9712

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15788

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\squaretile.png"
2⤵
PID:9732

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15704

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\LocalState\PinnedTiles\7603651830\tinytile.png"
2⤵
PID:9784

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16256

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{06616d33-cf6f-4703-a592-5aa43910d224}\0.0.filtertrie.intermediate.txt"
2⤵
PID:10184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16164

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{06616d33-cf6f-4703-a592-5aa43910d224}\0.1.filtertrie.intermediate.txt"
2⤵
PID:10236

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16004

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{06616d33-cf6f-4703-a592-5aa43910d224}\0.2.filtertrie.intermediate.txt"
2⤵
PID:9464

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{1c0efad5-11a9-43be-ac0a-d76de83af8d0}\0.0.filtertrie.intermediate.txt"
2⤵
PID:8564

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16340

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{1c0efad5-11a9-43be-ac0a-d76de83af8d0}\0.1.filtertrie.intermediate.txt"
2⤵
PID:9428

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16364

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{1c0efad5-11a9-43be-ac0a-d76de83af8d0}\0.2.filtertrie.intermediate.txt"
2⤵
PID:9488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16372

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{56864828-c8c2-48f7-a667-1fbb776ff6e5}\0.0.filtertrie.intermediate.txt"
2⤵
PID:9320

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1128

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{56864828-c8c2-48f7-a667-1fbb776ff6e5}\0.1.filtertrie.intermediate.txt"
2⤵
PID:9128

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16316

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Apps_{56864828-c8c2-48f7-a667-1fbb776ff6e5}\0.2.filtertrie.intermediate.txt"
2⤵
PID:10248

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4292

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{d1669a30-2a3d-43f6-a5eb-0ad9d7a810e0}\appsconversions.txt"
2⤵
PID:10276

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15828

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{d1669a30-2a3d-43f6-a5eb-0ad9d7a810e0}\appsglobals.txt"
2⤵
PID:10512

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1476

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{d1669a30-2a3d-43f6-a5eb-0ad9d7a810e0}\appssynonyms.txt"
2⤵
PID:10528

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16264

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{d1669a30-2a3d-43f6-a5eb-0ad9d7a810e0}\settingsconversions.txt"
2⤵
PID:10580

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16324

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{d1669a30-2a3d-43f6-a5eb-0ad9d7a810e0}\settingsglobals.txt"
2⤵
PID:10604

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3852

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Input_{d1669a30-2a3d-43f6-a5eb-0ad9d7a810e0}\settingssynonyms.txt"
2⤵
PID:10620

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4468

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{3939122f-6798-4420-925b-d3c0fb29d607}\0.0.filtertrie.intermediate.txt"
2⤵
PID:10632

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16020

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{3939122f-6798-4420-925b-d3c0fb29d607}\0.1.filtertrie.intermediate.txt"
2⤵
PID:10644

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16516

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{3939122f-6798-4420-925b-d3c0fb29d607}\0.2.filtertrie.intermediate.txt"
2⤵
PID:10656

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1672

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{7aecc611-26d7-49be-ae95-c7e71c0ec540}\0.0.filtertrie.intermediate.txt"
2⤵
PID:10672

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4140

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{7aecc611-26d7-49be-ae95-c7e71c0ec540}\0.1.filtertrie.intermediate.txt"
2⤵
PID:10684

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4712

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{7aecc611-26d7-49be-ae95-c7e71c0ec540}\0.2.filtertrie.intermediate.txt"
2⤵
PID:10700

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16420

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\File Explorer.lnk"
2⤵
PID:10712

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4588

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Firefox.lnk"
2⤵
PID:10724

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1944

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk"
2⤵
PID:10736

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16568

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Microsoft Edge.lnk"
2⤵
PID:10748

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4944

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Magnify.lnk"
2⤵
PID:10764

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1612

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\Narrator.lnk"
2⤵
PID:10776

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16212

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessibility\On-Screen Keyboard.lnk"
2⤵
PID:10788

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Internet Explorer.lnk"
2⤵
PID:10804

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16476

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Administrative Tools.lnk"
2⤵
PID:10816

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4156

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Command Prompt.lnk"
2⤵
PID:10832

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16412

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\computer.lnk"
2⤵
PID:10844

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16308

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Control Panel.lnk"
2⤵
PID:10856

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16428

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\File Explorer.lnk"
2⤵
PID:10868

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4960

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Tools\Run.lnk"
2⤵
PID:10880

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16596

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell (x86).lnk"
2⤵
PID:10896

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4432

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows PowerShell\Windows PowerShell.lnk"
2⤵
PID:10908

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1824

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\128.png"
2⤵
PID:10920

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi\1.76.1_0\offscreendocument.html"
2⤵
PID:10936

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3116

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\3MKUANJA\microsoft.windows[1].xml"
2⤵
PID:10948

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16332

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\AC\Microsoft\Internet Explorer\DOMStore\BJFSASHJ\www.bing[1].xml"
2⤵
PID:10964

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2120

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\html\craw_window.html"
2⤵
PID:10980

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3864

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_128.png"
2⤵
PID:10992

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16540

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\icon_16.png"
2⤵
PID:11004

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4060

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button.png"
2⤵
PID:11016

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16356

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_close.png"
2⤵
PID:11028

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1116

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_hover.png"
2⤵
PID:11040

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16456

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_maximize.png"
2⤵
PID:11052

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2300

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda\1.0.0.6_0\images\topbar_floating_button_pressed.png"
2⤵
PID:11072

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16008

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\128.png"
2⤵
PID:11088

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16492

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\192.png"
2⤵
PID:11104

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1544

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\256.png"
2⤵
PID:11116

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3528

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\32.png"
2⤵
PID:11136

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5088

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\48.png"
2⤵
PID:11148

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4284

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\64.png"
2⤵
PID:11164

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4092

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\aghbiahbpaijignceidepookljebhfak\Icons\96.png"
2⤵
PID:11176

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16396

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\128.png"
2⤵
PID:11296

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:5028

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\192.png"
2⤵
PID:11316

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16028

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\256.png"
2⤵
PID:11328

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1812

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\32.png"
2⤵
PID:11340

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16484

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\48.png"
2⤵
PID:11352

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:808

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\64.png"
2⤵
PID:11364

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16500

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\agimnkijcaahngcdmfeangaknmldooml\Icons\96.png"
2⤵
PID:11380

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3976

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\128.png"
2⤵
PID:11496

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4076

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\192.png"
2⤵
PID:11532

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16436

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\256.png"
2⤵
PID:11552

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2312

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\32.png"
2⤵
PID:11580

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16464

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\48.png"
2⤵
PID:11600

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:884

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\64.png"
2⤵
PID:11632

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16604

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fhihpiojkbmbpdjeoajapmgkhlnakfjf\Icons\96.png"
2⤵
PID:11648

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3820

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\128.png"
2⤵
PID:11688

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2776

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\192.png"
2⤵
PID:11720

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:348

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\256.png"
2⤵
PID:11740

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:3908

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\32.png"
2⤵
PID:11752

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16388

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\48.png"
2⤵
PID:12188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16904

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\64.png"
2⤵
PID:12276

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:17036

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\fmgjjmmmlfnkbppncabfkddbjimcfncm\Icons\96.png"
2⤵
PID:10480

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16556

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\128.png"
2⤵
PID:12488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16804

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\192.png"
2⤵
PID:12508

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:14996

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\256.png"
2⤵
PID:13120

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:17000

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\32.png"
2⤵
PID:13140

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:17052

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\48.png"
2⤵
PID:13156

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16524

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\64.png"
2⤵
PID:13168

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16756

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\kefjledonklijopmnomlcbpllchaibag\Icons\96.png"
2⤵
PID:13188

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16816

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\128.png"
2⤵
PID:11528

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4064

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\192.png"
2⤵
PID:12060

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:2676

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\256.png"
2⤵
PID:11684

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:17044

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\32.png"
2⤵
PID:12184

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:16980

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\48.png"
2⤵
PID:13464

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:4224

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\64.png"
2⤵
PID:13488

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:15740

C:\Windows\SYSTEM32\cmd.exe
"cmd" /C choice /C Y /N /D Y /T 3 & Del "C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Web Applications\Manifest Resources\mpnpojknpmmopombnjdcgaaiekajbnjb\Icons\96.png"
2⤵
PID:13500

C:\Windows\system32\choice.exe
choice /C Y /N /D Y /T 3
3⤵
PID:1960

C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
"powershell" Get-MpPreference -verbose
2⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
PID:15764

C:\Windows\system32\NOTEPAD.EXE
"C:\Windows\system32\NOTEPAD.EXE" C:\Users\Admin\Desktop\EncryptedLog.txt
1⤵
- Opens file in notepad (likely ransom note)
PID:10744

C:\Windows\system32\NOTEPAD.EXE
"C:\Windows\system32\NOTEPAD.EXE" C:\Users\Admin\Desktop\EncryptedLog.txt
1⤵
- Opens file in notepad (likely ransom note)
PID:18052

C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
"C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\Desktop\New Microsoft Word Document.docx" /o ""
1⤵
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious behavior: AddClipboardFormatListener
- Suspicious use of SetWindowsHookEx
PID:9184

C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE
"C:\Program Files\Microsoft Office\Root\Office16\WINWORD.EXE" /n "C:\Users\Admin\Desktop\New Microsoft Word Document.docx" /o ""
1⤵
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious behavior: AddClipboardFormatListener
- Suspicious use of SetWindowsHookEx
PID:4924

C:\Windows\System32\rundll32.exe
C:\Windows\System32\rundll32.exe C:\Windows\System32\shell32.dll,SHCreateLocalServerRunDll {9aa46009-3ce0-458a-a354-715610a075e6} -Embedding
1⤵
PID:5412

Network

MITRE ATT&CK Matrix ATT&CK v13

Initial Access

Execution

Persistence

Create or Modify System Process

T1543

Windows Service

T1543.003

Privilege Escalation

Create or Modify System Process

T1543

Windows Service

T1543.003

Abuse Elevation Control Mechanism

T1548

Bypass User Account Control

T1548.002

Defense Evasion

Modify Registry

T1112

Impair Defenses

T1562

Disable or Modify Tools

T1562.001

Abuse Elevation Control Mechanism

T1548

Bypass User Account Control

T1548.002

Credential Access

Unsecured Credentials

T1552

Credentials In Files

T1552.001

Discovery

Query Registry

T1012

System Information Discovery

T1082

Lateral Movement

Collection

Data from Local System

T1005

Exfiltration

Command and Control

Impact

Resource Development

Reconnaissance

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\Floodgate\Word.CampaignStates.json
Filesize
21B

MD5
f1b59332b953b3c99b3c95a44249c0d2

SHA1
1b16a2ca32bf8481e18ff8b7365229b598908991

SHA256
138e49660d259061d8152137abd8829acdfb78b69179890beb489fe3ffe23e0c

SHA512
3c1f99ecc394df3741be875fbe8d95e249d1d9ac220805794a22caf81620d5fdd3cce19260d94c0829b3160b28a2b4042e46b56398e60f72134e49254e9679a4

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\Floodgate\Word.GovernedChannelStates.json
Filesize
417B

MD5
c56ff60fbd601e84edd5a0ff1010d584

SHA1
342abb130dabeacde1d8ced806d67a3aef00a749

SHA256
200e8cc8dd12e22c9720be73092eafb620435d4569dbdcdba9404ace2aa4343c

SHA512
acd2054fddb33b55b58b870edd4eb6a3cdd3131dfe6139cb3d27054ac2b2a460694c9be9c2a1da0f85606e95e7f393cf16868b6c654e78a664799bc3418da86e

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\Floodgate\Word.Settings.json
Filesize
87B

MD5
e4e83f8123e9740b8aa3c3dfa77c1c04

SHA1
5281eae96efde7b0e16a1d977f005f0d3bd7aad0

SHA256
6034f27b0823b2a6a76fe296e851939fd05324d0af9d55f249c79af118b0eb31

SHA512
bd6b33fd2bbce4a46991bc0d877695d16f7e60b1959a0defc79b627e569e5c6cac7b4ad4e3e1d8389a08584602a51cf84d44cf247f03beb95f7d307fbba12bb9

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\Floodgate\Word.SurveyHistoryStats.json
Filesize
14B

MD5
6ca4960355e4951c72aa5f6364e459d5

SHA1
2fd90b4ec32804dff7a41b6e63c8b0a40b592113

SHA256
88301f0b7e96132a2699a8bce47d120855c7f0a37054540019e3204d6bcbaba3

SHA512
8544cd778717788b7484faf2001f463320a357db63cb72715c1395ef19d32eec4278bab07f15de3f4fed6af7e4f96c41908a0c45be94d5cdd8121877eccf310d

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Office\16.0\winword.exe_Rules.xml
Filesize
332KB

MD5
874e05073239ce46fb73138f72a0b502

SHA1
6c5cfb40cc141c26048fd1c06986983e21db47b0

SHA256
18200fdb493faadfd4016b59a77bd873212d3a12f6b01d01087c59e78b3ce0ed

SHA512
4650990457be788c226295023f4778a119777ee9716556a09f48f63238dcac72f9501776432cdb94f81de766414252f53c3006aae258e97199577baedbe68a58

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Office\DLP\mip\logs\mip_sdk.miplog
Filesize
20KB

MD5
eb906ac6ebc6c354fabc7065706f1b5e

SHA1
4ceea901b71eb9b387b3a07a80414c762f457c71

SHA256
bd3a9090aa8f7aa2db1d4a6ce278ff9fbbecb7ce1c21926b3997bb7753605599

SHA512
c1e58c0a7db9406cd45b54c8d78103718861953c3d542255dc14fd6b5537b6082fe679f5e8bfed5c45a3318b5f6aa0b4923601e4ae349f19ba850f67107ab65c

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\Office\OTele\winword.exe.db
Filesize
24KB

MD5
dde4ae2869c86b656e0c4e45bed0b750

SHA1
553ec9e1e9cf689fb35a09e857eee2f0beeb838a

SHA256
8da99959760c883833de042af5c5dcc1b2784389d03af6627b61882ccd35b09f

SHA512
c0e2bd677af371cc32cab7830dbddd71bdb22b75ec274ea6d228a66ed13c865c7de4822324e998513f45a8c81229117255f92b7dabaf5ab50758941e585c6802

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\TokenBroker\Cache\089d66ba04a8cec4bdc5267f42f39cf84278bb67.tbres
Filesize
2KB

MD5
b0aa2680b37288ed0c83579e4c48d60c

SHA1
115c51a991699a3519b3f26d795a064292cab88a

SHA256
88597342dfb32230955a416cdcc9a710a77500e223bc34cba9b1fc5701524dd9

SHA512
a524496ddbc07118d4a9865bfa31ee5b831dd15a75b3910826f0cf5ef541a42f6b81541535b959cbbc8e80284e0fd2092d5ddc866a4bd9e2ee6d0d11a61a5f47

Download Submit
C:\Users\Admin\AppData\Local\Microsoft\TokenBroker\Cache\49dbe2955480c7f6ef8cec9c4320c9868d9293fd.tbres
Filesize
2KB

MD5
4e25df12a7d068bdd83e30a028c4613b

SHA1
1f59d333acafdb14a53471cdc5a01d7db7978079

SHA256
ad6c1b392fa4e9cee1323b3659f6c8772ba962ff773242bc70e5a4128665b8e3

SHA512
c4ddd03e6ec92f4ce44f6db0f79ab3334d450c937d27ace117411881753c3c3b4b7ef6892ca39c519627bc3d83b79004b099923067c59981b489983aa62e622d

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{7aecc611-26d7-49be-ae95-c7e71c0ec540}\0.1.filtertrie.intermediate.txt.420
Filesize
16B

MD5
e8aaa566651759e399714d464cdfb390

SHA1
373942a3618c8d5ff0ba8aab8e22d4a64e5641ae

SHA256
1a4a61c3ade192d7f35bb5879ba1493ac39369579eaf9f73c72c44a9ecfa3a6a

SHA512
23f835ffc6cfa06b864ee0f945dc844cb88aa1b0ab3cf2d0f8bf616c9a7446a563875ebd04f1b23d86d5a20ccc1a2cacd3e199c228cd73e8652c6f9e34b55ce2

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\ConstraintIndex\Settings_{7aecc611-26d7-49be-ae95-c7e71c0ec540}\0.2.filtertrie.intermediate.txt.420
Filesize
16B

MD5
209371fb985ae536f7a01b2cbf06fdeb

SHA1
6e5d735e5a6aef442f3342931eaf47d505763578

SHA256
4cef54ede857b123a2b675fdce8147dbcc1a7c4d471ec5bfd8791f9e2ad9c0b3

SHA512
53203c3447837fc04d0114f282e5b1efaeb1e81a90a9d50bd6384bd44823ab70c37f12aca73a52f803ba61a11ed3d7fd05ea04f79fc969212dce946df89b8bbe

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586086595780251.txt.420
Filesize
77KB

MD5
4848a8901309f36f06c194b02f866368

SHA1
16d3c530c084994aeac63d12cf8d2c1abd67859a

SHA256
1f627a465b309fb84f9c29c93cc8bf0d09829c109343e0ce7341b98c398ed9cd

SHA512
294d089e1611c61e91eb1ad53ed808f2e08f57d76f484c83adcc6a0be2f60a8be5022e94d217c0d59ee3138fe8a25dc3d2d73b85fe74765ac98213cc19caa4e1

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586088460765966.txt.420
Filesize
47KB

MD5
007cdeeef4694b382d2a181c27773629

SHA1
74087753dd3baf84c932cdd46a55d25c629d13cc

SHA256
b4fe3e4b415ed5d9b4c345a4c80801ce47b2ea32eba257a6f0634554637f96ef

SHA512
f9865ed1bbff04a4b3c0a63b3803a54c82d81182c6abc0bbc9823a1b464a72525fa091fe7f4f211d1ada2f1f6c4eb6f63461295cf59d7b10337b0b46b88f878b

Download Submit
C:\Users\Admin\AppData\Local\Packages\Microsoft.Windows.Search_cw5n1h2txyewy\LocalState\DeviceSearchCache\AppCache133586094498261003.txt.420
Filesize
66KB

MD5
49decfe81666667c457426ab0aaef75f

SHA1
acc34ab1529ea7dd693f03363c142bdef769a7cd

SHA256
a43dba137e9a0e50daf794f7b2969acd3dd4232f05736aa7112ef57b86216de4

SHA512
bd0dd2daf63f9deddca74b6ee2f36c54efe05f920a33af26b14609850e87f9743169c6f7f5552bd38a3bc5257a29b5fe16950bba31ec1f62d56c5fff3ec5b302

Download Submit
C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_nghh4lan.q5f.ps1
Filesize
60B

MD5
d17fe0a3f47be24a6453e9ef58c94641

SHA1
6ab83620379fc69f80c0242105ddffd7d98d5d9d

SHA256
96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

SHA512
5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

Download Submit
C:\Users\Admin\AppData\Roaming\Microsoft\Office\Recent\New Microsoft Word Document.docx.LNK
Filesize
612B

MD5
4540f090c78f84d32cf7b9195d81eabf

SHA1
b927b1e5dd84922753852db655f8140910246f38

SHA256
cbf9cdb0d9b07765d0e835ad135db7b5349faeaaaa4e4c8532a5b2f554aa22c4

SHA512
e0b8d41604a99fa0e285a316b58b5ed2c428b59abcdc2402b206d400d021a81244287d6b3a894fe32d7d45e612ba4a46ab734f911076ccb5786e253c60e88fe5

Download Submit
C:\Users\Admin\AppData\Roaming\Microsoft\Office\Recent\index.dat
Filesize
263B

MD5
b5f1ca34014057b0885ccbf67fc12b52

SHA1
d105c94f6755e7ea539f3f2e303ef9141fa57bbb

SHA256
ce95618eafd141e5bcc66d74966c6eb07dd882273fb6fde0b1a3fb082cfb6f1e

SHA512
50c2ad6679088acf2763c089f68feb0042d5a70537221fe73f42571689f4ff8bdd2d4f1a00a773210fe6483245d325486e06cf94dca692938e44d16fdd5fbff3

Download Submit
C:\Users\Admin\Desktop\EncryptedLog.txt
Filesize
114B

MD5
89bdc38d067f9aeaa31d502d0bbf5337

SHA1
418b4c353c198d2755bc36fd0a3f552a042b18b0

SHA256
e155b68a620780fed7eb670c8bbe3985104ffd32b768ae69f778e2a2be325768

SHA512
e42a6fdd7cc1f3b9e360db4708e397dc1427f1dbc363e78a191113522132fe293ae0df99c8aabad87a93ef8c4cf1da766ab86ced0c986af84826ca8a5ef086f9

Download Submit
memory/9184-353-0x00007FFD4A630000-0x00007FFD4A640000-memory.dmp

Filesize
64KB

Download
memory/9184-389-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-354-0x00007FFD4A630000-0x00007FFD4A640000-memory.dmp

Filesize
64KB

Download
memory/9184-392-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-351-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-352-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-349-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-350-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-348-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-391-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/9184-390-0x00007FFD4C730000-0x00007FFD4C740000-memory.dmp

Filesize
64KB

Download
memory/15764-345-0x00000239B78B0000-0x00000239B78D2000-memory.dmp

Filesize
136KB

Download