Analysis

  • max time kernel
    1200s
  • max time network
    1175s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240426-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240426-enlocale:en-usos:windows10-2004-x64system
  • submitted
    02-05-2024 02:47

General

  • Target

    HS Loader.exe

  • Size

    164.7MB

  • MD5

    40b3c1a407ec95f5fbc79f047215e5da

  • SHA1

    30c4b04be35c589cdd89392142d595a6092ac010

  • SHA256

    c580316aa6c2fc57b218afc93e4b8c457acfad0f25780a23ae2778135ad8cc8d

  • SHA512

    1dd653f12f2482200578a11fee42150ee0043bc41038a9cb1bf13f0e2102a4f1eccc9e4b7e841a35e3affa09103c9505f5ea57ca82b3c4443f66fdd34c31439a

  • SSDEEP

    1572864:9tc2cEGwGrRSREICCr3ka8YrcSAfII01aLadS5sDNd+Ipx9cF3LfxNEK2Ho8jlgY:j+CHrJIgIsV

Score
7/10

Malware Config

Signatures

  • Loads dropped DLL 2 IoCs
  • Looks up external IP address via web service 2 IoCs

    Uses a legitimate IP lookup service to find the infected system's external IP.

  • Drops file in System32 directory 2 IoCs
  • Checks processor information in registry 2 TTPs 7 IoCs

    Processor information is often read in order to detect sandboxing environments.

  • Detects videocard installed 1 TTPs 1 IoCs

    Uses WMIC.exe to determine videocard installed.

  • Enumerates processes with tasklist 1 TTPs 64 IoCs
  • Runs net.exe
  • Suspicious behavior: EnumeratesProcesses 16 IoCs
  • Suspicious use of AdjustPrivilegeToken 64 IoCs
  • Suspicious use of WriteProcessMemory 64 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\HS Loader.exe
    "C:\Users\Admin\AppData\Local\Temp\HS Loader.exe"
    1⤵
    • Loads dropped DLL
    • Checks processor information in registry
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:412
    • C:\Windows\system32\cmd.exe
      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:2012
      • C:\Windows\system32\tasklist.exe
        tasklist
        3⤵
        • Enumerates processes with tasklist
        • Suspicious use of AdjustPrivilegeToken
        PID:4376
    • C:\Users\Admin\AppData\Local\Temp\HS Loader.exe
      "C:\Users\Admin\AppData\Local\Temp\HS Loader.exe" --type=gpu-process --user-data-dir="C:\Users\Admin\AppData\Roaming\theonlyscript" --gpu-preferences=WAAAAAAAAADgAAAMAAAAAAAAAAAAAAAAAABgAAAAAAA4AAAAAAAAAAAAAAAEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGAAAAAAAAAAYAAAAAAAAAAgAAAAAAAAACAAAAAAAAAAIAAAAAAAAAA== --mojo-platform-channel-handle=1700 --field-trial-handle=1316,i,161538281062729697,4854124768174049425,262144 --disable-features=SpareRendererForSitePerProcess,WinDelaySpellcheckServiceInit,WinRetrieveSuggestionsOnlyOnDemand /prefetch:2
      2⤵
        PID:2308
      • C:\Users\Admin\AppData\Local\Temp\HS Loader.exe
        "C:\Users\Admin\AppData\Local\Temp\HS Loader.exe" --type=utility --utility-sub-type=network.mojom.NetworkService --lang=en-US --service-sandbox-type=none --user-data-dir="C:\Users\Admin\AppData\Roaming\theonlyscript" --mojo-platform-channel-handle=1912 --field-trial-handle=1316,i,161538281062729697,4854124768174049425,262144 --disable-features=SpareRendererForSitePerProcess,WinDelaySpellcheckServiceInit,WinRetrieveSuggestionsOnlyOnDemand /prefetch:8
        2⤵
          PID:1264
        • C:\Windows\system32\cmd.exe
          C:\Windows\system32\cmd.exe /d /s /c "wmic process where processid=NaN get ExecutablePath"
          2⤵
          • Suspicious use of WriteProcessMemory
          PID:2916
          • C:\Windows\System32\Wbem\WMIC.exe
            wmic process where processid=NaN get ExecutablePath
            3⤵
            • Suspicious use of AdjustPrivilegeToken
            PID:4140
        • C:\Windows\system32\cmd.exe
          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
          2⤵
            PID:3016
            • C:\Windows\system32\tasklist.exe
              tasklist
              3⤵
              • Suspicious use of AdjustPrivilegeToken
              PID:7064
          • C:\Windows\system32\cmd.exe
            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
            2⤵
              PID:3816
              • C:\Windows\system32\tasklist.exe
                tasklist
                3⤵
                • Enumerates processes with tasklist
                • Suspicious use of AdjustPrivilegeToken
                PID:6872
            • C:\Windows\system32\cmd.exe
              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
              2⤵
                PID:4396
                • C:\Windows\system32\tasklist.exe
                  tasklist
                  3⤵
                  • Enumerates processes with tasklist
                  • Suspicious use of AdjustPrivilegeToken
                  PID:7056
              • C:\Windows\system32\cmd.exe
                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                2⤵
                  PID:3268
                  • C:\Windows\system32\tasklist.exe
                    tasklist
                    3⤵
                    • Enumerates processes with tasklist
                    PID:7644
                • C:\Windows\system32\cmd.exe
                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                  2⤵
                    PID:4552
                    • C:\Windows\system32\tasklist.exe
                      tasklist
                      3⤵
                      • Enumerates processes with tasklist
                      PID:7364
                  • C:\Windows\system32\cmd.exe
                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                    2⤵
                      PID:2544
                      • C:\Windows\system32\tasklist.exe
                        tasklist
                        3⤵
                        • Suspicious use of AdjustPrivilegeToken
                        PID:7072
                    • C:\Windows\system32\cmd.exe
                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                      2⤵
                        PID:2288
                        • C:\Windows\system32\tasklist.exe
                          tasklist
                          3⤵
                          • Enumerates processes with tasklist
                          • Suspicious use of AdjustPrivilegeToken
                          PID:6884
                      • C:\Windows\system32\cmd.exe
                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                        2⤵
                          PID:3976
                          • C:\Windows\system32\tasklist.exe
                            tasklist
                            3⤵
                            • Suspicious use of AdjustPrivilegeToken
                            PID:7348
                        • C:\Windows\system32\cmd.exe
                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                          2⤵
                            PID:3968
                            • C:\Windows\system32\tasklist.exe
                              tasklist
                              3⤵
                              • Suspicious use of AdjustPrivilegeToken
                              PID:6048
                          • C:\Windows\system32\cmd.exe
                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                            2⤵
                              PID:4504
                              • C:\Windows\system32\tasklist.exe
                                tasklist
                                3⤵
                                  PID:7260
                              • C:\Windows\system32\cmd.exe
                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                2⤵
                                  PID:3412
                                  • C:\Windows\system32\tasklist.exe
                                    tasklist
                                    3⤵
                                      PID:7580
                                  • C:\Windows\system32\cmd.exe
                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                    2⤵
                                      PID:1936
                                      • C:\Windows\system32\tasklist.exe
                                        tasklist
                                        3⤵
                                          PID:7820
                                      • C:\Windows\system32\cmd.exe
                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                        2⤵
                                          PID:4992
                                          • C:\Windows\system32\tasklist.exe
                                            tasklist
                                            3⤵
                                            • Suspicious use of AdjustPrivilegeToken
                                            PID:7392
                                        • C:\Windows\system32\cmd.exe
                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                          2⤵
                                            PID:2264
                                            • C:\Windows\system32\tasklist.exe
                                              tasklist
                                              3⤵
                                                PID:7276
                                            • C:\Windows\system32\cmd.exe
                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                              2⤵
                                                PID:2336
                                                • C:\Windows\system32\tasklist.exe
                                                  tasklist
                                                  3⤵
                                                  • Enumerates processes with tasklist
                                                  PID:8100
                                              • C:\Windows\system32\cmd.exe
                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                2⤵
                                                  PID:1172
                                                  • C:\Windows\system32\tasklist.exe
                                                    tasklist
                                                    3⤵
                                                    • Enumerates processes with tasklist
                                                    PID:7480
                                                • C:\Windows\system32\cmd.exe
                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                  2⤵
                                                    PID:3416
                                                    • C:\Windows\system32\tasklist.exe
                                                      tasklist
                                                      3⤵
                                                      • Suspicious use of AdjustPrivilegeToken
                                                      PID:7268
                                                  • C:\Windows\system32\cmd.exe
                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                    2⤵
                                                      PID:4428
                                                      • C:\Windows\system32\tasklist.exe
                                                        tasklist
                                                        3⤵
                                                        • Enumerates processes with tasklist
                                                        PID:7596
                                                    • C:\Windows\system32\cmd.exe
                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                      2⤵
                                                        PID:2428
                                                        • C:\Windows\system32\tasklist.exe
                                                          tasklist
                                                          3⤵
                                                          • Enumerates processes with tasklist
                                                          • Suspicious use of AdjustPrivilegeToken
                                                          PID:7292
                                                      • C:\Windows\system32\cmd.exe
                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                        2⤵
                                                          PID:2024
                                                          • C:\Windows\system32\tasklist.exe
                                                            tasklist
                                                            3⤵
                                                              PID:7836
                                                          • C:\Windows\system32\cmd.exe
                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                            2⤵
                                                              PID:4276
                                                              • C:\Windows\system32\tasklist.exe
                                                                tasklist
                                                                3⤵
                                                                • Enumerates processes with tasklist
                                                                PID:7448
                                                            • C:\Windows\system32\cmd.exe
                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                              2⤵
                                                                PID:3872
                                                                • C:\Windows\system32\tasklist.exe
                                                                  tasklist
                                                                  3⤵
                                                                  • Enumerates processes with tasklist
                                                                  PID:7956
                                                              • C:\Windows\system32\cmd.exe
                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                2⤵
                                                                  PID:772
                                                                  • C:\Windows\system32\tasklist.exe
                                                                    tasklist
                                                                    3⤵
                                                                    • Enumerates processes with tasklist
                                                                    PID:7356
                                                                • C:\Windows\system32\cmd.exe
                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                  2⤵
                                                                    PID:2972
                                                                    • C:\Windows\system32\tasklist.exe
                                                                      tasklist
                                                                      3⤵
                                                                        PID:7804
                                                                    • C:\Windows\system32\cmd.exe
                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                      2⤵
                                                                        PID:732
                                                                        • C:\Windows\system32\tasklist.exe
                                                                          tasklist
                                                                          3⤵
                                                                          • Enumerates processes with tasklist
                                                                          PID:7196
                                                                      • C:\Windows\system32\cmd.exe
                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                        2⤵
                                                                          PID:1108
                                                                          • C:\Windows\system32\tasklist.exe
                                                                            tasklist
                                                                            3⤵
                                                                              PID:8060
                                                                          • C:\Windows\system32\cmd.exe
                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                            2⤵
                                                                              PID:2852
                                                                              • C:\Windows\system32\tasklist.exe
                                                                                tasklist
                                                                                3⤵
                                                                                • Enumerates processes with tasklist
                                                                                PID:7432
                                                                            • C:\Windows\system32\cmd.exe
                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                              2⤵
                                                                                PID:4604
                                                                                • C:\Windows\system32\tasklist.exe
                                                                                  tasklist
                                                                                  3⤵
                                                                                  • Enumerates processes with tasklist
                                                                                  PID:7772
                                                                              • C:\Windows\system32\cmd.exe
                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                2⤵
                                                                                  PID:1732
                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                    tasklist
                                                                                    3⤵
                                                                                      PID:7140
                                                                                  • C:\Windows\system32\cmd.exe
                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                    2⤵
                                                                                      PID:2072
                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                        tasklist
                                                                                        3⤵
                                                                                          PID:8180
                                                                                      • C:\Windows\system32\cmd.exe
                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                        2⤵
                                                                                          PID:400
                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                            tasklist
                                                                                            3⤵
                                                                                            • Enumerates processes with tasklist
                                                                                            PID:7812
                                                                                        • C:\Windows\system32\cmd.exe
                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                          2⤵
                                                                                            PID:3020
                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                              tasklist
                                                                                              3⤵
                                                                                              • Enumerates processes with tasklist
                                                                                              • Suspicious use of AdjustPrivilegeToken
                                                                                              PID:7236
                                                                                          • C:\Windows\system32\cmd.exe
                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                            2⤵
                                                                                              PID:3308
                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                tasklist
                                                                                                3⤵
                                                                                                • Enumerates processes with tasklist
                                                                                                PID:7332
                                                                                            • C:\Windows\system32\cmd.exe
                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                              2⤵
                                                                                                PID:1452
                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                  tasklist
                                                                                                  3⤵
                                                                                                  • Enumerates processes with tasklist
                                                                                                  PID:7228
                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                2⤵
                                                                                                  PID:3628
                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                    tasklist
                                                                                                    3⤵
                                                                                                    • Enumerates processes with tasklist
                                                                                                    • Suspicious use of AdjustPrivilegeToken
                                                                                                    PID:7148
                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                  2⤵
                                                                                                    PID:2476
                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                      tasklist
                                                                                                      3⤵
                                                                                                        PID:7244
                                                                                                    • C:\Windows\system32\cmd.exe
                                                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                      2⤵
                                                                                                        PID:2756
                                                                                                        • C:\Windows\system32\tasklist.exe
                                                                                                          tasklist
                                                                                                          3⤵
                                                                                                          • Enumerates processes with tasklist
                                                                                                          • Suspicious use of AdjustPrivilegeToken
                                                                                                          PID:7212
                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                        2⤵
                                                                                                          PID:212
                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                            tasklist
                                                                                                            3⤵
                                                                                                            • Enumerates processes with tasklist
                                                                                                            PID:8084
                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                          2⤵
                                                                                                            PID:2652
                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                              tasklist
                                                                                                              3⤵
                                                                                                              • Enumerates processes with tasklist
                                                                                                              • Suspicious use of AdjustPrivilegeToken
                                                                                                              PID:7384
                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                            2⤵
                                                                                                              PID:2856
                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                tasklist
                                                                                                                3⤵
                                                                                                                • Enumerates processes with tasklist
                                                                                                                PID:7544
                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                              2⤵
                                                                                                                PID:3928
                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                  tasklist
                                                                                                                  3⤵
                                                                                                                  • Enumerates processes with tasklist
                                                                                                                  • Suspicious use of AdjustPrivilegeToken
                                                                                                                  PID:7204
                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                2⤵
                                                                                                                  PID:1092
                                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                                    tasklist
                                                                                                                    3⤵
                                                                                                                    • Enumerates processes with tasklist
                                                                                                                    PID:7620
                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                  2⤵
                                                                                                                    PID:3368
                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                      tasklist
                                                                                                                      3⤵
                                                                                                                      • Enumerates processes with tasklist
                                                                                                                      PID:7512
                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                    2⤵
                                                                                                                      PID:1388
                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                        tasklist
                                                                                                                        3⤵
                                                                                                                          PID:8092
                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                        2⤵
                                                                                                                          PID:4872
                                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                                            tasklist
                                                                                                                            3⤵
                                                                                                                            • Enumerates processes with tasklist
                                                                                                                            PID:7308
                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                          2⤵
                                                                                                                            PID:3408
                                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                                              tasklist
                                                                                                                              3⤵
                                                                                                                              • Enumerates processes with tasklist
                                                                                                                              PID:7732
                                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                            2⤵
                                                                                                                              PID:4560
                                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                                tasklist
                                                                                                                                3⤵
                                                                                                                                • Enumerates processes with tasklist
                                                                                                                                PID:7504
                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                              2⤵
                                                                                                                                PID:3616
                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                  tasklist
                                                                                                                                  3⤵
                                                                                                                                    PID:7464
                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                  2⤵
                                                                                                                                    PID:3396
                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                      tasklist
                                                                                                                                      3⤵
                                                                                                                                      • Enumerates processes with tasklist
                                                                                                                                      PID:8028
                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                    2⤵
                                                                                                                                      PID:1968
                                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                                        tasklist
                                                                                                                                        3⤵
                                                                                                                                        • Enumerates processes with tasklist
                                                                                                                                        PID:8164
                                                                                                                                    • C:\Windows\system32\cmd.exe
                                                                                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                      2⤵
                                                                                                                                        PID:2996
                                                                                                                                        • C:\Windows\system32\tasklist.exe
                                                                                                                                          tasklist
                                                                                                                                          3⤵
                                                                                                                                          • Enumerates processes with tasklist
                                                                                                                                          PID:8352
                                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                        2⤵
                                                                                                                                          PID:4740
                                                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                                                            tasklist
                                                                                                                                            3⤵
                                                                                                                                            • Enumerates processes with tasklist
                                                                                                                                            PID:8044
                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                          2⤵
                                                                                                                                            PID:2400
                                                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                                                              tasklist
                                                                                                                                              3⤵
                                                                                                                                                PID:7924
                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                              2⤵
                                                                                                                                                PID:752
                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                  tasklist
                                                                                                                                                  3⤵
                                                                                                                                                  • Enumerates processes with tasklist
                                                                                                                                                  PID:7400
                                                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                2⤵
                                                                                                                                                  PID:2732
                                                                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                                                                    tasklist
                                                                                                                                                    3⤵
                                                                                                                                                    • Enumerates processes with tasklist
                                                                                                                                                    PID:7456
                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                  2⤵
                                                                                                                                                    PID:3764
                                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                                      tasklist
                                                                                                                                                      3⤵
                                                                                                                                                      • Enumerates processes with tasklist
                                                                                                                                                      PID:7340
                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                    2⤵
                                                                                                                                                      PID:2168
                                                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                                                        tasklist
                                                                                                                                                        3⤵
                                                                                                                                                          PID:7948
                                                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                        2⤵
                                                                                                                                                          PID:4004
                                                                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                                                                            tasklist
                                                                                                                                                            3⤵
                                                                                                                                                              PID:7520
                                                                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                            2⤵
                                                                                                                                                              PID:2256
                                                                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                                                                tasklist
                                                                                                                                                                3⤵
                                                                                                                                                                • Enumerates processes with tasklist
                                                                                                                                                                PID:7252
                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                              2⤵
                                                                                                                                                                PID:4968
                                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                                  tasklist
                                                                                                                                                                  3⤵
                                                                                                                                                                  • Enumerates processes with tasklist
                                                                                                                                                                  PID:7572
                                                                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                2⤵
                                                                                                                                                                  PID:2940
                                                                                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                                                                                    tasklist
                                                                                                                                                                    3⤵
                                                                                                                                                                    • Enumerates processes with tasklist
                                                                                                                                                                    PID:7524
                                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                  2⤵
                                                                                                                                                                    PID:1164
                                                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                                                      tasklist
                                                                                                                                                                      3⤵
                                                                                                                                                                        PID:7472
                                                                                                                                                                    • C:\Windows\system32\cmd.exe
                                                                                                                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                      2⤵
                                                                                                                                                                        PID:428
                                                                                                                                                                        • C:\Windows\system32\tasklist.exe
                                                                                                                                                                          tasklist
                                                                                                                                                                          3⤵
                                                                                                                                                                            PID:7608
                                                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                          2⤵
                                                                                                                                                                            PID:3112
                                                                                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                                                                                              tasklist
                                                                                                                                                                              3⤵
                                                                                                                                                                              • Enumerates processes with tasklist
                                                                                                                                                                              PID:8196
                                                                                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                            2⤵
                                                                                                                                                                              PID:5048
                                                                                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                tasklist
                                                                                                                                                                                3⤵
                                                                                                                                                                                • Enumerates processes with tasklist
                                                                                                                                                                                PID:7892
                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                              2⤵
                                                                                                                                                                                PID:5004
                                                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                  tasklist
                                                                                                                                                                                  3⤵
                                                                                                                                                                                    PID:8068
                                                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                  2⤵
                                                                                                                                                                                    PID:1448
                                                                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                      tasklist
                                                                                                                                                                                      3⤵
                                                                                                                                                                                      • Enumerates processes with tasklist
                                                                                                                                                                                      PID:7564
                                                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                    2⤵
                                                                                                                                                                                      PID:776
                                                                                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                        tasklist
                                                                                                                                                                                        3⤵
                                                                                                                                                                                        • Enumerates processes with tasklist
                                                                                                                                                                                        PID:7940
                                                                                                                                                                                    • C:\Windows\system32\cmd.exe
                                                                                                                                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                      2⤵
                                                                                                                                                                                        PID:1632
                                                                                                                                                                                        • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                          tasklist
                                                                                                                                                                                          3⤵
                                                                                                                                                                                          • Enumerates processes with tasklist
                                                                                                                                                                                          PID:8312
                                                                                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                        2⤵
                                                                                                                                                                                          PID:3996
                                                                                                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                            tasklist
                                                                                                                                                                                            3⤵
                                                                                                                                                                                              PID:7932
                                                                                                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                            2⤵
                                                                                                                                                                                              PID:4976
                                                                                                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                tasklist
                                                                                                                                                                                                3⤵
                                                                                                                                                                                                • Enumerates processes with tasklist
                                                                                                                                                                                                PID:7536
                                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                              2⤵
                                                                                                                                                                                                PID:5112
                                                                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                  tasklist
                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                  • Enumerates processes with tasklist
                                                                                                                                                                                                  • Suspicious use of AdjustPrivilegeToken
                                                                                                                                                                                                  PID:7300
                                                                                                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                2⤵
                                                                                                                                                                                                  PID:3788
                                                                                                                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                    tasklist
                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                    • Enumerates processes with tasklist
                                                                                                                                                                                                    PID:7852
                                                                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                    PID:3576
                                                                                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                      tasklist
                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                      • Enumerates processes with tasklist
                                                                                                                                                                                                      PID:7692
                                                                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                      PID:620
                                                                                                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                        tasklist
                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                        • Enumerates processes with tasklist
                                                                                                                                                                                                        • Suspicious use of AdjustPrivilegeToken
                                                                                                                                                                                                        PID:7316
                                                                                                                                                                                                    • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                        PID:1528
                                                                                                                                                                                                        • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                          tasklist
                                                                                                                                                                                                          3⤵
                                                                                                                                                                                                          • Enumerates processes with tasklist
                                                                                                                                                                                                          PID:8052
                                                                                                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                          PID:4340
                                                                                                                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                            tasklist
                                                                                                                                                                                                            3⤵
                                                                                                                                                                                                            • Enumerates processes with tasklist
                                                                                                                                                                                                            PID:8036
                                                                                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                            PID:4508
                                                                                                                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                              tasklist
                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                              • Enumerates processes with tasklist
                                                                                                                                                                                                              PID:8344
                                                                                                                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                              PID:4128
                                                                                                                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                tasklist
                                                                                                                                                                                                                3⤵
                                                                                                                                                                                                                • Enumerates processes with tasklist
                                                                                                                                                                                                                PID:8292
                                                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                PID:3660
                                                                                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                  tasklist
                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                  • Enumerates processes with tasklist
                                                                                                                                                                                                                  PID:8232
                                                                                                                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                  PID:3896
                                                                                                                                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                    tasklist
                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                      PID:7672
                                                                                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                      PID:4924
                                                                                                                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                        tasklist
                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                          PID:8260
                                                                                                                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                          PID:2608
                                                                                                                                                                                                                          • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                            tasklist
                                                                                                                                                                                                                            3⤵
                                                                                                                                                                                                                            • Enumerates processes with tasklist
                                                                                                                                                                                                                            PID:8284
                                                                                                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                            PID:1176
                                                                                                                                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                              tasklist
                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                PID:8268
                                                                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                PID:4608
                                                                                                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                  tasklist
                                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                                    PID:8136
                                                                                                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                    PID:2012
                                                                                                                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                      tasklist
                                                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                                                      • Enumerates processes with tasklist
                                                                                                                                                                                                                                      PID:7700
                                                                                                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                      PID:5104
                                                                                                                                                                                                                                      • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                        tasklist
                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                        • Enumerates processes with tasklist
                                                                                                                                                                                                                                        PID:7412
                                                                                                                                                                                                                                    • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                      C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                        PID:2364
                                                                                                                                                                                                                                        • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                          tasklist
                                                                                                                                                                                                                                          3⤵
                                                                                                                                                                                                                                            PID:7880
                                                                                                                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                            PID:4160
                                                                                                                                                                                                                                            • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                              tasklist
                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                              • Enumerates processes with tasklist
                                                                                                                                                                                                                                              PID:7860
                                                                                                                                                                                                                                          • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                            C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                              PID:2648
                                                                                                                                                                                                                                              • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                                tasklist
                                                                                                                                                                                                                                                3⤵
                                                                                                                                                                                                                                                • Enumerates processes with tasklist
                                                                                                                                                                                                                                                PID:7220
                                                                                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                PID:4672
                                                                                                                                                                                                                                                • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                                  tasklist
                                                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                                                  • Enumerates processes with tasklist
                                                                                                                                                                                                                                                  PID:7984
                                                                                                                                                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                  PID:2908
                                                                                                                                                                                                                                                  • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                                    tasklist
                                                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                                                    • Enumerates processes with tasklist
                                                                                                                                                                                                                                                    PID:7844
                                                                                                                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "net session"
                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                    PID:4876
                                                                                                                                                                                                                                                    • C:\Windows\system32\net.exe
                                                                                                                                                                                                                                                      net session
                                                                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                                                                        PID:7976
                                                                                                                                                                                                                                                        • C:\Windows\system32\net1.exe
                                                                                                                                                                                                                                                          C:\Windows\system32\net1 session
                                                                                                                                                                                                                                                          4⤵
                                                                                                                                                                                                                                                            PID:8376
                                                                                                                                                                                                                                                      • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                        C:\Windows\system32\cmd.exe /d /s /c "C:\Users\Admin\AppData\Local\Temp\resources\app.asar.unpacked\bind\main.exe"
                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                          PID:1276
                                                                                                                                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "wmic csproduct get uuid"
                                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                                            PID:1536
                                                                                                                                                                                                                                                            • C:\Windows\System32\Wbem\WMIC.exe
                                                                                                                                                                                                                                                              wmic csproduct get uuid
                                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                                                PID:7324
                                                                                                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "wmic OS get caption, osarchitecture | more +1"
                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                PID:5140
                                                                                                                                                                                                                                                                • C:\Windows\System32\Wbem\WMIC.exe
                                                                                                                                                                                                                                                                  wmic OS get caption, osarchitecture
                                                                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                                                                    PID:7708
                                                                                                                                                                                                                                                                  • C:\Windows\system32\more.com
                                                                                                                                                                                                                                                                    more +1
                                                                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                                                                      PID:8240
                                                                                                                                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "wmic cpu get name | more +1"
                                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                                      PID:10608
                                                                                                                                                                                                                                                                      • C:\Windows\System32\Wbem\WMIC.exe
                                                                                                                                                                                                                                                                        wmic cpu get name
                                                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                                                          PID:10652
                                                                                                                                                                                                                                                                        • C:\Windows\system32\more.com
                                                                                                                                                                                                                                                                          more +1
                                                                                                                                                                                                                                                                          3⤵
                                                                                                                                                                                                                                                                            PID:10660
                                                                                                                                                                                                                                                                        • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                                          C:\Windows\system32\cmd.exe /d /s /c "wmic PATH Win32_VideoController get name | more +1"
                                                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                                                            PID:10712
                                                                                                                                                                                                                                                                            • C:\Windows\System32\Wbem\WMIC.exe
                                                                                                                                                                                                                                                                              wmic PATH Win32_VideoController get name
                                                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                                                              • Detects videocard installed
                                                                                                                                                                                                                                                                              PID:10752
                                                                                                                                                                                                                                                                            • C:\Windows\system32\more.com
                                                                                                                                                                                                                                                                              more +1
                                                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                                                                PID:10760
                                                                                                                                                                                                                                                                            • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                                              C:\Windows\system32\cmd.exe /d /s /c "powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SoftwareProtectionPlatform' -Name BackupProductKeyDefault"
                                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                                PID:10804
                                                                                                                                                                                                                                                                                • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
                                                                                                                                                                                                                                                                                  powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SoftwareProtectionPlatform' -Name BackupProductKeyDefault
                                                                                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                                                                                  • Suspicious behavior: EnumeratesProcesses
                                                                                                                                                                                                                                                                                  PID:10844
                                                                                                                                                                                                                                                                              • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                                                C:\Windows\system32\cmd.exe /d /s /c "powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion' -Name ProductName"
                                                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                                                  PID:10992
                                                                                                                                                                                                                                                                                  • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
                                                                                                                                                                                                                                                                                    powershell Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion' -Name ProductName
                                                                                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                                                                                    • Suspicious behavior: EnumeratesProcesses
                                                                                                                                                                                                                                                                                    PID:11032
                                                                                                                                                                                                                                                                                • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                                                  C:\Windows\system32\cmd.exe /d /s /c "tasklist"
                                                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                                                    PID:11164
                                                                                                                                                                                                                                                                                    • C:\Windows\system32\tasklist.exe
                                                                                                                                                                                                                                                                                      tasklist
                                                                                                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                                                                                                      • Enumerates processes with tasklist
                                                                                                                                                                                                                                                                                      PID:11204
                                                                                                                                                                                                                                                                                  • C:\Windows\system32\cmd.exe
                                                                                                                                                                                                                                                                                    C:\Windows\system32\cmd.exe /d /s /c "wmic process where processid=NaN get ExecutablePath"
                                                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                                                      PID:10648
                                                                                                                                                                                                                                                                                      • C:\Windows\System32\Wbem\WMIC.exe
                                                                                                                                                                                                                                                                                        wmic process where processid=NaN get ExecutablePath
                                                                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                                                                          PID:10796
                                                                                                                                                                                                                                                                                      • C:\Users\Admin\AppData\Local\Temp\HS Loader.exe
                                                                                                                                                                                                                                                                                        "C:\Users\Admin\AppData\Local\Temp\HS Loader.exe" --type=gpu-process --disable-gpu-sandbox --use-gl=disabled --gpu-vendor-id=4318 --gpu-device-id=140 --gpu-sub-system-id=0 --gpu-revision=0 --gpu-driver-version=10.0.19041.546 --user-data-dir="C:\Users\Admin\AppData\Roaming\theonlyscript" --gpu-preferences=WAAAAAAAAADoAAAMAAAAAAAAAAAAAAAAAABgAAAAAAA4AAAAAAAAAAAAAABEAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAGAAAAAAAAAAYAAAAAAAAAAgAAAAAAAAACAAAAAAAAAAIAAAAAAAAAA== --mojo-platform-channel-handle=2568 --field-trial-handle=1316,i,161538281062729697,4854124768174049425,262144 --disable-features=SpareRendererForSitePerProcess,WinDelaySpellcheckServiceInit,WinRetrieveSuggestionsOnlyOnDemand /prefetch:2
                                                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                                                        • Drops file in System32 directory
                                                                                                                                                                                                                                                                                        • Suspicious behavior: EnumeratesProcesses
                                                                                                                                                                                                                                                                                        PID:5340

                                                                                                                                                                                                                                                                                    Network

                                                                                                                                                                                                                                                                                    MITRE ATT&CK Enterprise v15

                                                                                                                                                                                                                                                                                    Replay Monitor

                                                                                                                                                                                                                                                                                    Loading Replay Monitor...

                                                                                                                                                                                                                                                                                    Downloads

                                                                                                                                                                                                                                                                                    • C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\powershell.exe.log

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      2KB

                                                                                                                                                                                                                                                                                      MD5

                                                                                                                                                                                                                                                                                      6cf293cb4d80be23433eecf74ddb5503

                                                                                                                                                                                                                                                                                      SHA1

                                                                                                                                                                                                                                                                                      24fe4752df102c2ef492954d6b046cb5512ad408

                                                                                                                                                                                                                                                                                      SHA256

                                                                                                                                                                                                                                                                                      b1f292b6199aa29c7fafbca007e5f9e3f68edcbbca1965bc828cc92dc0f18bb8

                                                                                                                                                                                                                                                                                      SHA512

                                                                                                                                                                                                                                                                                      0f91e2da0da8794b9797c7b50eb5dfd27bde4546ceb6902a776664ce887dd6f12a0dd8773d612ccc76dfd029cd280778a0f0ae17ce679b3d2ffd968dd7e94a00

                                                                                                                                                                                                                                                                                    • C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      64B

                                                                                                                                                                                                                                                                                      MD5

                                                                                                                                                                                                                                                                                      5caad758326454b5788ec35315c4c304

                                                                                                                                                                                                                                                                                      SHA1

                                                                                                                                                                                                                                                                                      3aef8dba8042662a7fcf97e51047dc636b4d4724

                                                                                                                                                                                                                                                                                      SHA256

                                                                                                                                                                                                                                                                                      83e613b6dc8d70e3bb67c58535e014f58f3e8b2921e93b55137d799fc8c56391

                                                                                                                                                                                                                                                                                      SHA512

                                                                                                                                                                                                                                                                                      4e0d443cf81e2f49829b0a458a08294bf1bdc0e38d3a938fb8274eeb637d9a688b14c7999dd6b86a31fcec839a9e8c1a9611ed0bbae8bd59caa9dba1e8253693

                                                                                                                                                                                                                                                                                    • C:\Users\Admin\AppData\Local\Temp\2bb1ff6e-28ff-4833-bfbb-3c28d9cce6bc.tmp.node

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      1.4MB

                                                                                                                                                                                                                                                                                      MD5

                                                                                                                                                                                                                                                                                      56192831a7f808874207ba593f464415

                                                                                                                                                                                                                                                                                      SHA1

                                                                                                                                                                                                                                                                                      e0c18c72a62692d856da1f8988b0bc9c8088d2aa

                                                                                                                                                                                                                                                                                      SHA256

                                                                                                                                                                                                                                                                                      6aa8763714aa5199a4065259af792292c2a7d6a2c381aa27007255421e5c9d8c

                                                                                                                                                                                                                                                                                      SHA512

                                                                                                                                                                                                                                                                                      c82aa1ef569c232b4b4f98a3789f2390e5f7bf5cc7e73d199fe23a3f636817edfdc2fb49ce7f69169c028a9dd5ab9f63e8f64964bb22424fc08db71e85054a33

                                                                                                                                                                                                                                                                                    • C:\Users\Admin\AppData\Local\Temp\6076fdd9-a300-43bd-92a9-01d21b748db1.tmp.node

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      151KB

                                                                                                                                                                                                                                                                                      MD5

                                                                                                                                                                                                                                                                                      cced65f76596bd833c8b7decc7ecc648

                                                                                                                                                                                                                                                                                      SHA1

                                                                                                                                                                                                                                                                                      cb0acdb5377579957f8cfcee4d5b721a63690bd8

                                                                                                                                                                                                                                                                                      SHA256

                                                                                                                                                                                                                                                                                      d43138ef3cb7ca53e2936e5b5547ed8e9e79cbbb66cf70d5c08796cb6ed7c913

                                                                                                                                                                                                                                                                                      SHA512

                                                                                                                                                                                                                                                                                      8c75405c09a188ab191ed99582661ecdd9d8548cd94af103c3ccc88cf3279cdae670336c7371c5ad96190d727c30b91845d2ec23193ef879ef81424fa00c2f5c

                                                                                                                                                                                                                                                                                    • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_t2okcxk4.smg.ps1

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      60B

                                                                                                                                                                                                                                                                                      MD5

                                                                                                                                                                                                                                                                                      d17fe0a3f47be24a6453e9ef58c94641

                                                                                                                                                                                                                                                                                      SHA1

                                                                                                                                                                                                                                                                                      6ab83620379fc69f80c0242105ddffd7d98d5d9d

                                                                                                                                                                                                                                                                                      SHA256

                                                                                                                                                                                                                                                                                      96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

                                                                                                                                                                                                                                                                                      SHA512

                                                                                                                                                                                                                                                                                      5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

                                                                                                                                                                                                                                                                                    • memory/5340-146-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-145-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-147-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-157-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-156-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-155-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-154-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-153-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-152-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/5340-151-0x000001D41D6A0000-0x000001D41D6A1000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      4KB

                                                                                                                                                                                                                                                                                    • memory/10844-20-0x000001FBFF5A0000-0x000001FBFF5C2000-memory.dmp

                                                                                                                                                                                                                                                                                      Filesize

                                                                                                                                                                                                                                                                                      136KB