6f7e7fdff1ab9280412e7b81d1b0377807780af22656c7cfd0db61b0b03debb6

Analysis

max time kernel
3s
max time network
151s
platform
windows10-2004_x64
resource
win10v2004-20240709-en
resource tags

arch:x64arch:x86image:win10v2004-20240709-enlocale:en-usos:windows10-2004-x64system
submitted
22/07/2024, 00:08

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Size

264KB
MD5

61fca526f013a4daafad8d6a13ffdf12
SHA1

001bdfdb4f794803fe2851d30d9d6d437b9e4f6c
SHA256

6f7e7fdff1ab9280412e7b81d1b0377807780af22656c7cfd0db61b0b03debb6
SHA512

5a46aacfdfb3352db9d5cdd25fc1b7201ec86957eb9c5983d3e53b693f9e6d7fe28b475367ad13ea22b38e0694ebfeeb8ea44f89aaa5530ff12f77b260c70300
SSDEEP

6144:XCJ3GPtw3RS+BRHtw3RS+BREsoVcAaRJnqBVgtc:XOpiEskCJe

Score

7^/10

adware stealer

Malware Config

Signatures

Executes dropped EXE 11 IoCs

pid	Process
3876	zaztamsn.exe
5848	zaztamsn.exe
7696	zaztamsn.exe
6660	zaztamsn.exe
7056	zaztamsn.exe
7432	zaztamsn.exe
5808	zaztamsn.exe
5716	zaztamsn.exe
1796	zaztamsn.exe
2148	zaztamsn.exe
3444	zaztamsn.exe

Installs/modifies Browser Helper Object 2 TTPs 22 IoCs

BHOs are DLL modules which act as plugins for Internet Explorer.

stealer adware

Modify Registry

T1112

Browser Extensions

T1176

description	ioc	Process
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}\ = "yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{4490415F-65F8-B5C5-D8BA-9405FB120544}	zaztamsn.exe

Drops file in System32 directory 59 IoCs

description	ioc	Process
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File created	C:\Windows\SysWOW64\zaztamsn.exe	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File created	C:\Windows\SysWOW64\yzztdmsn.dll	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\xfztamsn.sys	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\verclsid.exe	zaztamsn.exe
File opened for modification	C:\Windows\SysWOW64\zaztamsn.exe	zaztamsn.exe

Modifies registry class 36 IoCs

description	ioc	Process
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ThreadingModel = "Apartment"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32\ = "C:\\Windows\\SysWow64\\yzztdmsn.dll"	zaztamsn.exe
Key created	\REGISTRY\MACHINE\SOFTWARE\Classes\WOW6432Node\CLSID\{4490415F-65F8-B5C5-D8BA-9405FB120544}\InprocServer32	zaztamsn.exe

Suspicious behavior: EnumeratesProcesses 22 IoCs

pid	Process
2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
3876	zaztamsn.exe
3876	zaztamsn.exe
5848	zaztamsn.exe
5848	zaztamsn.exe
7696	zaztamsn.exe
7696	zaztamsn.exe
6660	zaztamsn.exe
6660	zaztamsn.exe
7056	zaztamsn.exe
7056	zaztamsn.exe
7432	zaztamsn.exe
7432	zaztamsn.exe
5808	zaztamsn.exe
5808	zaztamsn.exe
5716	zaztamsn.exe
5716	zaztamsn.exe
1796	zaztamsn.exe
1796	zaztamsn.exe
2148	zaztamsn.exe
2148	zaztamsn.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 2340 wrote to memory of 1136	2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe	84
PID 2340 wrote to memory of 1136	2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe	84
PID 2340 wrote to memory of 1136	2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe	84
PID 2340 wrote to memory of 3876	2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe	86
PID 2340 wrote to memory of 3876	2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe	86
PID 2340 wrote to memory of 3876	2340	61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe	86
PID 3876 wrote to memory of 1388	3876	zaztamsn.exe	87
PID 3876 wrote to memory of 1388	3876	zaztamsn.exe	87
PID 3876 wrote to memory of 1388	3876	zaztamsn.exe	87
PID 3876 wrote to memory of 5848	3876	zaztamsn.exe	89
PID 3876 wrote to memory of 5848	3876	zaztamsn.exe	89
PID 3876 wrote to memory of 5848	3876	zaztamsn.exe	89
PID 5848 wrote to memory of 1272	5848	zaztamsn.exe	90
PID 5848 wrote to memory of 1272	5848	zaztamsn.exe	90
PID 5848 wrote to memory of 1272	5848	zaztamsn.exe	90
PID 5848 wrote to memory of 7696	5848	zaztamsn.exe	92
PID 5848 wrote to memory of 7696	5848	zaztamsn.exe	92
PID 5848 wrote to memory of 7696	5848	zaztamsn.exe	92
PID 7696 wrote to memory of 7748	7696	zaztamsn.exe	93
PID 7696 wrote to memory of 7748	7696	zaztamsn.exe	93
PID 7696 wrote to memory of 7748	7696	zaztamsn.exe	93
PID 7696 wrote to memory of 6660	7696	zaztamsn.exe	95
PID 7696 wrote to memory of 6660	7696	zaztamsn.exe	95
PID 7696 wrote to memory of 6660	7696	zaztamsn.exe	95
PID 6660 wrote to memory of 6620	6660	zaztamsn.exe	96
PID 6660 wrote to memory of 6620	6660	zaztamsn.exe	96
PID 6660 wrote to memory of 6620	6660	zaztamsn.exe	96
PID 6660 wrote to memory of 7056	6660	zaztamsn.exe	97
PID 6660 wrote to memory of 7056	6660	zaztamsn.exe	97
PID 6660 wrote to memory of 7056	6660	zaztamsn.exe	97
PID 7056 wrote to memory of 6956	7056	zaztamsn.exe	99
PID 7056 wrote to memory of 6956	7056	zaztamsn.exe	99
PID 7056 wrote to memory of 6956	7056	zaztamsn.exe	99
PID 7056 wrote to memory of 7432	7056	zaztamsn.exe	101
PID 7056 wrote to memory of 7432	7056	zaztamsn.exe	101
PID 7056 wrote to memory of 7432	7056	zaztamsn.exe	101
PID 7432 wrote to memory of 7316	7432	zaztamsn.exe	102
PID 7432 wrote to memory of 7316	7432	zaztamsn.exe	102
PID 7432 wrote to memory of 7316	7432	zaztamsn.exe	102
PID 7432 wrote to memory of 5808	7432	zaztamsn.exe	104
PID 7432 wrote to memory of 5808	7432	zaztamsn.exe	104
PID 7432 wrote to memory of 5808	7432	zaztamsn.exe	104
PID 5808 wrote to memory of 5776	5808	zaztamsn.exe	105
PID 5808 wrote to memory of 5776	5808	zaztamsn.exe	105
PID 5808 wrote to memory of 5776	5808	zaztamsn.exe	105
PID 5808 wrote to memory of 5716	5808	zaztamsn.exe	107
PID 5808 wrote to memory of 5716	5808	zaztamsn.exe	107
PID 5808 wrote to memory of 5716	5808	zaztamsn.exe	107
PID 5716 wrote to memory of 5676	5716	zaztamsn.exe	108
PID 5716 wrote to memory of 5676	5716	zaztamsn.exe	108
PID 5716 wrote to memory of 5676	5716	zaztamsn.exe	108
PID 5716 wrote to memory of 1796	5716	zaztamsn.exe	109
PID 5716 wrote to memory of 1796	5716	zaztamsn.exe	109
PID 5716 wrote to memory of 1796	5716	zaztamsn.exe	109
PID 1796 wrote to memory of 1424	1796	zaztamsn.exe	111
PID 1796 wrote to memory of 1424	1796	zaztamsn.exe	111
PID 1796 wrote to memory of 1424	1796	zaztamsn.exe	111
PID 1796 wrote to memory of 2148	1796	zaztamsn.exe	471
PID 1796 wrote to memory of 2148	1796	zaztamsn.exe	471
PID 1796 wrote to memory of 2148	1796	zaztamsn.exe	471
PID 2148 wrote to memory of 3940	2148	zaztamsn.exe	114
PID 2148 wrote to memory of 3940	2148	zaztamsn.exe	114
PID 2148 wrote to memory of 3940	2148	zaztamsn.exe	114
PID 2148 wrote to memory of 3444	2148	zaztamsn.exe	116

C:\Users\Admin\AppData\Local\Temp\61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe
"C:\Users\Admin\AppData\Local\Temp\61fca526f013a4daafad8d6a13ffdf12_JaffaCakes118.exe"
1⤵
- Installs/modifies Browser Helper Object
- Drops file in System32 directory
- Modifies registry class
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of WriteProcessMemory
PID:2340
- C:\Windows\SysWOW64\cmd.exe
  C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240611593.bat
  2⤵
  PID:1136
- C:\Windows\SysWOW64\zaztamsn.exe
  C:\Windows\system32\zaztamsn.exe
  2⤵
  - Executes dropped EXE
  - Installs/modifies Browser Helper Object
  - Drops file in System32 directory
  - Modifies registry class
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of WriteProcessMemory
  PID:3876
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240611921.bat
    3⤵
    PID:1388
- - C:\Windows\SysWOW64\zaztamsn.exe
    C:\Windows\system32\zaztamsn.exe
    3⤵
    - Executes dropped EXE
    - Installs/modifies Browser Helper Object
    - Drops file in System32 directory
    - Modifies registry class
    - Suspicious behavior: EnumeratesProcesses
    - Suspicious use of WriteProcessMemory
    PID:5848
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240612218.bat
      4⤵
      PID:1272
  - - C:\Windows\SysWOW64\zaztamsn.exe
      C:\Windows\system32\zaztamsn.exe
      4⤵
      Executes dropped EXE
      Installs/modifies Browser Helper Object
      Drops file in System32 directory
      Modifies registry class
      Suspicious behavior: EnumeratesProcesses
      Suspicious use of WriteProcessMemory
      PID:7696
    - - C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240612531.bat
        5⤵
        
        PID:7748
    - - C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        5⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:6660
      - C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240612828.bat
        6⤵
        
        PID:6620
      - C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        6⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:7056
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240613078.bat
        7⤵
        
        PID:6956
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        7⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:7432
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240613359.bat
        8⤵
        
        PID:7316
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        8⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:5808
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240613578.bat
        9⤵
        
        PID:5776
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        9⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:5716
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240613843.bat
        10⤵
        
        PID:5676
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        10⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:1796
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240614109.bat
        11⤵
        
        PID:1424
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        11⤵
        Executes dropped EXE
        Installs/modifies Browser Helper Object
        Drops file in System32 directory
        Modifies registry class
        Suspicious behavior: EnumeratesProcesses
        Suspicious use of WriteProcessMemory
        
        PID:2148
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240614390.bat
        12⤵
        
        PID:3940
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        12⤵
        Executes dropped EXE
        Drops file in System32 directory
        
        PID:3444
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240614718.bat
        13⤵
        
        PID:6740
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        13⤵
        
        PID:7332
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240615000.bat
        14⤵
        
        PID:7492
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        14⤵
        
        PID:3872
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240615343.bat
        15⤵
        
        PID:5348
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        15⤵
        
        PID:8276
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240615625.bat
        16⤵
        
        PID:8308
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        16⤵
        
        PID:5604
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240615890.bat
        17⤵
        
        PID:5616
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        17⤵
        
        PID:7152
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240616156.bat
        18⤵
        
        PID:5880
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        18⤵
        
        PID:8136
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240616390.bat
        19⤵
        
        PID:5436
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        19⤵
        
        PID:4844
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240617093.bat
        20⤵
        
        PID:7836
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        20⤵
        
        PID:7372
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240617359.bat
        21⤵
        
        PID:8512
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        21⤵
        
        PID:2376
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240617640.bat
        22⤵
        
        PID:8828
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        22⤵
        
        PID:5488
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240617953.bat
        23⤵
        
        PID:7972
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        23⤵
        
        PID:2472
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240618375.bat
        24⤵
        
        PID:3992
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        24⤵
        
        PID:6336
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240618625.bat
        25⤵
        
        PID:8172
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        25⤵
        
        PID:6780
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240618937.bat
        26⤵
        
        PID:1932
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        26⤵
        
        PID:2920
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240619156.bat
        27⤵
        
        PID:4200
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        27⤵
        
        PID:6580
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240619437.bat
        28⤵
        
        PID:7648
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        28⤵
        
        PID:6812
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240619796.bat
        29⤵
        
        PID:7912
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        29⤵
        
        PID:7668
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240620093.bat
        30⤵
        
        PID:5648
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        30⤵
        
        PID:8580
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240620421.bat
        31⤵
        
        PID:8660
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        31⤵
        
        PID:7132
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240620703.bat
        32⤵
        
        PID:3152
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        32⤵
        
        PID:7580
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240620968.bat
        33⤵
        
        PID:3608
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        33⤵
        
        PID:1532
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240621265.bat
        34⤵
        
        PID:8060
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        34⤵
        
        PID:1372
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240621500.bat
        35⤵
        
        PID:6508
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        35⤵
        
        PID:7540
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240621750.bat
        36⤵
        
        PID:1404
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        36⤵
        
        PID:8708
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240621968.bat
        37⤵
        
        PID:6708
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        37⤵
        
        PID:7660
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240622218.bat
        38⤵
        
        PID:6252
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        38⤵
        
        PID:9924
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240622531.bat
        39⤵
        
        PID:9952
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        39⤵
        
        PID:9200
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240622828.bat
        40⤵
        
        PID:4836
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        40⤵
        
        PID:7320
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240623062.bat
        41⤵
        
        PID:7532
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        41⤵
        
        PID:1744
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240623312.bat
        42⤵
        
        PID:8796
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        42⤵
        
        PID:9212
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240623515.bat
        43⤵
        
        PID:9572
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        43⤵
        
        PID:5680
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240623765.bat
        44⤵
        
        PID:7560
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        44⤵
        
        PID:8676
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240624015.bat
        45⤵
        
        PID:6096
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        45⤵
        
        PID:9152
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240624328.bat
        46⤵
        
        PID:1192
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        46⤵
        
        PID:7848
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240624625.bat
        47⤵
        
        PID:8932
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        47⤵
        
        PID:9452
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240624859.bat
        48⤵
        
        PID:7076
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        48⤵
        
        PID:3968
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240625171.bat
        49⤵
        
        PID:7884
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        49⤵
        
        PID:8380
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240625515.bat
        50⤵
        
        PID:4328
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        50⤵
        
        PID:6716
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240625781.bat
        51⤵
        
        PID:9256
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        51⤵
        
        PID:9168
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240626078.bat
        52⤵
        
        PID:10084
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        52⤵
        
        PID:8128
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240626453.bat
        53⤵
        
        PID:1484
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        53⤵
        
        PID:9736
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240626796.bat
        54⤵
        
        PID:8484
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        54⤵
        
        PID:880
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240627078.bat
        55⤵
        
        PID:2824
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        55⤵
        
        PID:5008
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240627312.bat
        56⤵
        
        PID:908
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        56⤵
        
        PID:7264
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240627640.bat
        57⤵
        
        PID:5156
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        57⤵
        
        PID:6804
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240628093.bat
        58⤵
        
        PID:9104
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        58⤵
        
        PID:10560
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240628421.bat
        59⤵
        
        PID:10596
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        59⤵
        
        PID:1916
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240628562.bat
        60⤵
        
        PID:7684
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        60⤵
        
        PID:6936
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240628906.bat
        61⤵
        
        PID:8468
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        61⤵
        
        PID:11752
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240629156.bat
        62⤵
        
        PID:11800
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        62⤵
        
        PID:10420
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240629375.bat
        63⤵
        
        PID:3112
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        63⤵
        
        PID:10708
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240629671.bat
        64⤵
        
        PID:7956
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        64⤵
        
        PID:9392
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240629906.bat
        65⤵
        
        PID:10052
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        65⤵
        
        PID:11484
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240630250.bat
        66⤵
        
        PID:11528
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        66⤵
        
        PID:10816
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240630531.bat
        67⤵
        
        PID:7864
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        67⤵
        
        PID:9840
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240630812.bat
        68⤵
        
        PID:4524
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        68⤵
        
        PID:8884
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240631171.bat
        69⤵
        
        PID:6572
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        69⤵
        
        PID:1080
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240631468.bat
        70⤵
        
        PID:3632
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        70⤵
        
        PID:5492
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240631703.bat
        71⤵
        
        PID:3464
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        71⤵
        
        PID:11360
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240631984.bat
        72⤵
        
        PID:11268
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        72⤵
        
        PID:1260
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240632218.bat
        73⤵
        
        PID:6724
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        73⤵
        
        PID:2652
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240632484.bat
        74⤵
        
        PID:8524
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        74⤵
        
        PID:6876
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240633109.bat
        75⤵
        
        PID:11688
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        75⤵
        
        PID:3168
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240633359.bat
        76⤵
        
        PID:4788
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        76⤵
        
        PID:7804
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240633640.bat
        77⤵
        
        PID:9164
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        77⤵
        
        PID:10092
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240633890.bat
        78⤵
        
        PID:10524
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        78⤵
        
        PID:8440
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240634062.bat
        79⤵
        
        PID:1728
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        79⤵
        
        PID:7280
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240634281.bat
        80⤵
        
        PID:11480
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        80⤵
        
        PID:6776
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240634640.bat
        81⤵
        
        PID:8460
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        81⤵
        
        PID:8064
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240634937.bat
        82⤵
        
        PID:6296
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        82⤵
        
        PID:2908
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240635218.bat
        83⤵
        
        PID:6916
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        83⤵
        
        PID:11164
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240635500.bat
        84⤵
        
        PID:11432
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        84⤵
        
        PID:7412
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240635859.bat
        85⤵
        
        PID:11900
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        85⤵
        
        PID:11212
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240636140.bat
        86⤵
        
        PID:10844
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        86⤵
        
        PID:5400
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240636437.bat
        87⤵
        
        PID:6492
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        87⤵
        
        PID:5320
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240636640.bat
        88⤵
        
        PID:11616
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        88⤵
        
        PID:11852
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240636906.bat
        89⤵
        
        PID:9548
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        89⤵
        
        PID:2544
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240637156.bat
        90⤵
        
        PID:12072
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        90⤵
        
        PID:13044
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240637437.bat
        91⤵
        
        PID:13080
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        91⤵
        
        PID:8652
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240637703.bat
        92⤵
        
        PID:4512
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        92⤵
        
        PID:9812
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240638000.bat
        93⤵
        
        PID:6576
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        93⤵
        
        PID:6828
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240638265.bat
        94⤵
        
        PID:9904
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        94⤵
        
        PID:2176
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240638468.bat
        95⤵
        
        PID:7920
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        95⤵
        
        PID:7644
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240638765.bat
        96⤵
        
        PID:3496
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        96⤵
        
        PID:13812
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240639031.bat
        97⤵
        
        PID:13872
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        97⤵
        
        PID:11328
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240639328.bat
        98⤵
        
        PID:12456
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        98⤵
        
        PID:9120
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240639656.bat
        99⤵
        
        PID:12112
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        99⤵
        
        PID:1884
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240639890.bat
        100⤵
        
        PID:14184
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        100⤵
        
        PID:13416
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240640125.bat
        101⤵
        
        PID:13452
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        101⤵
        
        PID:12560
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240640406.bat
        102⤵
        
        PID:13176
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        102⤵
        
        PID:12444
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240640734.bat
        103⤵
        
        PID:12364
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        103⤵
        
        PID:8352
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240641031.bat
        104⤵
        
        PID:12224
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        104⤵
        
        PID:13868
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240641390.bat
        105⤵
        
        PID:9880
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        105⤵
        
        PID:10896
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240641671.bat
        106⤵
        
        PID:12752
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        106⤵
        
        PID:5316
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240642078.bat
        107⤵
        
        PID:12272
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        107⤵
        
        PID:10088
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240642328.bat
        108⤵
        
        PID:8732
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        108⤵
        
        PID:1596
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240642625.bat
        109⤵
        
        PID:6848
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        109⤵
        
        PID:14128
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240642921.bat
        110⤵
        
        PID:8700
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        110⤵
        
        PID:6316
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240643250.bat
        111⤵
        
        PID:13528
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        111⤵
        
        PID:12912
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240643609.bat
        112⤵
        
        PID:9728
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        112⤵
        
        PID:14224
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240643921.bat
        113⤵
        
        PID:11460
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        113⤵
        
        PID:7784
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240644265.bat
        114⤵
        
        PID:4040
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        114⤵
        
        PID:11384
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240644593.bat
        115⤵
        
        PID:12244
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        115⤵
        
        PID:9788
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240644812.bat
        116⤵
        
        PID:4332
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        116⤵
        
        PID:1584
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645046.bat
        117⤵
        
        PID:12108
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        117⤵
        
        PID:8052
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645484.bat
        118⤵
        
        PID:14076
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        118⤵
        
        PID:13296
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645718.bat
        119⤵
        
        PID:6736
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        119⤵
        
        PID:9872
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646062.bat
        120⤵
        
        PID:6564
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        120⤵
        
        PID:12656
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646343.bat
        121⤵
        
        PID:2104
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        121⤵
        
        PID:15028
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646640.bat
        122⤵
        
        PID:14624
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        122⤵
        
        PID:11428
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646875.bat
        123⤵
        
        PID:11208
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        123⤵
        
        PID:15912
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240647156.bat
        124⤵
        
        PID:7776
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        124⤵
        
        PID:14368
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240647359.bat
        125⤵
        
        PID:9300
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        125⤵
        
        PID:13660
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240647687.bat
        126⤵
        
        PID:6668
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        126⤵
        
        PID:14236
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240647937.bat
        127⤵
        
        PID:2420
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        127⤵
        
        PID:15576
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240648250.bat
        128⤵
        
        PID:14188
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        128⤵
        
        PID:7616
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240648531.bat
        129⤵
        
        PID:14304
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        129⤵
        
        PID:15872
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240648812.bat
        130⤵
        
        PID:9004
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        130⤵
        
        PID:15548
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649093.bat
        131⤵
        
        PID:15620
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        131⤵
        
        PID:15088
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649406.bat
        132⤵
        
        PID:11444
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        132⤵
        
        PID:14580
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649656.bat
        133⤵
        
        PID:11012
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        133⤵
        
        PID:10528
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240650062.bat
        134⤵
        
        PID:11000
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        134⤵
        
        PID:16216
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240650390.bat
        135⤵
        
        PID:752
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        135⤵
        
        PID:5404
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240650937.bat
        136⤵
        
        PID:14232
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        136⤵
        
        PID:9784
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        137⤵
        
        PID:7720
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240651859.bat
        138⤵
        
        PID:10152
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        138⤵
        
        PID:3336
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652171.bat
        139⤵
        
        PID:14936
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        139⤵
        
        PID:13900
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652484.bat
        140⤵
        
        PID:7428
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        140⤵
        
        PID:14392
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652890.bat
        141⤵
        
        PID:8908
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        141⤵
        
        PID:11968
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240653296.bat
        142⤵
        
        PID:12868
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        142⤵
        
        PID:10968
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240653640.bat
        143⤵
        
        PID:14560
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        143⤵
        
        PID:12856
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654140.bat
        144⤵
        
        PID:16220
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        144⤵
        
        PID:6596
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654609.bat
        145⤵
        
        PID:8644
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        145⤵
        
        PID:16444
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654984.bat
        146⤵
        
        PID:16536
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        146⤵
        
        PID:12520
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240655296.bat
        147⤵
        
        PID:15068
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        147⤵
        
        PID:3908
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240655687.bat
        148⤵
        
        PID:9576
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        148⤵
        
        PID:14860
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656046.bat
        149⤵
        
        PID:12704
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        149⤵
        
        PID:17644
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656359.bat
        150⤵
        
        PID:17696
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        150⤵
        
        PID:8212
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656828.bat
        151⤵
        
        PID:17036
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        151⤵
        
        PID:5304
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240657171.bat
        152⤵
        
        PID:13516
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        152⤵
        
        PID:17236
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240657484.bat
        153⤵
        
        PID:11112
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        153⤵
        
        PID:16692
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240657734.bat
        154⤵
        
        PID:17080
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        154⤵
        
        PID:13160
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240658109.bat
        155⤵
        
        PID:8036
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        155⤵
        
        PID:15216
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240658468.bat
        156⤵
        
        PID:15112
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        156⤵
        
        PID:5864
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240658765.bat
        157⤵
        
        PID:4240
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        157⤵
        
        PID:10548
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659046.bat
        158⤵
        
        PID:17828
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        158⤵
        
        PID:18016
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659406.bat
        159⤵
        
        PID:18108
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        159⤵
        
        PID:17224
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659703.bat
        160⤵
        
        PID:17152
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        160⤵
        
        PID:1616
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659937.bat
        161⤵
        
        PID:14692
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        161⤵
        
        PID:14160
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240660328.bat
        162⤵
        
        PID:14264
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        162⤵
        
        PID:18372
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240661015.bat
        163⤵
        
        PID:732
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        163⤵
        
        PID:16736
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240661250.bat
        164⤵
        
        PID:18476
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        164⤵
        
        PID:6648
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240661625.bat
        165⤵
        
        PID:13284
        
        C:\Windows\SysWOW64\zaztamsn.exe
        
        C:\Windows\system32\zaztamsn.exe
        165⤵
        
        PID:16612
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662062.bat
        166⤵
        
        PID:17692
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662265.bat
        165⤵
        
        PID:17172
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662375.bat
        164⤵
        
        PID:10236
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662437.bat
        163⤵
        
        PID:7736
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662484.bat
        162⤵
        
        PID:10128
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662500.bat
        161⤵
        
        PID:12416
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662546.bat
        160⤵
        
        PID:7320
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662578.bat
        159⤵
        
        PID:18788
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662609.bat
        158⤵
        
        PID:19044
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662921.bat
        155⤵
        
        PID:18864
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662953.bat
        154⤵
        
        PID:19200
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663000.bat
        153⤵
        
        PID:11508
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663046.bat
        151⤵
        
        PID:18648
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663109.bat
        150⤵
        
        PID:18700
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663187.bat
        149⤵
        
        PID:14020
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663390.bat
        145⤵
        
        PID:15864
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663437.bat
        144⤵
        
        PID:17836
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663468.bat
        143⤵
        
        PID:16656
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663500.bat
        142⤵
        
        PID:1144
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663578.bat
        141⤵
        
        PID:8988
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663625.bat
        140⤵
        
        PID:17528
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663671.bat
        139⤵
        
        PID:16752
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663765.bat
        137⤵
        
        PID:15792
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663796.bat
        136⤵
        
        PID:17988
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663828.bat
        135⤵
        
        PID:17316
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663875.bat
        134⤵
        
        PID:16724
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663906.bat
        133⤵
        
        PID:9736
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664109.bat
        130⤵
        
        PID:9888
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664187.bat
        129⤵
        
        PID:16932
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664312.bat
        128⤵
        
        PID:3964
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664390.bat
        127⤵
        
        PID:16248
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664421.bat
        126⤵
        
        PID:13736
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664593.bat
        123⤵
        
        PID:16968
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664656.bat
        122⤵
        
        PID:7396
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664781.bat
        121⤵
        
        PID:6580
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664812.bat
        120⤵
        
        PID:17308
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664875.bat
        119⤵
        
        PID:5204
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664921.bat
        118⤵
        
        PID:19372
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664953.bat
        117⤵
        
        PID:3968
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664984.bat
        116⤵
        
        PID:17740
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665015.bat
        115⤵
        
        PID:16280
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665046.bat
        114⤵
        
        PID:13884
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665078.bat
        113⤵
        
        PID:14496
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665265.bat
        109⤵
        
        PID:19356
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665296.bat
        108⤵
        
        PID:5700
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665453.bat
        107⤵
        
        PID:8820
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665468.bat
        106⤵
        
        PID:1128
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665546.bat
        105⤵
        
        PID:10664
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665640.bat
        102⤵
        
        PID:18992
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665703.bat
        101⤵
        
        PID:18628
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665734.bat
        100⤵
        
        PID:4952
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665765.bat
        99⤵
        
        PID:6224
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665859.bat
        98⤵
        
        PID:12344
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665890.bat
        97⤵
        
        PID:18452
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665953.bat
        96⤵
        
        PID:1140
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665984.bat
        95⤵
        
        PID:16352
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666015.bat
        94⤵
        
        PID:16728
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666093.bat
        93⤵
        
        PID:16388
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666234.bat
        92⤵
        
        PID:15332
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666296.bat
        91⤵
        
        PID:5008
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666343.bat
        90⤵
        
        PID:17520
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666406.bat
        89⤵
        
        PID:17512
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666453.bat
        88⤵
        
        PID:17220
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666484.bat
        87⤵
        
        PID:17792
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666390.bat
        84⤵
        
        PID:10656
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240666109.bat
        83⤵
        
        PID:17136
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665875.bat
        82⤵
        
        PID:18932
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240665156.bat
        80⤵
        
        PID:17848
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664796.bat
        79⤵
        
        PID:17884
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664578.bat
        78⤵
        
        PID:6104
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664406.bat
        77⤵
        
        PID:15768
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240664093.bat
        76⤵
        
        PID:3256
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663781.bat
        75⤵
        
        PID:18012
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240663609.bat
        74⤵
        
        PID:11456
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662937.bat
        73⤵
        
        PID:18844
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662500.bat
        71⤵
        
        PID:10704
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240662000.bat
        69⤵
        
        PID:2396
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240661843.bat
        68⤵
        
        PID:16344
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240661484.bat
        67⤵
        
        PID:18340
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240661187.bat
        66⤵
        
        PID:16792
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240660875.bat
        65⤵
        
        PID:16592
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240660468.bat
        64⤵
        
        PID:16404
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240660218.bat
        63⤵
        
        PID:4656
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240660000.bat
        62⤵
        
        PID:14072
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659703.bat
        61⤵
        
        PID:744
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659562.bat
        60⤵
        
        PID:15428
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659234.bat
        59⤵
        
        PID:18056
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240659171.bat
        58⤵
        
        PID:8448
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240658703.bat
        57⤵
        
        PID:15356
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240658250.bat
        56⤵
        
        PID:18184
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240657921.bat
        55⤵
        
        PID:6748
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240657843.bat
        54⤵
        
        PID:6256
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240657515.bat
        53⤵
        
        PID:14404
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656968.bat
        52⤵
        
        PID:10224
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656656.bat
        51⤵
        
        PID:5764
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656421.bat
        50⤵
        
        PID:14948
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240656281.bat
        49⤵
        
        PID:17660
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240655640.bat
        48⤵
        
        PID:15196
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240655531.bat
        47⤵
        
        PID:9768
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240655281.bat
        46⤵
        
        PID:12216
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240655093.bat
        45⤵
        
        PID:2472
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654718.bat
        44⤵
        
        PID:7044
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654390.bat
        43⤵
        
        PID:15852
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654250.bat
        42⤵
        
        PID:9176
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240654000.bat
        41⤵
        
        PID:15660
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240653718.bat
        40⤵
        
        PID:13548
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240653437.bat
        39⤵
        
        PID:15432
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240653156.bat
        38⤵
        
        PID:15996
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652843.bat
        37⤵
        
        PID:15824
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652609.bat
        36⤵
        
        PID:15048
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652453.bat
        35⤵
        
        PID:4388
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240652156.bat
        34⤵
        
        PID:13764
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240651875.bat
        33⤵
        
        PID:9912
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240651828.bat
        32⤵
        
        PID:11016
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240651484.bat
        31⤵
        
        PID:14432
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240651218.bat
        30⤵
        
        PID:5344
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240650703.bat
        29⤵
        
        PID:15404
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240650359.bat
        28⤵
        
        PID:14840
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649984.bat
        27⤵
        
        PID:10960
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240650015.bat
        26⤵
        
        PID:12848
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649500.bat
        25⤵
        
        PID:5216
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649156.bat
        24⤵
        
        PID:7400
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240649125.bat
        23⤵
        
        PID:10828
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240648609.bat
        22⤵
        
        PID:8668
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240648250.bat
        21⤵
        
        PID:15724
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240648000.bat
        20⤵
        
        PID:12764
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240647734.bat
        19⤵
        
        PID:14296
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646953.bat
        18⤵
        
        PID:15748
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646750.bat
        17⤵
        
        PID:14592
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646515.bat
        16⤵
        
        PID:2148
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240646156.bat
        15⤵
        
        PID:11104
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645984.bat
        14⤵
        
        PID:10028
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645640.bat
        13⤵
        
        PID:3108
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645359.bat
        12⤵
        
        PID:6964
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240645140.bat
        11⤵
        
        PID:15480
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240644843.bat
        10⤵
        
        PID:9468
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240644609.bat
        9⤵
        
        PID:4972
        
        C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240644234.bat
        8⤵
        
        PID:8592
      - C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240643718.bat
        6⤵
        
        PID:11648
    - - C:\Windows\SysWOW64\cmd.exe
        
        C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240643562.bat
        5⤵
        
        PID:5876
  - - C:\Windows\SysWOW64\cmd.exe
      C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240643234.bat
      4⤵
      PID:12800
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240642859.bat
    3⤵
    PID:14256
- C:\Windows\SysWOW64\cmd.exe
  C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Local\Temp\~DFD240642500.bat
  2⤵
  PID:10140

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Browser Extensions

T1176

Privilege Escalation

Defense Evasion

Modify Registry

T1112

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Temp\~DFD240611593.bat

Filesize
121B

MD5
09517fc62284f33e877a276463580bd1

SHA1
0b14fe1db4493818f9de0bf2a56ee5370b8d479a

SHA256
6cc6bbb1f3f754b6894d84130f5f2d86569ac3a603e1632d3cefa028f22b6238

SHA512
1b924dd216d0f38199cc6df215e65ff260aa48fa37aa620dabcbc616f434643bd1f2e617d66b14bd52900214148741565128ba9589782ba582fd7308369f4a4d

Download Submit
C:\Users\Admin\AppData\Local\Temp\~DFD240643562.bat

Filesize
121B

MD5
634dd1d56ddfc2c9bf1bcf33d18f9cb9

SHA1
8c5e820bff2cb88755ce7b4f500c2cfc6abbb857

SHA256
88467b24e440b2590b48a175d855bc6e984fc53c210bb1d0f6c8d56d90654de3

SHA512
3505cfdfe62f6f4be271be9cf6c563f78f065e80821d94425727b08da97161e66500bd138b83b24d00729431765826b0033b3bb13414d74abba64c939b5d6eba

Download Submit
C:\Windows\SysWOW64\xfztamsn.sys

Filesize
260B

MD5
7eb9fa95e119f8546c65b11d9c94c03f

SHA1
c12ac93618938e171e115e46643690b25b80eeee

SHA256
2ec19d9c809ab8291b9c6e270e6c33c07aa75026d5d190498beb3d78ee654184

SHA512
76fa44ec28e4485eeadfeb44144e3401c75c82ab2107162086c27c2de3368578d6c81af1488131546abd96cef875f31c122bae81ea12584ae8db1fd26ed1b6b5

Download Submit
C:\Windows\SysWOW64\yzztdmsn.dll

Filesize
522KB

MD5
9aa20e6a5c8575b874dd8092831bac4d

SHA1
375b10ee7456f5420047fe6a404dc59bee7f7f45

SHA256
8ccc04d224a5d63f2f5a64cb37225416bc2501253b4f9db0191bf9ddbd6bfa74

SHA512
9f8e75d59eb6a5adfa662a20f4a609e07e1323c6acce8d0962c9f6bf250e24ac7bd38279410720d23a1d6dd388c0b8948c887f86c3810e2d6316d0d57d859c56

Download Submit
C:\Windows\SysWOW64\yzztdmsn.dll

Filesize
338KB

MD5
7b3f687c08f50ea65daaaf16732370b1

SHA1
b59bdaa3ba48e6d860994d57833c888581e16151

SHA256
301d988fc698ad023009e9e2a9647d2037a1447f96a0b72df950d58b96391b12

SHA512
4a44b8475bcdb536c75331676b5757054a159fc6bb38bd9d0db1fa1bdc3f984672a88566ce7cccf4295c590b8b706841c26d956158f349466442ccd051a7d6ae

Download Submit
C:\Windows\SysWOW64\yzztdmsn.dll

Filesize
522KB

MD5
f87f0c96efb7de4ef1a634ab08ec69f4

SHA1
e058f6cd4e39856ada4ec7d17f0885e8de5d00ab

SHA256
3bd27e56b3ae901ead585c4258f8992fbc0b59d5cc3107d8d0dad7257c85b678

SHA512
56980c8ff101c86788126252844421cc6418ad7c6f6e99240400687ae0527dfbb22ad403d1b73ca1cd6c4db5be70f10c1781afc2b12ec38681ba98be5fc7be9a

Download Submit
C:\Windows\SysWOW64\zaztamsn.exe

Filesize
264KB

MD5
61fca526f013a4daafad8d6a13ffdf12

SHA1
001bdfdb4f794803fe2851d30d9d6d437b9e4f6c

SHA256
6f7e7fdff1ab9280412e7b81d1b0377807780af22656c7cfd0db61b0b03debb6

SHA512
5a46aacfdfb3352db9d5cdd25fc1b7201ec86957eb9c5983d3e53b693f9e6d7fe28b475367ad13ea22b38e0694ebfeeb8ea44f89aaa5530ff12f77b260c70300

Download Submit
memory/2340-0-0x0000000000400000-0x0000000000419000-memory.dmp

Filesize
100KB

Download
memory/2340-10137-0x0000000000400000-0x0000000000419000-memory.dmp

Filesize
100KB

Download
memory/3876-1022-0x0000000000400000-0x0000000000419000-memory.dmp

Filesize
100KB

Download
memory/5848-2035-0x0000000000400000-0x0000000000419000-memory.dmp

Filesize
100KB

Download
memory/7280-78855-0x0000000000400000-0x0000000000419000-memory.dmp

Filesize
100KB

Download
memory/8512-167015-0x0000000000300000-0x000000000035A000-memory.dmp

Filesize
360KB

Download
memory/10844-166990-0x0000000000300000-0x000000000035A000-memory.dmp

Filesize
360KB

Download
memory/11484-64714-0x0000000000400000-0x0000000000419000-memory.dmp

Filesize
100KB

Download
memory/11528-167009-0x0000000000300000-0x000000000035A000-memory.dmp

Filesize
360KB

Download
memory/15748-167010-0x0000000000300000-0x000000000035A000-memory.dmp

Filesize
360KB

Download