Analysis

  • max time kernel
    121s
  • max time network
    126s
  • platform
    windows7_x64
  • resource
    win7-20240708-en
  • resource tags

    arch:x64arch:x86image:win7-20240708-enlocale:en-usos:windows7-x64system
  • submitted
    25-08-2024 19:45

General

  • Target

    c171bcd34151cbcd48edbce13796e0ed_JaffaCakes118.ps1

  • Size

    1.6MB

  • MD5

    c171bcd34151cbcd48edbce13796e0ed

  • SHA1

    2770fec86275dfb1a4a05e2d56bc27a089197666

  • SHA256

    63ba6db8c81c60dd9f1a0c7c4a4c51e2e56883f063509ed7b543ad7651fd8806

  • SHA512

    d25cbb70dae9bcc49d32c15300734879fe4c1b7ae35cb5affab50e8a61ae7226832b278d846f76f7eedc3a1baf35e2aec4e8c364eab99cddb00c2ffeb97283da

  • SSDEEP

    12288:mCPioPTJd1WR3keV2Y/eHKaetuMUDfyTEHG+oIr7zOHSh3qruJJvbW:mxYTJw3keV2Y/xSMWPpoI7vh3qV

Malware Config

Extracted

Path

C:\MSOCache\All Users\{90140000-001A-0409-0000-0000000FF1CE}-C\YOUR_FILES_ARE_ENCRYPTED.HTML

Ransom Note
<!DOCTYPE html> <html lang="en"> <head> <meta charset='utf-8'> <meta name='viewport' content='width=device-width,initial-scale=1'> <title></title> <style> html, body { background-color: #1a1a1a; } body { padding-top: 3rem !important; } #text h2 { color: white; font-size: 2rem; font-weight: 600; line-height: 1.125; } .tabs { -webkit-overflow-scrolling: touch; align-items: stretch; display: flex; font-size: 1rem; justify-content: space-between; overflow: hidden; overflow-x: hidden; overflow-x: auto; white-space: nowrap; } .tabs ul { align-items: center; border-bottom-color: #454545; border-bottom-style: solid; border-bottom-width: 1px; display: flex; flex-grow: 1; flex-shrink: 0; justify-content: flex-start; } .tabs.is-toggle ul { border-bottom: none; } .tabs li { position: relative; } .tabs li { display: block; } .tabs.is-toggle li.is-active a { background-color: white; border-color: white; color: rgba(0, 0, 0, 0.7); z-index: 1; } .tabs.is-toggle li:first-child a { border-top-left-radius: 3px; border-bottom-left-radius: 3px; } .tabs li.is-active a { border-bottom-color: white; color: white; } .tabs.is-toggle a { border-color: #454545; border-style: solid; border-width: 1px; margin-bottom: 0; position: relative; } .tabs a { align-items: center; border-bottom-color: #454545; border-bottom-style: solid; border-bottom-width: 1px; color: white; display: flex; justify-content: center; margin-bottom: -1px; padding: 0.5em 1em; vertical-align: top; cursor: pointer; } .tabs.is-toggle li:last-child a { border-top-right-radius: 3px; border-bottom-right-radius: 3px; } .container { max-width: 1152px; max-width: ; flex-grow: 1; margin: 0 auto; position: relative; width: auto; } .box { background-color: #242424; color: white; display: block; padding: 1.25rem; border: 1px solid #303030; } blockquote { background: hsl(0, 0%, 20%); padding: 1rem; border-left: 3px solid #55a630; } a { color: #e55934; } </style> <script> let text = { en: `<h2> Whats Happen? </h2> We got your documents and files encrypted and you cannot access them. To make sure we�re not bluffing just check out your files. Want to recover them? Just do what we instruct you to. If you fail to follow our recommendations, you will never see your files again. During each attack, we copy valuable commercial data. If the user doesn’t pay to us, we will either send those data to rivals, or publish them. GDPR. Don’t want to pay to us, pay 10x more to the government. <h2> What Guarantees? </h2> We’re doing our own business and never care about what you do. All we need is to earn. Should we be unfair guys, no one would work with us. So if you drop our offer we won’t take any offense but you’ll lose all of your data and files. How much time would it take to recover losses? You only may guess. <h2> How do I access the website? </h2> <ul> <li><a href="https://torproject.org" target="_blank">Get TOR browser here</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Go to our website</a></li> </ul>`, de: `<h2> Was ist gerade passiert? </h2> Wir haben Ihre Dokumente und Dateien verschlüsselt und Sie können nicht mehr darauf zugreifen. Jeder Angriff wird von einer Kopie der kommerziellen Informationen begleitet. Um sicherzustellen, dass wir es ernst meinen, prüfen Sie einfach Ihre Dateien und Sie werden sehen. Möchten Sie sie wiederherstellen? Halten Sie sich einfach an unsere Anweisungen, um uns zu bezahlen. Tuen Sie dies nicht, werden Sie Ihre Dateien niemals wiedersehen. Im Falle einer Zahlungsverweigerung werden die Daten entweder an Wettbewerber verkauft oder in offenen Quellen bereitgestellt. GDPR. Wenn Sie uns nicht bezahlen möchten, zahlen Sie das Zehnfache an der Regierung. <h2> Wie sollten Sie uns trauen ? </h2> Wir machen unsere eigenen Geschäfte und kümmern uns nicht darum was Sie tunen. Wir müssen nur verdienen. Sollten wir einfach nur bluffen, würde niemand an uns zahlen. Wenn Sie unser Angebot ablehnen, werden Sie alle Ihre Daten für immer verlieren. Wie viel Zeit werden Sie brauchen um ihre Daten selber zu ersetzen ? Sie können es sich schon denken. <h2> Unsere Forderungen </h2> <ul> <li><a href="https://torproject.org" target="_blank">Holen Sie sich den TOR-Browser hier</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Gehen Sie auf unsere Website</a></li> </ul>`, fr: `<h2> Qu'est-ce qui vient de se passer? </h2> Nous avons crypté vos documents et fichiers et vous ne pouvez pas y accéder. Chaque attaque est accompagnée d'une copie des informations commerciales. Pour vous assurer que nous ne bluffons pas. Voulez-vous les restaurer? Faites juste ce que nous vous demandons, pour nous payer. Si vous ne suivez pas nos recommandations, vous ne verrez plus jamais vos fichiers. En cas de refus de paiement - les données seront soit revendues à des concurrents, soit diffusées dans des sources ouvertes. GDPR. Si vous ne voulez pas nous payer, payez x10 fois le gouvernement. <h2> Qu'en est-il des garanties? </h2> Nous faisons nos propres affaires et ne nous soucions jamais de ce que vous faites. Tout ce dont nous avons besoin est de gagner de l'argent. Si nous devions être injustes, personne ne travaillerait avec nous. Donc, si vous abandonnez notre offre, nous ne prendrons aucune infraction, mais vous perdrez toutes vos données et vos fichiers. Combien de temps faudrait-il pour récupérer les pertes? Vous pouvez seulement deviner. <h2> Comment puis-je accéder au site web? </h2> <ul> <li><a href="https://torproject.org" target="_blank">Téléchargez le navigateur TOR ici</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Allez sur notre site web</a></li> </ul>`, es: `<h2> ¿Lo que de pasar? </h2> Ya tenemos sus documentos y archivos encriptados y usted no puede acceder a ellos. Para asegurarse de que no estamos faroleando. ¿Quiere recuperarlos? Sólo haga lo que le indicamos. Si usted no sigue nuestras recomendaciones, usted nunca verá sus archivos. Durante cada ataque, copiamos los datos comerciales valiosos. Si el usuario no nos paga, enviaremos estos datos a sus rivales o los publicaremos. GDPR. No quiere pagarnos, paga 10 veces más al gobierno. <h2> ¿Qué pasa con las garantías? </h2> Estamos haciendo nuestro propio negocio y nunca nos importa lo que hace usted. Todo lo que necesitamos es ganar. Hay que ser injustos chicos, nadie trabajaría con nosotros. Entonces, si deja caer nuestras propuestas, no nos ofenderemos pero usted perderá todos sus datos y archivos. ¿Cuánto tiempo se requiere para recuperar las pérdidas? Sólo usted puede adivinar. <h2> ¿Cómo acceder al sitio web? </h2> <ul> <li><a href="https://torproject.org" target="_blank">Obtenga el navegador TOR aquí</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Vaya a nuestro sitio web</a></li> </ul>`, jp: `<h2> 何があったのですか? </h2> ドキュメントとファイルを暗号化しました。 それらにアクセスすることはできません。 ブラフしないようにするには、 ファイルをチェックアウトして、すべてが。 それらを回復したいですか? ただや る 指示すること。 指示に従わない場合、ファイルは二度と表示されません。 各攻撃中に、貴重な商用データをコピーします。 ユーザーが当社に支払わない場合は、それらのデータをライバルに送信するか、公開します。 <h2> 何が保証されますか ? </h2> 私たちは私たち自身のビジネスを行っており、あなたが何をするかを気にしません。 必要なのは稼ぐことだけです。 私たちが不公平な人である場合、誰も私たちと一緒に働くことはありません。 ですから、あなたが私たちの申し出をやめても、私たちは何の罪も犯しません すべてのデータとファイルが失われます。 損失を回復するのにどれくらい時間がかかりますか? 推測するだけです。 <h2> Webサイトにアクセスするにはどうすればよいですか? </h2> <ul> <li><a href=" https://torproject.org " target="_blank">ここで TORブラウザを入手 </a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">当社のウェブサイトにアクセス </a></li> </ul>` }; function sel_lang(event) { let active = document.getElementsByClassName('is-active')[0]; active.classList.remove('is-active'); event.target.parentElement.classList.add('is-active'); let lang = event.target.getAttribute('data-lang'); let el = document.getElementById('text'); el.innerHTML = text[lang]; } document.addEventListener("DOMContentLoaded", ()=>{ let el = document.getElementById('text'); el.innerHTML = text['en']; }); </script> </head> <body class='pt-6'> <div class='container'> <div class="tabs is-toggle"> <ul> <li class="is-active"><a onclick='sel_lang(event);' data-lang='en'>EN</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='de'>DE</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='fr'>FR</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='es'>ES</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='jp'>JP</a></li> </ul> </div> <div class='box'> <div id='text'></div> <div style='border: 1px solid red; padding: .5rem; font-size: 1.3rem; font-weight: 500; margin: 3rem 0;'> <div class='title is-4'> In case you decide not to cooperate, your private data will be published <a style='color: #46a049; text-decoration: underline;' target='_blank' href='http://nbzzb6sa6xuura2z.onion/'>here</a> or sold. </div> </div> <div style='margin-top: 2rem;'> <h2>Offline how-to</h2> <p>Copy & Paste this secret message to <a href="http://ebwexiymbsib4rmw.onion">this page</a> textarea field</p> <p><blockquote>1d40360975a73e1b1de8fcf45f1c9fc7e0b25d71c09e68f1a68f2560bad7ffe787751509e27fa3b8db2d132c8619f978</blockquote></p> </div> </div> </div> </body> </html>������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������

Signatures

  • Blocklisted process makes network request 2 IoCs
  • Drops startup file 1 IoCs
  • Drops desktop.ini file(s) 35 IoCs
  • Enumerates connected drives 3 TTPs 23 IoCs

    Attempts to read the root path of hard drives other than the default C: drive.

  • Command and Scripting Interpreter: PowerShell 1 TTPs 2 IoCs

    Using powershell.exe command.

  • System Location Discovery: System Language Discovery 1 TTPs 3 IoCs

    Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

  • Suspicious behavior: EnumeratesProcesses 3 IoCs
  • Suspicious use of AdjustPrivilegeToken 5 IoCs
  • Suspicious use of WriteProcessMemory 18 IoCs
  • Uses Volume Shadow Copy service COM API

    The Volume Shadow Copy service is used to manage backups/snapshots.

Processes

  • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    powershell.exe -ExecutionPolicy bypass -File C:\Users\Admin\AppData\Local\Temp\c171bcd34151cbcd48edbce13796e0ed_JaffaCakes118.ps1
    1⤵
    • Command and Scripting Interpreter: PowerShell
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:2808
    • C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe
      "C:\Windows\Microsoft.NET\Framework64\v2.0.50727\csc.exe" /noconfig /fullpaths @"C:\Users\Admin\AppData\Local\Temp\9twidpjl.cmdline"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:3020
      • C:\Windows\Microsoft.NET\Framework64\v2.0.50727\cvtres.exe
        C:\Windows\Microsoft.NET\Framework64\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\Admin\AppData\Local\Temp\RESF02A.tmp" "c:\Users\Admin\AppData\Local\Temp\CSCF029.tmp"
        3⤵
          PID:2760
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        "C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe" -ep bypass -file "C:\Users\Admin\AppData\Local\Temp\c171bcd34151cbcd48edbce13796e0ed_JaffaCakes118.ps1"
        2⤵
        • Blocklisted process makes network request
        • Drops startup file
        • Drops desktop.ini file(s)
        • Enumerates connected drives
        • Command and Scripting Interpreter: PowerShell
        • System Location Discovery: System Language Discovery
        • Suspicious behavior: EnumeratesProcesses
        • Suspicious use of AdjustPrivilegeToken
        • Suspicious use of WriteProcessMemory
        PID:2788
        • C:\Windows\Microsoft.NET\Framework\v2.0.50727\csc.exe
          "C:\Windows\Microsoft.NET\Framework\v2.0.50727\csc.exe" /noconfig /fullpaths @"C:\Users\Admin\AppData\Local\Temp\r9mvnrci.cmdline"
          3⤵
          • System Location Discovery: System Language Discovery
          • Suspicious use of WriteProcessMemory
          PID:2712
          • C:\Windows\Microsoft.NET\Framework\v2.0.50727\cvtres.exe
            C:\Windows\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\Admin\AppData\Local\Temp\RESF603.tmp" "c:\Users\Admin\AppData\Local\Temp\CSCF602.tmp"
            4⤵
            • System Location Discovery: System Language Discovery
            PID:2680
    • C:\Windows\system32\vssvc.exe
      C:\Windows\system32\vssvc.exe
      1⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:596

    Network

    MITRE ATT&CK Enterprise v15

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • C:\MSOCache\All Users\{90140000-001A-0409-0000-0000000FF1CE}-C\YOUR_FILES_ARE_ENCRYPTED.HTML

      Filesize

      15KB

      MD5

      0194a99090f18b0bdd758a3176f53d46

      SHA1

      482a6399a8fd3e2402fed108a351f308be68847b

      SHA256

      43997f9e6d4f10288ee0272bae74eb43ef71742b860bb1c1618d7fd09d0b26a3

      SHA512

      754e49ac30976d88876edbbb433979d8c291503ba9bacd1ff0cde889a9526eda316e9d3820b4e163f55b63e4965bd0070f9b84c5a3fa07c2320667d40153ab60

    • C:\Users\Admin\AppData\Local\Temp\9twidpjl.dll

      Filesize

      3KB

      MD5

      fc3c5a6c3f83b52e3f8378acff24f0b6

      SHA1

      b510f0f1929ab8c8010f4c0393081515729b7912

      SHA256

      0812f8dc81d142d5e114ab4de98e43a05e3a3cb15d77a4bfc3416d01bd40e978

      SHA512

      0d32883b07a1217cb3fa5c92bb8270bea4c9516fabd02c7bc6788e15830eb9d8e23febad0891657e28872694ef55f75c8a3521a3be4e2bf528033d4c46d39611

    • C:\Users\Admin\AppData\Local\Temp\9twidpjl.pdb

      Filesize

      7KB

      MD5

      23336d894bb3d56a1bed5a8a472b438e

      SHA1

      097f13f0401b9de1bea7305f3e4d2b4db36eaefa

      SHA256

      f40acc652f11af1916c7112076c06cbdebc022920f857fece508efe02acb59dc

      SHA512

      10480e4a8f351a77d2e7f80ffdeebdc83570d75e8311f4f33cf29d53ca49973fd11fdbd52a4c2709582214896b43674cb0f982c71cf8b0aad4e1a5d8f44c562c

    • C:\Users\Admin\AppData\Local\Temp\RESF02A.tmp

      Filesize

      1KB

      MD5

      a8e9ff88281daab74509deba3abf3525

      SHA1

      23951689e0a64979cb01aebc4e95e6c7567c5cf8

      SHA256

      2e1d32b76f9667490a3cc52da4c2b1bbe2fe4ca7c44f453e86fecfe255760d3f

      SHA512

      c7d105f630273413c727312bbba266ca18a617c0f1a3ac60210549fea27c7126d501a3db78120c6b91d1350bda87af5c9d93db78b854f271a6038c10bcdb7be2

    • C:\Users\Admin\AppData\Local\Temp\RESF603.tmp

      Filesize

      1KB

      MD5

      c8f2bf02b4520d8ba83907eb1a5bc0da

      SHA1

      620070f9ae931f80c53c2069255d112f2d8dae53

      SHA256

      1375f2225074e8f805bb49538d3ba3cd3414cc4a201cddd20ca80fa6d7757594

      SHA512

      47d04e9a0f23e28d90723455845f0942a141efaf1af5b7746c4254afb9a46b55dc97250ba321cbf30dd389c07137e41d6cbafde1ad984f5ac0e7dbed4e7698d4

    • C:\Users\Admin\AppData\Local\Temp\r9mvnrci.dll

      Filesize

      3KB

      MD5

      76a0066ba8b3db90e3622ca883f7cac8

      SHA1

      8be25a5c314333be2f341160f8a18ced1afd2c11

      SHA256

      2888a15ea4d368be21d1283ac6f7d0909d9c1cdc78dcf627798e5a3828049071

      SHA512

      b3e8cf9fedc952124cc30a672bd0081fdf78e4f8f9181090fbe6bd2c1f9f8d28c891aaa6d48855781563f18fe50b22eb47485c7158a5607a797876e577a8bd66

    • C:\Users\Admin\AppData\Local\Temp\r9mvnrci.pdb

      Filesize

      7KB

      MD5

      61110c09fa5a42c648d5b094fcf8ac11

      SHA1

      829898621cb0ff1564119ea9debd7c1afd1e2841

      SHA256

      a01bceb607cc388c54d6bba3b6461d615fd113b3a15ebe8bbfdabfc3c20e1a6e

      SHA512

      e57eb3ad14532530f88892519c0f5f18f2432dcb927666fd5639a053b1d34cae4e953e854474eee93a1929626f56b7b96754b48593ce02261eebb13df7debd39

    • C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Recent\CustomDestinations\0Q7OXTPJY2KH2MF061BN.temp

      Filesize

      7KB

      MD5

      f2e6f740f9140bdd6aa3eba14b4f9468

      SHA1

      764fc09d735b6b526bae0f933bb50084fddb2d5f

      SHA256

      a379342e5957438b10523583a833461bff6a96c7bbbfc3cac3d4e2b0efcd0e99

      SHA512

      34a7eff0432e537f92b1ccdecfb878236a3d477935ff44839728373ea8e853962f5bdd0daefcdc7166882e27383125e9b8a3e0caf6aa40a243230fa7716c214c

    • \??\c:\Users\Admin\AppData\Local\Temp\9twidpjl.0.cs

      Filesize

      468B

      MD5

      caf98c9f9cc2c02cdc79eb3409a36bc5

      SHA1

      aae6131763eaace982ee93fb15ee0eff45a034d2

      SHA256

      dc072944363d6db027de28c9412f96e4655e460989789c99e3a1992daded7499

      SHA512

      74845d305b1de1a0decaca325bc98de0cebaee677b6a70d492a0ba3ade21e9f9f0e145687a1f6ff89ada6657f77c47a8f140bf1d610c661738a2c64ada3a132f

    • \??\c:\Users\Admin\AppData\Local\Temp\9twidpjl.cmdline

      Filesize

      309B

      MD5

      9f5b42e6bf7e2a7a5e9dbf51003aac5a

      SHA1

      cdf894d6db0b10555cbe2726307dcd494fe20f92

      SHA256

      81dff002c067625c8aa80936a3684658b1e4e499a304a452868e700ea92f0fd7

      SHA512

      5558635dc466864306aadad02ed23a489ea3a54a8e3253b704f283b0ead1bd150fc427862fec63ca0642d2d4415718a930d054f18917182717291be9fbd52058

    • \??\c:\Users\Admin\AppData\Local\Temp\CSCF029.tmp

      Filesize

      652B

      MD5

      f0cb4170aa230fcc6787f104b3489f44

      SHA1

      2e5023621562a7d0dab27016e02e4bc0a29298b0

      SHA256

      8df4b46a01402521473b9d5010e3c934ca15f961c62d3e1d8a5c878dfc49245c

      SHA512

      79b45c2c050b0013bf097ec3b1323e795c26d175c45f61d46029892cff17045d7696574ba4f397cdc9d45b6a5d5f7c7168c5a27718c3f23720afbbc9f52c5be2

    • \??\c:\Users\Admin\AppData\Local\Temp\CSCF602.tmp

      Filesize

      652B

      MD5

      fa439550e147698fbaf4d5578ab37b90

      SHA1

      487bddf1b4c3139a3d533547e02831bab6b242ff

      SHA256

      3d74887f65630adc0b537bd80b6ca4d3699a64fb5b7f77b6619417c82f2b8d63

      SHA512

      9ae919c11fec5a116a71553d3dc7c026cfc4bfa7951c4db6c29f9e31b887625f22469ba954bd70bbe3e0356373bd1a35f359d896a44d3d324cc7fdc1f0a2e90d

    • \??\c:\Users\Admin\AppData\Local\Temp\r9mvnrci.cmdline

      Filesize

      309B

      MD5

      82744ec330e6986a3879e36a85b9f8ba

      SHA1

      76b731cf38acff926af22f1662c6d0b3c3ed45cf

      SHA256

      59e6008b1805b10531fae28c51d6d7c9e4ff0746666220a13c7b038571790d06

      SHA512

      3da3eb869968ab34bc15a0c20d535cc2b59750ca2bd3e77c53146e6db19e41368871c7aa45ea58774b1b506b399ae73e3172fe1ce7925153c23b8a38cbc051cb

    • memory/2788-47-0x00000000028A0000-0x00000000028CE000-memory.dmp

      Filesize

      184KB

    • memory/2788-48-0x00000000028A0000-0x00000000028CE000-memory.dmp

      Filesize

      184KB

    • memory/2808-10-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB

    • memory/2808-29-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB

    • memory/2808-26-0x0000000002A00000-0x0000000002A08000-memory.dmp

      Filesize

      32KB

    • memory/2808-4-0x000007FEF5ABE000-0x000007FEF5ABF000-memory.dmp

      Filesize

      4KB

    • memory/2808-9-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB

    • memory/2808-8-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB

    • memory/2808-7-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB

    • memory/2808-6-0x0000000001E80000-0x0000000001E88000-memory.dmp

      Filesize

      32KB

    • memory/2808-5-0x000000001B6C0000-0x000000001B9A2000-memory.dmp

      Filesize

      2.9MB

    • memory/3020-24-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB

    • memory/3020-19-0x000007FEF5800000-0x000007FEF619D000-memory.dmp

      Filesize

      9.6MB