Analysis

  • max time kernel
    96s
  • max time network
    141s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240802-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240802-enlocale:en-usos:windows10-2004-x64system
  • submitted
    25-08-2024 19:45

General

  • Target

    c171bcd34151cbcd48edbce13796e0ed_JaffaCakes118.ps1

  • Size

    1.6MB

  • MD5

    c171bcd34151cbcd48edbce13796e0ed

  • SHA1

    2770fec86275dfb1a4a05e2d56bc27a089197666

  • SHA256

    63ba6db8c81c60dd9f1a0c7c4a4c51e2e56883f063509ed7b543ad7651fd8806

  • SHA512

    d25cbb70dae9bcc49d32c15300734879fe4c1b7ae35cb5affab50e8a61ae7226832b278d846f76f7eedc3a1baf35e2aec4e8c364eab99cddb00c2ffeb97283da

  • SSDEEP

    12288:mCPioPTJd1WR3keV2Y/eHKaetuMUDfyTEHG+oIr7zOHSh3qruJJvbW:mxYTJw3keV2Y/xSMWPpoI7vh3qV

Malware Config

Extracted

Path

C:\ProgramData\Microsoft\AppV\Setup\YOUR_FILES_ARE_ENCRYPTED.HTML

Ransom Note
<!DOCTYPE html> <html lang="en"> <head> <meta charset='utf-8'> <meta name='viewport' content='width=device-width,initial-scale=1'> <title></title> <style> html, body { background-color: #1a1a1a; } body { padding-top: 3rem !important; } #text h2 { color: white; font-size: 2rem; font-weight: 600; line-height: 1.125; } .tabs { -webkit-overflow-scrolling: touch; align-items: stretch; display: flex; font-size: 1rem; justify-content: space-between; overflow: hidden; overflow-x: hidden; overflow-x: auto; white-space: nowrap; } .tabs ul { align-items: center; border-bottom-color: #454545; border-bottom-style: solid; border-bottom-width: 1px; display: flex; flex-grow: 1; flex-shrink: 0; justify-content: flex-start; } .tabs.is-toggle ul { border-bottom: none; } .tabs li { position: relative; } .tabs li { display: block; } .tabs.is-toggle li.is-active a { background-color: white; border-color: white; color: rgba(0, 0, 0, 0.7); z-index: 1; } .tabs.is-toggle li:first-child a { border-top-left-radius: 3px; border-bottom-left-radius: 3px; } .tabs li.is-active a { border-bottom-color: white; color: white; } .tabs.is-toggle a { border-color: #454545; border-style: solid; border-width: 1px; margin-bottom: 0; position: relative; } .tabs a { align-items: center; border-bottom-color: #454545; border-bottom-style: solid; border-bottom-width: 1px; color: white; display: flex; justify-content: center; margin-bottom: -1px; padding: 0.5em 1em; vertical-align: top; cursor: pointer; } .tabs.is-toggle li:last-child a { border-top-right-radius: 3px; border-bottom-right-radius: 3px; } .container { max-width: 1152px; max-width: ; flex-grow: 1; margin: 0 auto; position: relative; width: auto; } .box { background-color: #242424; color: white; display: block; padding: 1.25rem; border: 1px solid #303030; } blockquote { background: hsl(0, 0%, 20%); padding: 1rem; border-left: 3px solid #55a630; } a { color: #e55934; } </style> <script> let text = { en: `<h2> Whats Happen? </h2> We got your documents and files encrypted and you cannot access them. To make sure we�re not bluffing just check out your files. Want to recover them? Just do what we instruct you to. If you fail to follow our recommendations, you will never see your files again. During each attack, we copy valuable commercial data. If the user doesn’t pay to us, we will either send those data to rivals, or publish them. GDPR. Don’t want to pay to us, pay 10x more to the government. <h2> What Guarantees? </h2> We’re doing our own business and never care about what you do. All we need is to earn. Should we be unfair guys, no one would work with us. So if you drop our offer we won’t take any offense but you’ll lose all of your data and files. How much time would it take to recover losses? You only may guess. <h2> How do I access the website? </h2> <ul> <li><a href="https://torproject.org" target="_blank">Get TOR browser here</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Go to our website</a></li> </ul>`, de: `<h2> Was ist gerade passiert? </h2> Wir haben Ihre Dokumente und Dateien verschlüsselt und Sie können nicht mehr darauf zugreifen. Jeder Angriff wird von einer Kopie der kommerziellen Informationen begleitet. Um sicherzustellen, dass wir es ernst meinen, prüfen Sie einfach Ihre Dateien und Sie werden sehen. Möchten Sie sie wiederherstellen? Halten Sie sich einfach an unsere Anweisungen, um uns zu bezahlen. Tuen Sie dies nicht, werden Sie Ihre Dateien niemals wiedersehen. Im Falle einer Zahlungsverweigerung werden die Daten entweder an Wettbewerber verkauft oder in offenen Quellen bereitgestellt. GDPR. Wenn Sie uns nicht bezahlen möchten, zahlen Sie das Zehnfache an der Regierung. <h2> Wie sollten Sie uns trauen ? </h2> Wir machen unsere eigenen Geschäfte und kümmern uns nicht darum was Sie tunen. Wir müssen nur verdienen. Sollten wir einfach nur bluffen, würde niemand an uns zahlen. Wenn Sie unser Angebot ablehnen, werden Sie alle Ihre Daten für immer verlieren. Wie viel Zeit werden Sie brauchen um ihre Daten selber zu ersetzen ? Sie können es sich schon denken. <h2> Unsere Forderungen </h2> <ul> <li><a href="https://torproject.org" target="_blank">Holen Sie sich den TOR-Browser hier</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Gehen Sie auf unsere Website</a></li> </ul>`, fr: `<h2> Qu'est-ce qui vient de se passer? </h2> Nous avons crypté vos documents et fichiers et vous ne pouvez pas y accéder. Chaque attaque est accompagnée d'une copie des informations commerciales. Pour vous assurer que nous ne bluffons pas. Voulez-vous les restaurer? Faites juste ce que nous vous demandons, pour nous payer. Si vous ne suivez pas nos recommandations, vous ne verrez plus jamais vos fichiers. En cas de refus de paiement - les données seront soit revendues à des concurrents, soit diffusées dans des sources ouvertes. GDPR. Si vous ne voulez pas nous payer, payez x10 fois le gouvernement. <h2> Qu'en est-il des garanties? </h2> Nous faisons nos propres affaires et ne nous soucions jamais de ce que vous faites. Tout ce dont nous avons besoin est de gagner de l'argent. Si nous devions être injustes, personne ne travaillerait avec nous. Donc, si vous abandonnez notre offre, nous ne prendrons aucune infraction, mais vous perdrez toutes vos données et vos fichiers. Combien de temps faudrait-il pour récupérer les pertes? Vous pouvez seulement deviner. <h2> Comment puis-je accéder au site web? </h2> <ul> <li><a href="https://torproject.org" target="_blank">Téléchargez le navigateur TOR ici</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Allez sur notre site web</a></li> </ul>`, es: `<h2> ¿Lo que de pasar? </h2> Ya tenemos sus documentos y archivos encriptados y usted no puede acceder a ellos. Para asegurarse de que no estamos faroleando. ¿Quiere recuperarlos? Sólo haga lo que le indicamos. Si usted no sigue nuestras recomendaciones, usted nunca verá sus archivos. Durante cada ataque, copiamos los datos comerciales valiosos. Si el usuario no nos paga, enviaremos estos datos a sus rivales o los publicaremos. GDPR. No quiere pagarnos, paga 10 veces más al gobierno. <h2> ¿Qué pasa con las garantías? </h2> Estamos haciendo nuestro propio negocio y nunca nos importa lo que hace usted. Todo lo que necesitamos es ganar. Hay que ser injustos chicos, nadie trabajaría con nosotros. Entonces, si deja caer nuestras propuestas, no nos ofenderemos pero usted perderá todos sus datos y archivos. ¿Cuánto tiempo se requiere para recuperar las pérdidas? Sólo usted puede adivinar. <h2> ¿Cómo acceder al sitio web? </h2> <ul> <li><a href="https://torproject.org" target="_blank">Obtenga el navegador TOR aquí</a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">Vaya a nuestro sitio web</a></li> </ul>`, jp: `<h2> 何があったのですか? </h2> ドキュメントとファイルを暗号化しました。 それらにアクセスすることはできません。 ブラフしないようにするには、 ファイルをチェックアウトして、すべてが。 それらを回復したいですか? ただや る 指示すること。 指示に従わない場合、ファイルは二度と表示されません。 各攻撃中に、貴重な商用データをコピーします。 ユーザーが当社に支払わない場合は、それらのデータをライバルに送信するか、公開します。 <h2> 何が保証されますか ? </h2> 私たちは私たち自身のビジネスを行っており、あなたが何をするかを気にしません。 必要なのは稼ぐことだけです。 私たちが不公平な人である場合、誰も私たちと一緒に働くことはありません。 ですから、あなたが私たちの申し出をやめても、私たちは何の罪も犯しません すべてのデータとファイルが失われます。 損失を回復するのにどれくらい時間がかかりますか? 推測するだけです。 <h2> Webサイトにアクセスするにはどうすればよいですか? </h2> <ul> <li><a href=" https://torproject.org " target="_blank">ここで TORブラウザを入手 </a></li> <li><a href="http://ebwexiymbsib4rmw.onion/chat.html?3ae8455ac4-66f2dd334a-909af65594-70fad264c4-ef05a33ef3-16b4f6e8cc-3b9a414226-5e377436ee">当社のウェブサイトにアクセス </a></li> </ul>` }; function sel_lang(event) { let active = document.getElementsByClassName('is-active')[0]; active.classList.remove('is-active'); event.target.parentElement.classList.add('is-active'); let lang = event.target.getAttribute('data-lang'); let el = document.getElementById('text'); el.innerHTML = text[lang]; } document.addEventListener("DOMContentLoaded", ()=>{ let el = document.getElementById('text'); el.innerHTML = text['en']; }); </script> </head> <body class='pt-6'> <div class='container'> <div class="tabs is-toggle"> <ul> <li class="is-active"><a onclick='sel_lang(event);' data-lang='en'>EN</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='de'>DE</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='fr'>FR</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='es'>ES</a></li> <li class=""><a onclick='sel_lang(event);' data-lang='jp'>JP</a></li> </ul> </div> <div class='box'> <div id='text'></div> <div style='border: 1px solid red; padding: .5rem; font-size: 1.3rem; font-weight: 500; margin: 3rem 0;'> <div class='title is-4'> In case you decide not to cooperate, your private data will be published <a style='color: #46a049; text-decoration: underline;' target='_blank' href='http://nbzzb6sa6xuura2z.onion/'>here</a> or sold. </div> </div> <div style='margin-top: 2rem;'> <h2>Offline how-to</h2> <p>Copy & Paste this secret message to <a href="http://ebwexiymbsib4rmw.onion">this page</a> textarea field</p> <p><blockquote>1d40360975a73e1b1de8fcf45f1c9fc7e0b25d71c09e68f1a68f2560bad7ffe787751509e27fa3b8db2d132c8619f978</blockquote></p> </div> </div> </div> </body> </html>������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������������

Signatures

  • SunCrypt Ransomware

    Family which threatens to leak data alongside encrypting files. Has claimed to be collaborating with the Maze ransomware group.

  • Blocklisted process makes network request 1 IoCs
  • Drops startup file 1 IoCs
  • Drops desktop.ini file(s) 28 IoCs
  • Enumerates connected drives 3 TTPs 23 IoCs

    Attempts to read the root path of hard drives other than the default C: drive.

  • Command and Scripting Interpreter: PowerShell 1 TTPs 2 IoCs

    Using powershell.exe command.

  • System Location Discovery: System Language Discovery 1 TTPs 3 IoCs

    Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

  • Suspicious behavior: EnumeratesProcesses 5 IoCs
  • Suspicious use of AdjustPrivilegeToken 5 IoCs
  • Suspicious use of WriteProcessMemory 13 IoCs
  • Uses Volume Shadow Copy service COM API

    The Volume Shadow Copy service is used to manage backups/snapshots.

Processes

  • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    powershell.exe -ExecutionPolicy bypass -File C:\Users\Admin\AppData\Local\Temp\c171bcd34151cbcd48edbce13796e0ed_JaffaCakes118.ps1
    1⤵
    • Command and Scripting Interpreter: PowerShell
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:216
    • C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe
      "C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /noconfig /fullpaths @"C:\Users\Admin\AppData\Local\Temp\v5ce4nke\v5ce4nke.cmdline"
      2⤵
      • Suspicious use of WriteProcessMemory
      PID:1360
      • C:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exe
        C:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\Admin\AppData\Local\Temp\RESC2D3.tmp" "c:\Users\Admin\AppData\Local\Temp\v5ce4nke\CSCD47D0E97AE694601AF9668CDE0ADDFDF.TMP"
        3⤵
          PID:1236
      • C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe
        "C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe" -ep bypass -file "C:\Users\Admin\AppData\Local\Temp\c171bcd34151cbcd48edbce13796e0ed_JaffaCakes118.ps1"
        2⤵
        • Blocklisted process makes network request
        • Drops startup file
        • Drops desktop.ini file(s)
        • Enumerates connected drives
        • Command and Scripting Interpreter: PowerShell
        • System Location Discovery: System Language Discovery
        • Suspicious behavior: EnumeratesProcesses
        • Suspicious use of AdjustPrivilegeToken
        • Suspicious use of WriteProcessMemory
        PID:3016
        • C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe
          "C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe" /noconfig /fullpaths @"C:\Users\Admin\AppData\Local\Temp\xukq50uf\xukq50uf.cmdline"
          3⤵
          • System Location Discovery: System Language Discovery
          • Suspicious use of WriteProcessMemory
          PID:2012
          • C:\Windows\Microsoft.NET\Framework\v4.0.30319\cvtres.exe
            C:\Windows\Microsoft.NET\Framework\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\Admin\AppData\Local\Temp\RESD1E6.tmp" "c:\Users\Admin\AppData\Local\Temp\xukq50uf\CSCE7A642356BDA4343B891C9AF9905057.TMP"
            4⤵
            • System Location Discovery: System Language Discovery
            PID:2044
    • C:\Windows\system32\vssvc.exe
      C:\Windows\system32\vssvc.exe
      1⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:4356

    Network

    MITRE ATT&CK Enterprise v15

    Replay Monitor

    Loading Replay Monitor...

    Downloads

    • C:\ProgramData\Microsoft\AppV\Setup\YOUR_FILES_ARE_ENCRYPTED.HTML

      Filesize

      15KB

      MD5

      0194a99090f18b0bdd758a3176f53d46

      SHA1

      482a6399a8fd3e2402fed108a351f308be68847b

      SHA256

      43997f9e6d4f10288ee0272bae74eb43ef71742b860bb1c1618d7fd09d0b26a3

      SHA512

      754e49ac30976d88876edbbb433979d8c291503ba9bacd1ff0cde889a9526eda316e9d3820b4e163f55b63e4965bd0070f9b84c5a3fa07c2320667d40153ab60

    • C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\powershell.exe.log

      Filesize

      2KB

      MD5

      49e7d5f2a296b59afec08bc314bed998

      SHA1

      7f898bf195ffd46ce2d19fad0ce33155f6e47f5f

      SHA256

      394832dfefa5e2e6204b60708a2ca33bb9d2f529664419bc050975f4b80faefe

      SHA512

      f64579fdac0bfebad4c20ad575b8ea45136e295fba950da4cbf84402228a3897b2e2deb4eb4605deb5df93321b1dc15c8a878da36016d7e5e060182142fdf839

    • C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive

      Filesize

      1KB

      MD5

      2e4a3180819763d43e6a3e39adbab718

      SHA1

      2cec2b94108074bcf7599d6fab7133b2e11f7e52

      SHA256

      c6ddcdc2ff8910fc6dfc6bb2ae667ab9f27ef885a1e6ae9b9bef60f485d091a2

      SHA512

      d62867351af1ba3076dbc1c99d610f034cc2ec9e4a0bdd27638640793a6b450321f17ca7c6147548fa341c52469a66345827afb1f0282f2f0b0304a7fa82e4cd

    • C:\Users\Admin\AppData\Local\Temp\RESC2D3.tmp

      Filesize

      1KB

      MD5

      3c88b2cbb0a67a94329ff961b02e8ba9

      SHA1

      2b6d9b9972fff368d48cb332fd9c5732c27cf795

      SHA256

      dd5969e1eaa8554605de3fafac6f1a3ccd5979ee69a1c32996694e061f1184e9

      SHA512

      a1f0ea01a5e2bdbc5c188ab2fc7dad0582033709b01d78fe7849df46f223dd408bb3e8e0259b066ec2b99ed7504a3373855630933903949263c25ae10fdd9297

    • C:\Users\Admin\AppData\Local\Temp\RESD1E6.tmp

      Filesize

      1KB

      MD5

      5fc7cad3afb9ccf0e0a33f98ad6f3d00

      SHA1

      d09b7dcb828b83db2af32db9ae7d2d72dcdd976a

      SHA256

      fc4052cbe785da0c13147e44c9751d850f079fee08e09312a68a7f716ccca7d8

      SHA512

      c6c29d2863badb296ce2f3cf665092e47236b6bf9b0a10d2da16adacc51edfdadf2693cea1836a49c0e996c53f5a2f633e0cbb8d6fc0af516bf819e62b39b20c

    • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_fdvananl.20m.ps1

      Filesize

      60B

      MD5

      d17fe0a3f47be24a6453e9ef58c94641

      SHA1

      6ab83620379fc69f80c0242105ddffd7d98d5d9d

      SHA256

      96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

      SHA512

      5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

    • C:\Users\Admin\AppData\Local\Temp\v5ce4nke\v5ce4nke.dll

      Filesize

      3KB

      MD5

      76b5524178c57ea5d45263f4e10d8550

      SHA1

      82f2efebb3ac36cec74464436277f565cba755fb

      SHA256

      1701c4fa09e2d643e3c39e41bc1f6236f5a06d09941b714858fff658ec635835

      SHA512

      c842fe22d47b68790ddef2f65cdea71161d86e8d125d85a0403ceff30d31260a400402da27da611dde84f4e68f10ab6aa921b373c69f9975f849019a25f79500

    • C:\Users\Admin\AppData\Local\Temp\xukq50uf\xukq50uf.dll

      Filesize

      3KB

      MD5

      a6f9deb734da0b394f1abbe3b0cd33f7

      SHA1

      29d1c9e6c009f9e375a2f9febbfa011c1bdec511

      SHA256

      4078c993ebd91e481c22a22bfe9fe8d38926cb46f74e671575a1f7748871eb1e

      SHA512

      a5d81cb8b11e18d1988c7a69084eb3e8c9d2040d7221da83b6d005bf6fde1778c9751ca94d9e9ea0856ade06bcd65f2cf39dd29a6453774460656cfe7715220c

    • \??\c:\Users\Admin\AppData\Local\Temp\v5ce4nke\CSCD47D0E97AE694601AF9668CDE0ADDFDF.TMP

      Filesize

      652B

      MD5

      4d74eda8cdac3a75bd7f2a6e4025ffde

      SHA1

      74d2aba32cc311df9bce261863f3ec475bcd74bc

      SHA256

      0f086d81d2e753dac4eb03748b7a02bd588929fb7e2010d5352efc1337173cbc

      SHA512

      8b4faac08214896b32edc38517fb32af158c4406f9b8b749ebb24347c16743f5a2f557ef26ac4883455a9d3c89d0fd54ec6648d6b61760a8e120d1ee2fa3771c

    • \??\c:\Users\Admin\AppData\Local\Temp\v5ce4nke\v5ce4nke.0.cs

      Filesize

      468B

      MD5

      caf98c9f9cc2c02cdc79eb3409a36bc5

      SHA1

      aae6131763eaace982ee93fb15ee0eff45a034d2

      SHA256

      dc072944363d6db027de28c9412f96e4655e460989789c99e3a1992daded7499

      SHA512

      74845d305b1de1a0decaca325bc98de0cebaee677b6a70d492a0ba3ade21e9f9f0e145687a1f6ff89ada6657f77c47a8f140bf1d610c661738a2c64ada3a132f

    • \??\c:\Users\Admin\AppData\Local\Temp\v5ce4nke\v5ce4nke.cmdline

      Filesize

      369B

      MD5

      62b294053216e282db2e368fdd12c83f

      SHA1

      8424c423642982d2d21f1d24e1c4a5cd1a97210d

      SHA256

      fec856365bc822072b7a32a0a7786bac3ec60417c99fe78af701f7f377f6542f

      SHA512

      b3a9b209892cb4889980609e47c369bcfe588d79ca488c8acbc0290342b146927169444ca4b6ba0c0b24d4d3489ba911e1557725b660cc0ee322638e1d1c8d52

    • \??\c:\Users\Admin\AppData\Local\Temp\xukq50uf\CSCE7A642356BDA4343B891C9AF9905057.TMP

      Filesize

      652B

      MD5

      bf209955c6cc210f40af1b5fba3d2db6

      SHA1

      836f032d9132bf2e74e62c53c14c19b14711a225

      SHA256

      3b95b978013fc5935a0f2cca1330b1d7e737061a845e0a387a453b710e386b42

      SHA512

      7087b32001c859ed26b0909339f85e14971177ef27fd9d9d02abe3791ffeb5fcd2fa8860cc16b87c2c8bc8ebc597a49c8e618b486ce678302e85c1d78b53d725

    • \??\c:\Users\Admin\AppData\Local\Temp\xukq50uf\xukq50uf.cmdline

      Filesize

      369B

      MD5

      835f838faa454ceb76b42430c4c3072a

      SHA1

      9b02e89f46958125603fed1a6a441e4f0e6e95ca

      SHA256

      2fd8de591c0fa2087cd65a01e62e81461406ad57a5573fd28914915b7ebe25b0

      SHA512

      c0500658224d5ce50bfe5b81101c874e7011370efcf816fea7faf4f413f298c5d0fac477d485e17edf3eda3516852d8a334f9d6b92a32f52cc4d8adb6d6a1a9d

    • memory/216-0-0x00007FFE8CBA0000-0x00007FFE8CE69000-memory.dmp

      Filesize

      2.8MB

    • memory/216-11-0x00000244678B0000-0x00000244678D2000-memory.dmp

      Filesize

      136KB

    • memory/216-24-0x00000244678A0000-0x00000244678A8000-memory.dmp

      Filesize

      32KB

    • memory/216-26-0x00007FFE8CBA0000-0x00007FFE8CE69000-memory.dmp

      Filesize

      2.8MB

    • memory/216-1-0x00007FFE8CBA0000-0x00007FFE8CE69000-memory.dmp

      Filesize

      2.8MB

    • memory/216-29-0x00007FFE8CBA0000-0x00007FFE8CE69000-memory.dmp

      Filesize

      2.8MB

    • memory/3016-51-0x00000000064C0000-0x00000000064DA000-memory.dmp

      Filesize

      104KB

    • memory/3016-49-0x0000000005FA0000-0x0000000005FEC000-memory.dmp

      Filesize

      304KB

    • memory/3016-50-0x00000000085F0000-0x0000000008C6A000-memory.dmp

      Filesize

      6.5MB

    • memory/3016-32-0x0000000004B30000-0x0000000004B66000-memory.dmp

      Filesize

      216KB

    • memory/3016-48-0x0000000005F60000-0x0000000005F7E000-memory.dmp

      Filesize

      120KB

    • memory/3016-46-0x00000000059A0000-0x0000000005CF4000-memory.dmp

      Filesize

      3.3MB

    • memory/3016-36-0x0000000005930000-0x0000000005996000-memory.dmp

      Filesize

      408KB

    • memory/3016-35-0x00000000058C0000-0x0000000005926000-memory.dmp

      Filesize

      408KB

    • memory/3016-64-0x0000000006540000-0x0000000006548000-memory.dmp

      Filesize

      32KB

    • memory/3016-66-0x0000000000400000-0x000000000042E000-memory.dmp

      Filesize

      184KB

    • memory/3016-68-0x0000000000400000-0x000000000042E000-memory.dmp

      Filesize

      184KB

    • memory/3016-34-0x00000000050C0000-0x00000000050E2000-memory.dmp

      Filesize

      136KB

    • memory/3016-33-0x00000000051A0000-0x00000000057C8000-memory.dmp

      Filesize

      6.2MB