gozi | eaf59a5f7ee285a410f2cfbbf75befa377e195eee7a931b5da28ed01689598ab

Analysis

max time kernel
149s
max time network
128s
platform
windows7_x64
resource
win7-20240729-en
resource tags

arch:x64arch:x86image:win7-20240729-enlocale:en-usos:windows7-x64system
submitted
14/09/2024, 00:02

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

e3fyc1Yqrm.exe
Size

14.8MB
MD5

b7eb4e534c7d36dee723a23f7e59c330
SHA1

6566cdb7eb847ca3a8c4d9a5f2731bca60fcf86b
SHA256

eaf59a5f7ee285a410f2cfbbf75befa377e195eee7a931b5da28ed01689598ab
SHA512

016dabb5ed9597d83868f6e34f419a041d534bccca64d4a157c457c892dc87d28499bc97449fdda3cd256f9afee071e0cd3e2529ab89541a91c4aeb90f9eb1e9
SSDEEP

393216:RCzOIKxEfqPNsBcka0VdhVhMKC0MJBdJzoCQs/MG8:ROKuTpVdhVhM7ndRooMG8

Score

10^/10

gozi banker isfb trojan

Malware Config

Extracted

Family

gozi

Signatures

Gozi
Gozi is a well-known and widely distributed banking trojan.
banker trojan gozi

Suspicious use of NtSetInformationThreadHideFromDebugger 2 IoCs

pid	Process
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe

Suspicious behavior: EnumeratesProcesses 64 IoCs

pid	Process
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe
2132	e3fyc1Yqrm.exe

Suspicious behavior: RenamesItself 1 IoCs

pid	Process
2132	e3fyc1Yqrm.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 2132 wrote to memory of 2776	2132	e3fyc1Yqrm.exe	31
PID 2132 wrote to memory of 2776	2132	e3fyc1Yqrm.exe	31
PID 2132 wrote to memory of 2776	2132	e3fyc1Yqrm.exe	31
PID 2132 wrote to memory of 2716	2132	e3fyc1Yqrm.exe	32
PID 2132 wrote to memory of 2716	2132	e3fyc1Yqrm.exe	32
PID 2132 wrote to memory of 2716	2132	e3fyc1Yqrm.exe	32
PID 2132 wrote to memory of 2616	2132	e3fyc1Yqrm.exe	33
PID 2132 wrote to memory of 2616	2132	e3fyc1Yqrm.exe	33
PID 2132 wrote to memory of 2616	2132	e3fyc1Yqrm.exe	33
PID 2132 wrote to memory of 2708	2132	e3fyc1Yqrm.exe	34
PID 2132 wrote to memory of 2708	2132	e3fyc1Yqrm.exe	34
PID 2132 wrote to memory of 2708	2132	e3fyc1Yqrm.exe	34
PID 2132 wrote to memory of 2808	2132	e3fyc1Yqrm.exe	35
PID 2132 wrote to memory of 2808	2132	e3fyc1Yqrm.exe	35
PID 2132 wrote to memory of 2808	2132	e3fyc1Yqrm.exe	35
PID 2132 wrote to memory of 2608	2132	e3fyc1Yqrm.exe	36
PID 2132 wrote to memory of 2608	2132	e3fyc1Yqrm.exe	36
PID 2132 wrote to memory of 2608	2132	e3fyc1Yqrm.exe	36
PID 2132 wrote to memory of 2988	2132	e3fyc1Yqrm.exe	37
PID 2132 wrote to memory of 2988	2132	e3fyc1Yqrm.exe	37
PID 2132 wrote to memory of 2988	2132	e3fyc1Yqrm.exe	37
PID 2132 wrote to memory of 2604	2132	e3fyc1Yqrm.exe	38
PID 2132 wrote to memory of 2604	2132	e3fyc1Yqrm.exe	38
PID 2132 wrote to memory of 2604	2132	e3fyc1Yqrm.exe	38
PID 2132 wrote to memory of 2868	2132	e3fyc1Yqrm.exe	39
PID 2132 wrote to memory of 2868	2132	e3fyc1Yqrm.exe	39
PID 2132 wrote to memory of 2868	2132	e3fyc1Yqrm.exe	39
PID 2132 wrote to memory of 2628	2132	e3fyc1Yqrm.exe	40
PID 2132 wrote to memory of 2628	2132	e3fyc1Yqrm.exe	40
PID 2132 wrote to memory of 2628	2132	e3fyc1Yqrm.exe	40
PID 2132 wrote to memory of 2696	2132	e3fyc1Yqrm.exe	41
PID 2132 wrote to memory of 2696	2132	e3fyc1Yqrm.exe	41
PID 2132 wrote to memory of 2696	2132	e3fyc1Yqrm.exe	41
PID 2132 wrote to memory of 2784	2132	e3fyc1Yqrm.exe	42
PID 2132 wrote to memory of 2784	2132	e3fyc1Yqrm.exe	42
PID 2132 wrote to memory of 2784	2132	e3fyc1Yqrm.exe	42
PID 2132 wrote to memory of 2576	2132	e3fyc1Yqrm.exe	43
PID 2132 wrote to memory of 2576	2132	e3fyc1Yqrm.exe	43
PID 2132 wrote to memory of 2576	2132	e3fyc1Yqrm.exe	43
PID 2132 wrote to memory of 2624	2132	e3fyc1Yqrm.exe	44
PID 2132 wrote to memory of 2624	2132	e3fyc1Yqrm.exe	44
PID 2132 wrote to memory of 2624	2132	e3fyc1Yqrm.exe	44
PID 2132 wrote to memory of 2644	2132	e3fyc1Yqrm.exe	45
PID 2132 wrote to memory of 2644	2132	e3fyc1Yqrm.exe	45
PID 2132 wrote to memory of 2644	2132	e3fyc1Yqrm.exe	45
PID 2132 wrote to memory of 2704	2132	e3fyc1Yqrm.exe	46
PID 2132 wrote to memory of 2704	2132	e3fyc1Yqrm.exe	46
PID 2132 wrote to memory of 2704	2132	e3fyc1Yqrm.exe	46
PID 2132 wrote to memory of 2256	2132	e3fyc1Yqrm.exe	47
PID 2132 wrote to memory of 2256	2132	e3fyc1Yqrm.exe	47
PID 2132 wrote to memory of 2256	2132	e3fyc1Yqrm.exe	47
PID 2132 wrote to memory of 2260	2132	e3fyc1Yqrm.exe	48
PID 2132 wrote to memory of 2260	2132	e3fyc1Yqrm.exe	48
PID 2132 wrote to memory of 2260	2132	e3fyc1Yqrm.exe	48
PID 2132 wrote to memory of 1776	2132	e3fyc1Yqrm.exe	49
PID 2132 wrote to memory of 1776	2132	e3fyc1Yqrm.exe	49
PID 2132 wrote to memory of 1776	2132	e3fyc1Yqrm.exe	49
PID 2132 wrote to memory of 1876	2132	e3fyc1Yqrm.exe	50
PID 2132 wrote to memory of 1876	2132	e3fyc1Yqrm.exe	50
PID 2132 wrote to memory of 1876	2132	e3fyc1Yqrm.exe	50
PID 2132 wrote to memory of 1004	2132	e3fyc1Yqrm.exe	51
PID 2132 wrote to memory of 1004	2132	e3fyc1Yqrm.exe	51
PID 2132 wrote to memory of 1004	2132	e3fyc1Yqrm.exe	51
PID 2132 wrote to memory of 1572	2132	e3fyc1Yqrm.exe	52

C:\Users\Admin\AppData\Local\Temp\e3fyc1Yqrm.exe
"C:\Users\Admin\AppData\Local\Temp\e3fyc1Yqrm.exe"
1⤵
- Suspicious use of NtSetInformationThreadHideFromDebugger
- Suspicious behavior: EnumeratesProcesses
- Suspicious behavior: RenamesItself
- Suspicious use of WriteProcessMemory
PID:2132
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2776
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2716
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2616
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2708
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2808
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2608
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2988
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2604
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2868
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2628
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2696
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2784
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2576
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2624
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2644
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2704
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2256
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2260
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1776
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1876
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1004
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1572
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:900
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1844
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2324
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2424
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1580
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:3064
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:3056
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2208
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1240
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1052
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1520
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1260
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1884
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1936
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1728
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1296
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2816
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2840
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2812
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2836
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1000
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2680
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1916
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1020
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2088
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2168
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2060
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2096
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:328
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1976
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2140
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:948
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2136
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1636
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:680
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1688
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2340
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:324
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2152
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2204
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2328
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:848
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1568
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2024
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1900
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2488
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2144
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1752
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2016
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2076
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:944
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1500
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2368
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2468
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1168
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:832
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:940
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:3016
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1668
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1432
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1236
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1704
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1424
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:764
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2540
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1600
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1608
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1684
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1796
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2104
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2244
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2524
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:264
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2252
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2180
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2288
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2224
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1924
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2664
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1644
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2296
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1628
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1720
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1284
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2516
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:544
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1216
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1672
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:876
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1988
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1928
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2148
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1492
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1484
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2712
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2796
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2728
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2780
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2860
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2776
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2716
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2700
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2444
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2872
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2864
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:1788
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2608
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2972
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2604
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2764
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2888
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2580
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2056
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2576
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2612
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2652
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2752
- C:\Windows\system32\cmd.exe
  C:\Windows\system32\cmd.exe /c CLS
  2⤵
  PID:2256

Network

MITRE ATT&CK Matrix

Replay Monitor

Loading Replay Monitor...

Downloads

memory/2132-0-0x000000013FB8E000-0x00000001403FC000-memory.dmp

Filesize
8.4MB

Download
memory/2132-1-0x00000000779A0000-0x00000000779A2000-memory.dmp

Filesize
8KB

Download
memory/2132-10-0x00000000779B0000-0x00000000779B2000-memory.dmp

Filesize
8KB

Download
memory/2132-8-0x00000000779B0000-0x00000000779B2000-memory.dmp

Filesize
8KB

Download
memory/2132-6-0x00000000779B0000-0x00000000779B2000-memory.dmp

Filesize
8KB

Download
memory/2132-5-0x00000000779A0000-0x00000000779A2000-memory.dmp

Filesize
8KB

Download
memory/2132-3-0x00000000779A0000-0x00000000779A2000-memory.dmp

Filesize
8KB

Download
memory/2132-12-0x000000013F950000-0x00000001412CC000-memory.dmp

Filesize
25.5MB

Download
memory/2132-14-0x000000013F950000-0x00000001412CC000-memory.dmp

Filesize
25.5MB

Download
memory/2132-15-0x000000013FB8E000-0x00000001403FC000-memory.dmp

Filesize
8.4MB

Download