Analysis

  • max time kernel
    93s
  • max time network
    94s
  • platform
    windows10-2004_x64
  • resource
    win10v2004-20241007-en
  • resource tags

    arch:x64arch:x86image:win10v2004-20241007-enlocale:en-usos:windows10-2004-x64system
  • submitted
    07-11-2024 11:24

General

  • Target

    ffb7153f30e4206d3e369573d4e7fd7a3c79eab77ea2cf8f631f0dea7c3d1781N.exe

  • Size

    409KB

  • MD5

    b23232263d0ff718419df3180d3d8670

  • SHA1

    194d700b79d7ffa681aaad1fd5010d788a4713ee

  • SHA256

    ffb7153f30e4206d3e369573d4e7fd7a3c79eab77ea2cf8f631f0dea7c3d1781

  • SHA512

    7c478b9cf4556539d8cd2a9165d11558a9957f7dc9ae25bd2380c02fa01e37061b6e5717d978eae87e7b074524b390d7f6a78d238240e3e1ffc45a259227c553

  • SSDEEP

    6144:YQMmbjV28okoS4oImBvIEtTawRbvbKw4IPCFRvzvU+Yrw:YWoioS/Z6H

Malware Config

Signatures

  • UAC bypass 3 TTPs 1 IoCs
  • Disables Task Manager via registry modification
  • Possible privilege escalation attempt 64 IoCs
  • Checks computer location settings 2 TTPs 1 IoCs

    Looks up country code configured in the registry, likely geofence.

  • Modifies file permissions 1 TTPs 64 IoCs
  • Modifies system executable filetype association 2 TTPs 1 IoCs
  • File and Directory Permissions Modification: Windows File and Directory Permissions Modification 1 TTPs
  • Drops file in System32 directory 1 IoCs
  • Enumerates physical storage devices 1 TTPs

    Attempts to interact with connected storage/optical drive(s).

  • Modifies registry class 10 IoCs
  • Modifies registry key 1 TTPs 2 IoCs
  • Suspicious behavior: EnumeratesProcesses 21 IoCs
  • Suspicious behavior: GetForegroundWindowSpam 1 IoCs
  • Suspicious use of AdjustPrivilegeToken 22 IoCs
  • Suspicious use of WriteProcessMemory 64 IoCs

Processes

  • C:\Users\Admin\AppData\Local\Temp\ffb7153f30e4206d3e369573d4e7fd7a3c79eab77ea2cf8f631f0dea7c3d1781N.exe
    "C:\Users\Admin\AppData\Local\Temp\ffb7153f30e4206d3e369573d4e7fd7a3c79eab77ea2cf8f631f0dea7c3d1781N.exe"
    1⤵
    • Checks computer location settings
    • Modifies system executable filetype association
    • Drops file in System32 directory
    • Modifies registry class
    • Suspicious behavior: EnumeratesProcesses
    • Suspicious behavior: GetForegroundWindowSpam
    • Suspicious use of AdjustPrivilegeToken
    • Suspicious use of WriteProcessMemory
    PID:4880
    • C:\Windows\System32\reg.exe
      "C:\Windows\System32\reg.exe" ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
      2⤵
      • UAC bypass
      • Modifies registry key
      PID:3172
    • C:\Windows\System32\reg.exe
      "C:\Windows\System32\reg.exe" add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
      2⤵
      • Modifies registry key
      PID:3628
    • C:\Windows\System32\takeown.exe
      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\bfsvc.exe"
      2⤵
      • Modifies file permissions
      • Suspicious use of AdjustPrivilegeToken
      PID:4500
    • C:\Windows\System32\icacls.exe
      "C:\Windows\System32\icacls.exe" "C:\Windows\bfsvc.exe" /INHERITANCE:e /GRANT:r Admin:(F)
      2⤵
      • Possible privilege escalation attempt
      • Modifies file permissions
      PID:4560
    • C:\Windows\System32\takeown.exe
      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\HelpPane.exe"
      2⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:4748
    • C:\Windows\System32\icacls.exe
      "C:\Windows\System32\icacls.exe" "C:\Windows\HelpPane.exe" /INHERITANCE:e /GRANT:r Admin:(F)
      2⤵
      • Possible privilege escalation attempt
      PID:3844
    • C:\Windows\System32\takeown.exe
      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\hh.exe"
      2⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:3504
    • C:\Windows\System32\icacls.exe
      "C:\Windows\System32\icacls.exe" "C:\Windows\hh.exe" /INHERITANCE:e /GRANT:r Admin:(F)
      2⤵
      • Possible privilege escalation attempt
      PID:1940
    • C:\Windows\System32\takeown.exe
      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\splwow64.exe"
      2⤵
      • Suspicious use of AdjustPrivilegeToken
      PID:1080
    • C:\Windows\System32\icacls.exe
      "C:\Windows\System32\icacls.exe" "C:\Windows\splwow64.exe" /INHERITANCE:e /GRANT:r Admin:(F)
      2⤵
        PID:2196
      • C:\Windows\System32\takeown.exe
        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\winhlp32.exe"
        2⤵
        • Suspicious use of AdjustPrivilegeToken
        PID:3064
      • C:\Windows\System32\icacls.exe
        "C:\Windows\System32\icacls.exe" "C:\Windows\winhlp32.exe" /INHERITANCE:e /GRANT:r Admin:(F)
        2⤵
          PID:1032
        • C:\Windows\System32\takeown.exe
          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\write.exe"
          2⤵
          • Suspicious use of AdjustPrivilegeToken
          PID:5028
        • C:\Windows\System32\icacls.exe
          "C:\Windows\System32\icacls.exe" "C:\Windows\write.exe" /INHERITANCE:e /GRANT:r Admin:(F)
          2⤵
          • Modifies file permissions
          PID:3680
        • C:\Windows\System32\takeown.exe
          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\raserver.exe"
          2⤵
          • Suspicious use of AdjustPrivilegeToken
          PID:2700
        • C:\Windows\System32\icacls.exe
          "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\raserver.exe" /INHERITANCE:e /GRANT:r Admin:(F)
          2⤵
            PID:2520
          • C:\Windows\System32\takeown.exe
            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\msra.exe"
            2⤵
            • Possible privilege escalation attempt
            • Suspicious use of AdjustPrivilegeToken
            PID:2760
          • C:\Windows\System32\icacls.exe
            "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\msra.exe" /INHERITANCE:e /GRANT:r Admin:(F)
            2⤵
              PID:3524
            • C:\Windows\System32\takeown.exe
              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\quickassist.exe"
              2⤵
              • Suspicious use of AdjustPrivilegeToken
              PID:4116
            • C:\Windows\System32\icacls.exe
              "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\quickassist.exe" /INHERITANCE:e /GRANT:r Admin:(F)
              2⤵
                PID:2568
              • C:\Windows\System32\takeown.exe
                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\sdchange.exe"
                2⤵
                • Modifies file permissions
                • Suspicious use of AdjustPrivilegeToken
                PID:1616
              • C:\Windows\System32\icacls.exe
                "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\sdchange.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                2⤵
                • Possible privilege escalation attempt
                PID:3892
              • C:\Windows\System32\takeown.exe
                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\CameraSettingsUIHost.exe"
                2⤵
                • Possible privilege escalation attempt
                • Suspicious use of AdjustPrivilegeToken
                PID:3460
              • C:\Windows\System32\icacls.exe
                "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\CameraSettingsUIHost.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                2⤵
                • Possible privilege escalation attempt
                PID:4568
              • C:\Windows\System32\takeown.exe
                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\logagent.exe"
                2⤵
                • Possible privilege escalation attempt
                • Suspicious use of AdjustPrivilegeToken
                PID:1844
              • C:\Windows\System32\icacls.exe
                "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\logagent.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                2⤵
                  PID:3440
                • C:\Windows\System32\takeown.exe
                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\rrinstaller.exe"
                  2⤵
                  • Possible privilege escalation attempt
                  • Modifies file permissions
                  • Suspicious use of AdjustPrivilegeToken
                  PID:1544
                • C:\Windows\System32\icacls.exe
                  "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\rrinstaller.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                  2⤵
                    PID:3164
                  • C:\Windows\System32\takeown.exe
                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\gpscript.exe"
                    2⤵
                    • Possible privilege escalation attempt
                    • Suspicious use of AdjustPrivilegeToken
                    PID:4528
                  • C:\Windows\System32\icacls.exe
                    "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\gpscript.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                    2⤵
                    • Modifies file permissions
                    PID:1468
                  • C:\Windows\System32\takeown.exe
                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\mavinject.exe"
                    2⤵
                    • Modifies file permissions
                    • Suspicious use of AdjustPrivilegeToken
                    PID:868
                  • C:\Windows\System32\icacls.exe
                    "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\mavinject.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                    2⤵
                    • Possible privilege escalation attempt
                    PID:4784
                  • C:\Windows\System32\takeown.exe
                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\provlaunch.exe"
                    2⤵
                    • Possible privilege escalation attempt
                    • Suspicious use of AdjustPrivilegeToken
                    PID:4488
                  • C:\Windows\System32\icacls.exe
                    "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\provlaunch.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                    2⤵
                      PID:4964
                    • C:\Windows\System32\takeown.exe
                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\msinfo32.exe"
                      2⤵
                      • Suspicious use of AdjustPrivilegeToken
                      PID:1108
                    • C:\Windows\System32\icacls.exe
                      "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\msinfo32.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                      2⤵
                        PID:4620
                      • C:\Windows\System32\takeown.exe
                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\runas.exe"
                        2⤵
                        • Suspicious use of AdjustPrivilegeToken
                        PID:2040
                      • C:\Windows\System32\icacls.exe
                        "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\runas.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                        2⤵
                        • Possible privilege escalation attempt
                        • Modifies file permissions
                        PID:980
                      • C:\Windows\System32\takeown.exe
                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\mstsc.exe"
                        2⤵
                        • Possible privilege escalation attempt
                        • Suspicious use of AdjustPrivilegeToken
                        PID:2904
                      • C:\Windows\System32\icacls.exe
                        "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\mstsc.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                        2⤵
                        • Modifies file permissions
                        PID:3556
                      • C:\Windows\System32\takeown.exe
                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\SysWOW64\sdiagnhost.exe"
                        2⤵
                        • Suspicious use of AdjustPrivilegeToken
                        PID:3280
                      • C:\Windows\System32\icacls.exe
                        "C:\Windows\System32\icacls.exe" "C:\Windows\SysWOW64\sdiagnhost.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                        2⤵
                          PID:1236
                        • C:\Windows\System32\takeown.exe
                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                          2⤵
                          • Suspicious use of AdjustPrivilegeToken
                          PID:1308
                        • C:\Windows\System32\icacls.exe
                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                          2⤵
                            PID:3916
                          • C:\Windows\System32\takeown.exe
                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                            2⤵
                              PID:3328
                            • C:\Windows\System32\icacls.exe
                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                              2⤵
                              • Modifies file permissions
                              PID:3312
                            • C:\Windows\System32\takeown.exe
                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                              2⤵
                                PID:4468
                              • C:\Windows\System32\icacls.exe
                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                2⤵
                                  PID:3260
                                • C:\Windows\System32\takeown.exe
                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                  2⤵
                                  • Modifies file permissions
                                  PID:3248
                                • C:\Windows\System32\icacls.exe
                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                  2⤵
                                    PID:2472
                                  • C:\Windows\System32\takeown.exe
                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                    2⤵
                                    • Modifies file permissions
                                    PID:1732
                                  • C:\Windows\System32\icacls.exe
                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                    2⤵
                                      PID:4336
                                    • C:\Windows\System32\takeown.exe
                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                      2⤵
                                        PID:3412
                                      • C:\Windows\System32\icacls.exe
                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                        2⤵
                                          PID:3140
                                        • C:\Windows\System32\takeown.exe
                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                          2⤵
                                            PID:3004
                                          • C:\Windows\System32\icacls.exe
                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                            2⤵
                                              PID:4540
                                            • C:\Windows\System32\takeown.exe
                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                              2⤵
                                                PID:3348
                                              • C:\Windows\System32\icacls.exe
                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                2⤵
                                                • Possible privilege escalation attempt
                                                • Modifies file permissions
                                                PID:5004
                                              • C:\Windows\System32\takeown.exe
                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                2⤵
                                                  PID:4452
                                                • C:\Windows\System32\icacls.exe
                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                  2⤵
                                                    PID:2580
                                                  • C:\Windows\System32\takeown.exe
                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                    2⤵
                                                      PID:224
                                                    • C:\Windows\System32\icacls.exe
                                                      "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                      2⤵
                                                      • Possible privilege escalation attempt
                                                      PID:1464
                                                    • C:\Windows\System32\takeown.exe
                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                      2⤵
                                                        PID:5112
                                                      • C:\Windows\System32\icacls.exe
                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                        2⤵
                                                          PID:1196
                                                        • C:\Windows\System32\takeown.exe
                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                          2⤵
                                                          • Possible privilege escalation attempt
                                                          PID:2680
                                                        • C:\Windows\System32\icacls.exe
                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                          2⤵
                                                          • Possible privilege escalation attempt
                                                          PID:1472
                                                        • C:\Windows\System32\takeown.exe
                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                          2⤵
                                                          • Modifies file permissions
                                                          PID:4276
                                                        • C:\Windows\System32\icacls.exe
                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                          2⤵
                                                          • Modifies file permissions
                                                          PID:4280
                                                        • C:\Windows\System32\takeown.exe
                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                          2⤵
                                                            PID:2340
                                                          • C:\Windows\System32\icacls.exe
                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                            2⤵
                                                              PID:2216
                                                            • C:\Windows\System32\takeown.exe
                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                              2⤵
                                                              • Possible privilege escalation attempt
                                                              • Modifies file permissions
                                                              PID:1800
                                                            • C:\Windows\System32\icacls.exe
                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                              2⤵
                                                                PID:3452
                                                              • C:\Windows\System32\takeown.exe
                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                2⤵
                                                                • Modifies file permissions
                                                                PID:3608
                                                              • C:\Windows\System32\icacls.exe
                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                2⤵
                                                                • Modifies file permissions
                                                                PID:3088
                                                              • C:\Windows\System32\takeown.exe
                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                2⤵
                                                                • Possible privilege escalation attempt
                                                                PID:1876
                                                              • C:\Windows\System32\icacls.exe
                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                2⤵
                                                                  PID:1524
                                                                • C:\Windows\System32\takeown.exe
                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                  2⤵
                                                                  • Modifies file permissions
                                                                  PID:1556
                                                                • C:\Windows\System32\icacls.exe
                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                  2⤵
                                                                  • Possible privilege escalation attempt
                                                                  PID:1212
                                                                • C:\Windows\System32\takeown.exe
                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                  2⤵
                                                                  • Possible privilege escalation attempt
                                                                  • Modifies file permissions
                                                                  PID:3896
                                                                • C:\Windows\System32\icacls.exe
                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                  2⤵
                                                                    PID:4000
                                                                  • C:\Windows\System32\takeown.exe
                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                    2⤵
                                                                      PID:3604
                                                                    • C:\Windows\System32\icacls.exe
                                                                      "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                      2⤵
                                                                        PID:4332
                                                                      • C:\Windows\System32\takeown.exe
                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                        2⤵
                                                                        • Possible privilege escalation attempt
                                                                        PID:4888
                                                                      • C:\Windows\System32\icacls.exe
                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                        2⤵
                                                                          PID:4156
                                                                        • C:\Windows\System32\takeown.exe
                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                          2⤵
                                                                            PID:3936
                                                                          • C:\Windows\System32\icacls.exe
                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                            2⤵
                                                                              PID:4432
                                                                            • C:\Windows\System32\takeown.exe
                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                              2⤵
                                                                                PID:4056
                                                                              • C:\Windows\System32\icacls.exe
                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                2⤵
                                                                                • Possible privilege escalation attempt
                                                                                PID:4484
                                                                              • C:\Windows\System32\takeown.exe
                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                2⤵
                                                                                  PID:2924
                                                                                • C:\Windows\System32\icacls.exe
                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                  2⤵
                                                                                  • Modifies file permissions
                                                                                  PID:928
                                                                                • C:\Windows\System32\takeown.exe
                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                  2⤵
                                                                                  • Modifies file permissions
                                                                                  PID:2104
                                                                                • C:\Windows\System32\icacls.exe
                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                  2⤵
                                                                                  • Possible privilege escalation attempt
                                                                                  • Modifies file permissions
                                                                                  PID:1700
                                                                                • C:\Windows\System32\takeown.exe
                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                  2⤵
                                                                                  • Modifies file permissions
                                                                                  PID:2024
                                                                                • C:\Windows\System32\icacls.exe
                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                  2⤵
                                                                                    PID:4424
                                                                                  • C:\Windows\System32\takeown.exe
                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                    2⤵
                                                                                      PID:4844
                                                                                    • C:\Windows\System32\icacls.exe
                                                                                      "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                      2⤵
                                                                                        PID:1668
                                                                                      • C:\Windows\System32\takeown.exe
                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                        2⤵
                                                                                        • Possible privilege escalation attempt
                                                                                        PID:2712
                                                                                      • C:\Windows\System32\icacls.exe
                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                        2⤵
                                                                                        • Modifies file permissions
                                                                                        PID:3924
                                                                                      • C:\Windows\System32\takeown.exe
                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                        2⤵
                                                                                        • Modifies file permissions
                                                                                        PID:1612
                                                                                      • C:\Windows\System32\icacls.exe
                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                        2⤵
                                                                                        • Modifies file permissions
                                                                                        PID:2076
                                                                                      • C:\Windows\System32\takeown.exe
                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                        2⤵
                                                                                        • Possible privilege escalation attempt
                                                                                        PID:2820
                                                                                      • C:\Windows\System32\icacls.exe
                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                        2⤵
                                                                                          PID:2784
                                                                                        • C:\Windows\System32\takeown.exe
                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                          2⤵
                                                                                          • Modifies file permissions
                                                                                          PID:2248
                                                                                        • C:\Windows\System32\icacls.exe
                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                          2⤵
                                                                                            PID:4524
                                                                                          • C:\Windows\System32\takeown.exe
                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                            2⤵
                                                                                              PID:2484
                                                                                            • C:\Windows\System32\icacls.exe
                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                              2⤵
                                                                                                PID:4688
                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                2⤵
                                                                                                • Modifies file permissions
                                                                                                PID:1368
                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                2⤵
                                                                                                  PID:5036
                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                  2⤵
                                                                                                    PID:3468
                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                    2⤵
                                                                                                      PID:3688
                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                      2⤵
                                                                                                        PID:2212
                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                        2⤵
                                                                                                          PID:1492
                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                          2⤵
                                                                                                            PID:1064
                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                            2⤵
                                                                                                              PID:4724
                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                              2⤵
                                                                                                              • Possible privilege escalation attempt
                                                                                                              PID:1780
                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                              2⤵
                                                                                                              • Possible privilege escalation attempt
                                                                                                              PID:1952
                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                              2⤵
                                                                                                                PID:4768
                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                2⤵
                                                                                                                  PID:848
                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                  2⤵
                                                                                                                    PID:4200
                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                    2⤵
                                                                                                                      PID:4052
                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                      2⤵
                                                                                                                        PID:3908
                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                        2⤵
                                                                                                                          PID:4944
                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                          2⤵
                                                                                                                          • Possible privilege escalation attempt
                                                                                                                          PID:3960
                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                          2⤵
                                                                                                                            PID:2736
                                                                                                                          • C:\Windows\System32\takeown.exe
                                                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                            2⤵
                                                                                                                              PID:764
                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                              2⤵
                                                                                                                              • Modifies file permissions
                                                                                                                              PID:2668
                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                              2⤵
                                                                                                                                PID:3940
                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                2⤵
                                                                                                                                  PID:2832
                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                  2⤵
                                                                                                                                    PID:4588
                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                    2⤵
                                                                                                                                    • Possible privilege escalation attempt
                                                                                                                                    PID:1304
                                                                                                                                  • C:\Windows\System32\takeown.exe
                                                                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                    2⤵
                                                                                                                                    • Modifies file permissions
                                                                                                                                    PID:2772
                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                    2⤵
                                                                                                                                      PID:2972
                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                      2⤵
                                                                                                                                        PID:1724
                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                        2⤵
                                                                                                                                        • Possible privilege escalation attempt
                                                                                                                                        • Modifies file permissions
                                                                                                                                        PID:392
                                                                                                                                      • C:\Windows\System32\takeown.exe
                                                                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                        2⤵
                                                                                                                                        • Modifies file permissions
                                                                                                                                        PID:4860
                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                        2⤵
                                                                                                                                        • Modifies file permissions
                                                                                                                                        PID:3932
                                                                                                                                      • C:\Windows\System32\takeown.exe
                                                                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                        2⤵
                                                                                                                                          PID:220
                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                          2⤵
                                                                                                                                          • Possible privilege escalation attempt
                                                                                                                                          • Modifies file permissions
                                                                                                                                          PID:2348
                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                          2⤵
                                                                                                                                            PID:2068
                                                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                            2⤵
                                                                                                                                              PID:3912
                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                              2⤵
                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                              • Modifies file permissions
                                                                                                                                              PID:3036
                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                              2⤵
                                                                                                                                                PID:3468
                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                2⤵
                                                                                                                                                • Modifies file permissions
                                                                                                                                                PID:1876
                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                2⤵
                                                                                                                                                • Modifies file permissions
                                                                                                                                                PID:2076
                                                                                                                                                • C:\Windows\System32\Conhost.exe
                                                                                                                                                  \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                  3⤵
                                                                                                                                                    PID:2680
                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                  2⤵
                                                                                                                                                    PID:5112
                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                    2⤵
                                                                                                                                                      PID:4724
                                                                                                                                                      • C:\Windows\System32\Conhost.exe
                                                                                                                                                        \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                        3⤵
                                                                                                                                                          PID:2472
                                                                                                                                                      • C:\Windows\System32\takeown.exe
                                                                                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                        2⤵
                                                                                                                                                        • Possible privilege escalation attempt
                                                                                                                                                        PID:1064
                                                                                                                                                        • C:\Windows\System32\Conhost.exe
                                                                                                                                                          \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                          3⤵
                                                                                                                                                            PID:3312
                                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                          2⤵
                                                                                                                                                          • Modifies file permissions
                                                                                                                                                          PID:4336
                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                          2⤵
                                                                                                                                                            PID:1732
                                                                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                            2⤵
                                                                                                                                                              PID:4768
                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                              2⤵
                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                              PID:5088
                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                              2⤵
                                                                                                                                                                PID:4364
                                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                2⤵
                                                                                                                                                                  PID:4196
                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                  2⤵
                                                                                                                                                                  • Possible privilege escalation attempt
                                                                                                                                                                  • Modifies file permissions
                                                                                                                                                                  PID:1348
                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                  2⤵
                                                                                                                                                                  • Possible privilege escalation attempt
                                                                                                                                                                  PID:4440
                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                  2⤵
                                                                                                                                                                  • Possible privilege escalation attempt
                                                                                                                                                                  PID:1636
                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                  2⤵
                                                                                                                                                                  • Modifies file permissions
                                                                                                                                                                  PID:2728
                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                  2⤵
                                                                                                                                                                    PID:4644
                                                                                                                                                                  • C:\Windows\System32\takeown.exe
                                                                                                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                    2⤵
                                                                                                                                                                    • Possible privilege escalation attempt
                                                                                                                                                                    • Modifies file permissions
                                                                                                                                                                    PID:2736
                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                    2⤵
                                                                                                                                                                    • Possible privilege escalation attempt
                                                                                                                                                                    PID:3632
                                                                                                                                                                  • C:\Windows\System32\takeown.exe
                                                                                                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                    2⤵
                                                                                                                                                                      PID:3600
                                                                                                                                                                    • C:\Windows\System32\icacls.exe
                                                                                                                                                                      "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                      2⤵
                                                                                                                                                                        PID:3564
                                                                                                                                                                      • C:\Windows\System32\takeown.exe
                                                                                                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                        2⤵
                                                                                                                                                                        • Possible privilege escalation attempt
                                                                                                                                                                        PID:1920
                                                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                        2⤵
                                                                                                                                                                          PID:2580
                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                          2⤵
                                                                                                                                                                            PID:4136
                                                                                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                            2⤵
                                                                                                                                                                              PID:940
                                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                              2⤵
                                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                                              • Modifies file permissions
                                                                                                                                                                              PID:2248
                                                                                                                                                                              • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                3⤵
                                                                                                                                                                                  PID:848
                                                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                2⤵
                                                                                                                                                                                • Modifies file permissions
                                                                                                                                                                                PID:3328
                                                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                2⤵
                                                                                                                                                                                • Modifies file permissions
                                                                                                                                                                                PID:2784
                                                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                2⤵
                                                                                                                                                                                • Modifies file permissions
                                                                                                                                                                                PID:1524
                                                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                2⤵
                                                                                                                                                                                  PID:3260
                                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                  2⤵
                                                                                                                                                                                    PID:2132
                                                                                                                                                                                  • C:\Windows\System32\takeown.exe
                                                                                                                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                    2⤵
                                                                                                                                                                                    • Possible privilege escalation attempt
                                                                                                                                                                                    PID:3396
                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                    2⤵
                                                                                                                                                                                    • Modifies file permissions
                                                                                                                                                                                    PID:1392
                                                                                                                                                                                  • C:\Windows\System32\takeown.exe
                                                                                                                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                    2⤵
                                                                                                                                                                                      PID:4028
                                                                                                                                                                                    • C:\Windows\System32\icacls.exe
                                                                                                                                                                                      "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                      2⤵
                                                                                                                                                                                      • Modifies file permissions
                                                                                                                                                                                      PID:1420
                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                      2⤵
                                                                                                                                                                                        PID:4668
                                                                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                        2⤵
                                                                                                                                                                                          PID:4864
                                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                          2⤵
                                                                                                                                                                                          • Possible privilege escalation attempt
                                                                                                                                                                                          PID:3712
                                                                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                          2⤵
                                                                                                                                                                                            PID:1492
                                                                                                                                                                                          • C:\Windows\System32\takeown.exe
                                                                                                                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                            2⤵
                                                                                                                                                                                              PID:2156
                                                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                              2⤵
                                                                                                                                                                                              • Modifies file permissions
                                                                                                                                                                                              PID:764
                                                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                              2⤵
                                                                                                                                                                                                PID:760
                                                                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                2⤵
                                                                                                                                                                                                • Modifies file permissions
                                                                                                                                                                                                PID:2668
                                                                                                                                                                                                • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                  \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                    PID:2772
                                                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                    PID:1840
                                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                    • Modifies file permissions
                                                                                                                                                                                                    PID:3940
                                                                                                                                                                                                    • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                      \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                        PID:2340
                                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                        PID:208
                                                                                                                                                                                                        • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                          \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                          3⤵
                                                                                                                                                                                                            PID:4844
                                                                                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                          • Possible privilege escalation attempt
                                                                                                                                                                                                          PID:4424
                                                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                            PID:4052
                                                                                                                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                              PID:2932
                                                                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                PID:2024
                                                                                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                • Modifies file permissions
                                                                                                                                                                                                                PID:3688
                                                                                                                                                                                                                • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                  \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                    PID:3896
                                                                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                  • Modifies file permissions
                                                                                                                                                                                                                  PID:928
                                                                                                                                                                                                                  • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                    \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                      PID:4888
                                                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                      PID:5072
                                                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                      • Modifies file permissions
                                                                                                                                                                                                                      PID:3412
                                                                                                                                                                                                                      • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                        \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                          PID:4056
                                                                                                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                          PID:1748
                                                                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                          • Possible privilege escalation attempt
                                                                                                                                                                                                                          PID:3140
                                                                                                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                          • Modifies file permissions
                                                                                                                                                                                                                          PID:3900
                                                                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                          • Possible privilege escalation attempt
                                                                                                                                                                                                                          PID:2820
                                                                                                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                          • Modifies file permissions
                                                                                                                                                                                                                          PID:3180
                                                                                                                                                                                                                          • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                            \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                            3⤵
                                                                                                                                                                                                                              PID:2972
                                                                                                                                                                                                                          • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                              PID:1764
                                                                                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                                                                                              PID:5116
                                                                                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                PID:4144
                                                                                                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                • Possible privilege escalation attempt
                                                                                                                                                                                                                                PID:4092
                                                                                                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                  PID:1016
                                                                                                                                                                                                                                  • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                    \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                                      PID:2832
                                                                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                      PID:1684
                                                                                                                                                                                                                                      • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                        \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                          PID:3248
                                                                                                                                                                                                                                      • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                        "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                        • Possible privilege escalation attempt
                                                                                                                                                                                                                                        PID:1556
                                                                                                                                                                                                                                        • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                          \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                          3⤵
                                                                                                                                                                                                                                            PID:4540
                                                                                                                                                                                                                                        • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                          "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                            PID:4584
                                                                                                                                                                                                                                          • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                            • Possible privilege escalation attempt
                                                                                                                                                                                                                                            PID:224
                                                                                                                                                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                            • Modifies file permissions
                                                                                                                                                                                                                                            PID:2512
                                                                                                                                                                                                                                          • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                            • Modifies file permissions
                                                                                                                                                                                                                                            PID:4200
                                                                                                                                                                                                                                          • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                            "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                            • Possible privilege escalation attempt
                                                                                                                                                                                                                                            PID:4280
                                                                                                                                                                                                                                            • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                              \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                                PID:3348
                                                                                                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                                                                                                              PID:2440
                                                                                                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                PID:696
                                                                                                                                                                                                                                                • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                  \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                                                    PID:1472
                                                                                                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                  • Modifies file permissions
                                                                                                                                                                                                                                                  PID:1612
                                                                                                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                  • Possible privilege escalation attempt
                                                                                                                                                                                                                                                  • Modifies file permissions
                                                                                                                                                                                                                                                  PID:2212
                                                                                                                                                                                                                                                  • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                    \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                    3⤵
                                                                                                                                                                                                                                                      PID:1304
                                                                                                                                                                                                                                                  • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                    "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                    • Modifies file permissions
                                                                                                                                                                                                                                                    PID:2924
                                                                                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                    • Possible privilege escalation attempt
                                                                                                                                                                                                                                                    PID:4552
                                                                                                                                                                                                                                                    • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                      \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                                                                        PID:3960
                                                                                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                      • Modifies file permissions
                                                                                                                                                                                                                                                      PID:1688
                                                                                                                                                                                                                                                      • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                        \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                                          PID:5036
                                                                                                                                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                        • Possible privilege escalation attempt
                                                                                                                                                                                                                                                        PID:3496
                                                                                                                                                                                                                                                        • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                          \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                          3⤵
                                                                                                                                                                                                                                                            PID:4000
                                                                                                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                                            PID:1476
                                                                                                                                                                                                                                                            • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                              \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                                                PID:1780
                                                                                                                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                PID:2264
                                                                                                                                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                                  PID:4776
                                                                                                                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                                  • Modifies file permissions
                                                                                                                                                                                                                                                                  PID:3588
                                                                                                                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                                    PID:3708
                                                                                                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                                      PID:1360
                                                                                                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                                      • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                      PID:1528
                                                                                                                                                                                                                                                                      • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                        \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                                                          PID:1700
                                                                                                                                                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                                          PID:1816
                                                                                                                                                                                                                                                                        • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                          "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                          2⤵
                                                                                                                                                                                                                                                                            PID:3180
                                                                                                                                                                                                                                                                            • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                              \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                              3⤵
                                                                                                                                                                                                                                                                                PID:3900
                                                                                                                                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                              PID:940
                                                                                                                                                                                                                                                                              • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                                \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                                3⤵
                                                                                                                                                                                                                                                                                  PID:1920
                                                                                                                                                                                                                                                                              • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                                "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                                                • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                                PID:3600
                                                                                                                                                                                                                                                                                • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                                  \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                                  3⤵
                                                                                                                                                                                                                                                                                    PID:4196
                                                                                                                                                                                                                                                                                • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                                  "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                                                    PID:2932
                                                                                                                                                                                                                                                                                    • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                                      \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                                      3⤵
                                                                                                                                                                                                                                                                                        PID:208
                                                                                                                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                                                      • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                                      PID:1684
                                                                                                                                                                                                                                                                                      • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                                        \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                                        3⤵
                                                                                                                                                                                                                                                                                          PID:3940
                                                                                                                                                                                                                                                                                      • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                                        "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                                        2⤵
                                                                                                                                                                                                                                                                                          PID:1876
                                                                                                                                                                                                                                                                                          • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                                            \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                                            3⤵
                                                                                                                                                                                                                                                                                              PID:2156
                                                                                                                                                                                                                                                                                          • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                                            "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                                            2⤵
                                                                                                                                                                                                                                                                                              PID:3712
                                                                                                                                                                                                                                                                                            • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                                              "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                                              PID:916
                                                                                                                                                                                                                                                                                            • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                                              "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                                              2⤵
                                                                                                                                                                                                                                                                                              • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                                              PID:1748
                                                                                                                                                                                                                                                                                              • C:\Windows\System32\Conhost.exe
                                                                                                                                                                                                                                                                                                \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
                                                                                                                                                                                                                                                                                                3⤵
                                                                                                                                                                                                                                                                                                  PID:1368
                                                                                                                                                                                                                                                                                              • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                                                "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                                                2⤵
                                                                                                                                                                                                                                                                                                  PID:812
                                                                                                                                                                                                                                                                                                • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                                                  "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                                                  2⤵
                                                                                                                                                                                                                                                                                                    PID:3608
                                                                                                                                                                                                                                                                                                  • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                                                    "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                                                    2⤵
                                                                                                                                                                                                                                                                                                      PID:4312
                                                                                                                                                                                                                                                                                                    • C:\Windows\System32\takeown.exe
                                                                                                                                                                                                                                                                                                      "C:\Windows\System32\takeown.exe" /S OZMCVSQS /U Admin /F "C:\Windows\System32\Taskmgr.exe"
                                                                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                                                                      • Possible privilege escalation attempt
                                                                                                                                                                                                                                                                                                      PID:440
                                                                                                                                                                                                                                                                                                    • C:\Windows\System32\icacls.exe
                                                                                                                                                                                                                                                                                                      "C:\Windows\System32\icacls.exe" "C:\Windows\System32\Taskmgr.exe" /INHERITANCE:e /GRANT:r Admin:(F)
                                                                                                                                                                                                                                                                                                      2⤵
                                                                                                                                                                                                                                                                                                      • Modifies file permissions
                                                                                                                                                                                                                                                                                                      PID:4688

                                                                                                                                                                                                                                                                                                  Network

                                                                                                                                                                                                                                                                                                  MITRE ATT&CK Enterprise v15

                                                                                                                                                                                                                                                                                                  Replay Monitor

                                                                                                                                                                                                                                                                                                  Loading Replay Monitor...

                                                                                                                                                                                                                                                                                                  Downloads

                                                                                                                                                                                                                                                                                                  • C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\MDMYmlN4.exe

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    409KB

                                                                                                                                                                                                                                                                                                    MD5

                                                                                                                                                                                                                                                                                                    3cbc858be858576bc3f33a3b6efe1e0d

                                                                                                                                                                                                                                                                                                    SHA1

                                                                                                                                                                                                                                                                                                    9132db46a029e211b72ec3051164eed95c825c17

                                                                                                                                                                                                                                                                                                    SHA256

                                                                                                                                                                                                                                                                                                    65833789350511b85774a58aed13a14d40afe72f4b513cd36366e7022d006e03

                                                                                                                                                                                                                                                                                                    SHA512

                                                                                                                                                                                                                                                                                                    a83d5512e69b13225a5500c9204fac0db6b52e0ba750434f2848520edd9005ed8a126c4b67c950bb60b6fdbc3ae8372f3ded9c42441b54fcbadc39d9819fd1a6

                                                                                                                                                                                                                                                                                                  • C:\Windows\System32\Taskmgr.exe

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    409KB

                                                                                                                                                                                                                                                                                                    MD5

                                                                                                                                                                                                                                                                                                    b23232263d0ff718419df3180d3d8670

                                                                                                                                                                                                                                                                                                    SHA1

                                                                                                                                                                                                                                                                                                    194d700b79d7ffa681aaad1fd5010d788a4713ee

                                                                                                                                                                                                                                                                                                    SHA256

                                                                                                                                                                                                                                                                                                    ffb7153f30e4206d3e369573d4e7fd7a3c79eab77ea2cf8f631f0dea7c3d1781

                                                                                                                                                                                                                                                                                                    SHA512

                                                                                                                                                                                                                                                                                                    7c478b9cf4556539d8cd2a9165d11558a9957f7dc9ae25bd2380c02fa01e37061b6e5717d978eae87e7b074524b390d7f6a78d238240e3e1ffc45a259227c553

                                                                                                                                                                                                                                                                                                  • memory/4880-0-0x00007FF9430B3000-0x00007FF9430B5000-memory.dmp

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    8KB

                                                                                                                                                                                                                                                                                                  • memory/4880-1-0x0000021D890F0000-0x0000021D89118000-memory.dmp

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    160KB

                                                                                                                                                                                                                                                                                                  • memory/4880-2-0x00007FF9430B0000-0x00007FF943B71000-memory.dmp

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    10.8MB

                                                                                                                                                                                                                                                                                                  • memory/4880-1247-0x00007FF9430B3000-0x00007FF9430B5000-memory.dmp

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    8KB

                                                                                                                                                                                                                                                                                                  • memory/4880-1248-0x00007FF9430B0000-0x00007FF943B71000-memory.dmp

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    10.8MB

                                                                                                                                                                                                                                                                                                  • memory/4880-1252-0x00007FF9430B0000-0x00007FF943B71000-memory.dmp

                                                                                                                                                                                                                                                                                                    Filesize

                                                                                                                                                                                                                                                                                                    10.8MB