Analysis
-
max time kernel
150s -
max time network
19s -
platform
windows7_x64 -
resource
win7-20241010-en -
resource tags
arch:x64arch:x86image:win7-20241010-enlocale:en-usos:windows7-x64system -
submitted
01-01-2025 08:27
Behavioral task
behavioral1
Sample
JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe
Resource
win7-20241010-en
windows7-x64
17 signatures
150 seconds
Behavioral task
behavioral2
Sample
JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe
Resource
win10v2004-20241007-en
windows10-2004-x64
17 signatures
150 seconds
General
-
Target
JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe
-
Size
714KB
-
MD5
4e080269a6ad6d33e0be247a7fb42024
-
SHA1
b2706d7a82c215990e6ef158af643dff32e1b480
-
SHA256
440d4014fc6f982d095902950bb05b9e7cc85faf8abdc63626ee877e2e3ea427
-
SHA512
45e237fcb791580fb26099b3324ef5b66d498dfe6d01321cd0da8afad86e136e80b484167a7954cdbcb483343fb38b74296217a89c822800fa7d8db6ccd49f50
-
SSDEEP
12288:2aAchpWsuVTv7ItY8XljyypHP7cOLBev03hlULsmWZ++09ZcKDVsgdQ:nAEENIq8XwyVPQclDq/+WnpsSQ
Score
10/10
Malware Config
Signatures
-
Darkcomet family
-
Modifies WinLogon for persistence 2 TTPs 39 IoCs
description ioc Process Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit = "C:\\Windows\\system32\\userinit.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe,C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe -
Checks BIOS information in registry 2 TTPs 39 IoCs
BIOS information is often read in order to detect sandboxing environments.
description ioc Process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\SystemBiosDate csrrss.exe -
Executes dropped EXE 39 IoCs
pid Process 2900 csrrss.exe 3048 csrrss.exe 2848 csrrss.exe 1692 csrrss.exe 2136 csrrss.exe 608 csrrss.exe 2352 csrrss.exe 2476 csrrss.exe 912 csrrss.exe 1788 csrrss.exe 1708 csrrss.exe 1748 csrrss.exe 1236 csrrss.exe 760 csrrss.exe 2920 csrrss.exe 2792 csrrss.exe 1352 csrrss.exe 2352 csrrss.exe 2980 csrrss.exe 2072 csrrss.exe 2340 csrrss.exe 2560 csrrss.exe 2636 csrrss.exe 3032 csrrss.exe 112 csrrss.exe 2644 csrrss.exe 1152 csrrss.exe 2432 csrrss.exe 2856 csrrss.exe 2440 csrrss.exe 3012 csrrss.exe 2508 csrrss.exe 2988 csrrss.exe 1084 csrrss.exe 576 csrrss.exe 2924 csrrss.exe 1956 csrrss.exe 2400 csrrss.exe 1420 csrrss.exe -
Loads dropped DLL 64 IoCs
pid Process 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 2900 csrrss.exe 2900 csrrss.exe 3048 csrrss.exe 3048 csrrss.exe 2848 csrrss.exe 2848 csrrss.exe 1692 csrrss.exe 1692 csrrss.exe 2136 csrrss.exe 2136 csrrss.exe 608 csrrss.exe 608 csrrss.exe 2352 csrrss.exe 2352 csrrss.exe 2476 csrrss.exe 2476 csrrss.exe 912 csrrss.exe 912 csrrss.exe 1788 csrrss.exe 1788 csrrss.exe 1708 csrrss.exe 1708 csrrss.exe 1748 csrrss.exe 1748 csrrss.exe 1236 csrrss.exe 1236 csrrss.exe 760 csrrss.exe 760 csrrss.exe 2920 csrrss.exe 2920 csrrss.exe 2792 csrrss.exe 2792 csrrss.exe 1352 csrrss.exe 1352 csrrss.exe 2352 csrrss.exe 2352 csrrss.exe 2980 csrrss.exe 2980 csrrss.exe 2072 csrrss.exe 2072 csrrss.exe 2340 csrrss.exe 2340 csrrss.exe 2560 csrrss.exe 2560 csrrss.exe 2636 csrrss.exe 2636 csrrss.exe 3032 csrrss.exe 3032 csrrss.exe 112 csrrss.exe 112 csrrss.exe 2644 csrrss.exe 2644 csrrss.exe 1152 csrrss.exe 1152 csrrss.exe 2432 csrrss.exe 2432 csrrss.exe 2856 csrrss.exe 2856 csrrss.exe 2440 csrrss.exe 2440 csrrss.exe 3012 csrrss.exe 3012 csrrss.exe -
Adds Run key to start application 2 TTPs 39 IoCs
description ioc Process Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe Set value (str) \REGISTRY\USER\S-1-5-21-3692679935-4019334568-335155002-1000\Software\Microsoft\Windows\CurrentVersion\Run\csrrssr = "C:\\Windows\\system32\\Windupdt\\csrrss.exe" csrrss.exe -
Drops file in System32 directory 64 IoCs
description ioc Process File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File created C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\ csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe File opened for modification C:\Windows\SysWOW64\Windupdt\csrrss.exe csrrss.exe -
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
-
Program crash 18 IoCs
pid pid_target Process procid_target 2304 2904 WerFault.exe 185 2992 1996 WerFault.exe 523 2328 760 WerFault.exe 790 2924 2064 WerFault.exe 1095 2732 2340 Process not Found 1391 2792 2988 Process not Found 1406 2860 1992 Process not Found 1744 1308 2324 Process not Found 1787 1044 3048 Process not Found 1936 964 1088 Process not Found 2330 972 1972 Process not Found 2920 2672 2880 Process not Found 2993 1824 840 Process not Found 3200 2204 1700 Process not Found 3394 1988 2996 Process not Found 3525 1064 544 Process not Found 3718 2580 2108 Process not Found 4104 916 2420 Process not Found 4123 -
System Location Discovery: System Language Discovery 1 TTPs 64 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
description ioc Process Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language csrrss.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language cmd.exe Key opened \REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language PING.EXE -
System Network Configuration Discovery: Internet Connection Discovery 1 TTPs 64 IoCs
Adversaries may check for Internet connectivity on compromised systems.
pid Process 2336 Process not Found 2376 PING.EXE 3056 Process not Found 844 Process not Found 1972 PING.EXE 3056 Process not Found 2832 Process not Found 2868 Process not Found 2788 PING.EXE 2556 Process not Found 2308 PING.EXE 1436 Process not Found 2028 Process not Found 2760 Process not Found 768 Process not Found 980 Process not Found 2876 PING.EXE 2996 Process not Found 2032 Process not Found 1544 PING.EXE 2460 PING.EXE 1108 Process not Found 1020 Process not Found 2252 PING.EXE 2508 Process not Found 2428 Process not Found 2824 Process not Found 2516 PING.EXE 2200 Process not Found 2896 PING.EXE 1836 Process not Found 1132 Process not Found 2580 Process not Found 3060 Process not Found 432 Process not Found 2012 Process not Found 2944 Process not Found 3048 PING.EXE 2252 PING.EXE 1960 Process not Found 764 Process not Found 2400 Process not Found 1088 PING.EXE 3032 Process not Found 3032 Process not Found 2632 Process not Found 2140 Process not Found 3000 PING.EXE 2816 PING.EXE 2940 Process not Found 2916 PING.EXE 2976 Process not Found 1820 Process not Found 1748 Process not Found 1752 Process not Found 2776 Process not Found 2660 Process not Found 2320 Process not Found 2136 Process not Found 1656 Process not Found 1928 Process not Found 452 Process not Found 1304 Process not Found 1800 Process not Found -
Checks processor information in registry 2 TTPs 64 IoCs
Processor information is often read in order to detect sandboxing environments.
description ioc Process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\VendorIdentifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key opened \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0 csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\Identifier csrrss.exe -
Enumerates system info in registry 2 TTPs 39 IoCs
description ioc Process Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe Key value queried \REGISTRY\MACHINE\HARDWARE\DESCRIPTION\System\Identifier csrrss.exe -
Runs ping.exe 1 TTPs 64 IoCs
pid Process 2996 Process not Found 2852 PING.EXE 2232 Process not Found 1752 Process not Found 2580 Process not Found 944 Process not Found 2080 Process not Found 1496 Process not Found 2228 Process not Found 2248 Process not Found 1056 Process not Found 1768 Process not Found 632 Process not Found 3032 Process not Found 2192 Process not Found 1820 Process not Found 2252 PING.EXE 2316 PING.EXE 1972 PING.EXE 2840 Process not Found 1108 Process not Found 1672 Process not Found 864 Process not Found 1316 PING.EXE 1760 PING.EXE 2028 Process not Found 2160 PING.EXE 984 PING.EXE 2284 Process not Found 2660 Process not Found 2192 PING.EXE 1816 Process not Found 1620 PING.EXE 3032 Process not Found 1744 PING.EXE 2212 PING.EXE 2828 Process not Found 1808 Process not Found 1736 Process not Found 2420 Process not Found 2984 Process not Found 2132 PING.EXE 2984 Process not Found 1548 PING.EXE 1980 Process not Found 2896 Process not Found 1108 Process not Found 2824 Process not Found 2604 Process not Found 2656 PING.EXE 1208 PING.EXE 2316 Process not Found 1456 Process not Found 2972 Process not Found 2080 Process not Found 2404 Process not Found 2924 Process not Found 2800 Process not Found 2752 Process not Found 2008 PING.EXE 2588 PING.EXE 264 Process not Found 2212 Process not Found 1224 Process not Found -
Suspicious use of AdjustPrivilegeToken 64 IoCs
description pid Process Token: SeIncreaseQuotaPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeSecurityPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeTakeOwnershipPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeLoadDriverPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeSystemProfilePrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeSystemtimePrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeProfSingleProcessPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeIncBasePriorityPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeCreatePagefilePrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeBackupPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeRestorePrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeShutdownPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeDebugPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeSystemEnvironmentPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeChangeNotifyPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeRemoteShutdownPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeUndockPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeManageVolumePrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeImpersonatePrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeCreateGlobalPrivilege 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: 33 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: 34 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: 35 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe Token: SeIncreaseQuotaPrivilege 2900 csrrss.exe Token: SeSecurityPrivilege 2900 csrrss.exe Token: SeTakeOwnershipPrivilege 2900 csrrss.exe Token: SeLoadDriverPrivilege 2900 csrrss.exe Token: SeSystemProfilePrivilege 2900 csrrss.exe Token: SeSystemtimePrivilege 2900 csrrss.exe Token: SeProfSingleProcessPrivilege 2900 csrrss.exe Token: SeIncBasePriorityPrivilege 2900 csrrss.exe Token: SeCreatePagefilePrivilege 2900 csrrss.exe Token: SeBackupPrivilege 2900 csrrss.exe Token: SeRestorePrivilege 2900 csrrss.exe Token: SeShutdownPrivilege 2900 csrrss.exe Token: SeDebugPrivilege 2900 csrrss.exe Token: SeSystemEnvironmentPrivilege 2900 csrrss.exe Token: SeChangeNotifyPrivilege 2900 csrrss.exe Token: SeRemoteShutdownPrivilege 2900 csrrss.exe Token: SeUndockPrivilege 2900 csrrss.exe Token: SeManageVolumePrivilege 2900 csrrss.exe Token: SeImpersonatePrivilege 2900 csrrss.exe Token: SeCreateGlobalPrivilege 2900 csrrss.exe Token: 33 2900 csrrss.exe Token: 34 2900 csrrss.exe Token: 35 2900 csrrss.exe Token: SeIncreaseQuotaPrivilege 3048 csrrss.exe Token: SeSecurityPrivilege 3048 csrrss.exe Token: SeTakeOwnershipPrivilege 3048 csrrss.exe Token: SeLoadDriverPrivilege 3048 csrrss.exe Token: SeSystemProfilePrivilege 3048 csrrss.exe Token: SeSystemtimePrivilege 3048 csrrss.exe Token: SeProfSingleProcessPrivilege 3048 csrrss.exe Token: SeIncBasePriorityPrivilege 3048 csrrss.exe Token: SeCreatePagefilePrivilege 3048 csrrss.exe Token: SeBackupPrivilege 3048 csrrss.exe Token: SeRestorePrivilege 3048 csrrss.exe Token: SeShutdownPrivilege 3048 csrrss.exe Token: SeDebugPrivilege 3048 csrrss.exe Token: SeSystemEnvironmentPrivilege 3048 csrrss.exe Token: SeChangeNotifyPrivilege 3048 csrrss.exe Token: SeRemoteShutdownPrivilege 3048 csrrss.exe Token: SeUndockPrivilege 3048 csrrss.exe Token: SeManageVolumePrivilege 3048 csrrss.exe -
Suspicious use of WriteProcessMemory 64 IoCs
description pid Process procid_target PID 2044 wrote to memory of 2900 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 30 PID 2044 wrote to memory of 2900 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 30 PID 2044 wrote to memory of 2900 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 30 PID 2044 wrote to memory of 2900 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 30 PID 2044 wrote to memory of 2160 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 31 PID 2044 wrote to memory of 2160 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 31 PID 2044 wrote to memory of 2160 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 31 PID 2044 wrote to memory of 2160 2044 JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe 31 PID 2900 wrote to memory of 3048 2900 csrrss.exe 34 PID 2900 wrote to memory of 3048 2900 csrrss.exe 34 PID 2900 wrote to memory of 3048 2900 csrrss.exe 34 PID 2900 wrote to memory of 3048 2900 csrrss.exe 34 PID 2160 wrote to memory of 3052 2160 cmd.exe 33 PID 2160 wrote to memory of 3052 2160 cmd.exe 33 PID 2160 wrote to memory of 3052 2160 cmd.exe 33 PID 2160 wrote to memory of 3052 2160 cmd.exe 33 PID 2900 wrote to memory of 3040 2900 csrrss.exe 35 PID 2900 wrote to memory of 3040 2900 csrrss.exe 35 PID 2900 wrote to memory of 3040 2900 csrrss.exe 35 PID 2900 wrote to memory of 3040 2900 csrrss.exe 35 PID 3048 wrote to memory of 2848 3048 csrrss.exe 205 PID 3048 wrote to memory of 2848 3048 csrrss.exe 205 PID 3048 wrote to memory of 2848 3048 csrrss.exe 205 PID 3048 wrote to memory of 2848 3048 csrrss.exe 205 PID 3040 wrote to memory of 2536 3040 cmd.exe 39 PID 3040 wrote to memory of 2536 3040 cmd.exe 39 PID 3040 wrote to memory of 2536 3040 cmd.exe 39 PID 3040 wrote to memory of 2536 3040 cmd.exe 39 PID 3048 wrote to memory of 2828 3048 csrrss.exe 38 PID 3048 wrote to memory of 2828 3048 csrrss.exe 38 PID 3048 wrote to memory of 2828 3048 csrrss.exe 38 PID 3048 wrote to memory of 2828 3048 csrrss.exe 38 PID 2828 wrote to memory of 264 2828 cmd.exe 41 PID 2828 wrote to memory of 264 2828 cmd.exe 41 PID 2828 wrote to memory of 264 2828 cmd.exe 41 PID 2828 wrote to memory of 264 2828 cmd.exe 41 PID 2848 wrote to memory of 1692 2848 csrrss.exe 323 PID 2848 wrote to memory of 1692 2848 csrrss.exe 323 PID 2848 wrote to memory of 1692 2848 csrrss.exe 323 PID 2848 wrote to memory of 1692 2848 csrrss.exe 323 PID 2848 wrote to memory of 2904 2848 csrrss.exe 185 PID 2848 wrote to memory of 2904 2848 csrrss.exe 185 PID 2848 wrote to memory of 2904 2848 csrrss.exe 185 PID 2848 wrote to memory of 2904 2848 csrrss.exe 185 PID 2904 wrote to memory of 3028 2904 cmd.exe 359 PID 2904 wrote to memory of 3028 2904 cmd.exe 359 PID 2904 wrote to memory of 3028 2904 cmd.exe 359 PID 2904 wrote to memory of 3028 2904 cmd.exe 359 PID 1692 wrote to memory of 2136 1692 csrrss.exe 46 PID 1692 wrote to memory of 2136 1692 csrrss.exe 46 PID 1692 wrote to memory of 2136 1692 csrrss.exe 46 PID 1692 wrote to memory of 2136 1692 csrrss.exe 46 PID 1692 wrote to memory of 2560 1692 csrrss.exe 260 PID 1692 wrote to memory of 2560 1692 csrrss.exe 260 PID 1692 wrote to memory of 2560 1692 csrrss.exe 260 PID 1692 wrote to memory of 2560 1692 csrrss.exe 260 PID 2560 wrote to memory of 452 2560 cmd.exe 278 PID 2560 wrote to memory of 452 2560 cmd.exe 278 PID 2560 wrote to memory of 452 2560 cmd.exe 278 PID 2560 wrote to memory of 452 2560 cmd.exe 278 PID 2136 wrote to memory of 608 2136 csrrss.exe 357 PID 2136 wrote to memory of 608 2136 csrrss.exe 357 PID 2136 wrote to memory of 608 2136 csrrss.exe 357 PID 2136 wrote to memory of 608 2136 csrrss.exe 357
Processes
-
C:\Users\Admin\AppData\Local\Temp\JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe"C:\Users\Admin\AppData\Local\Temp\JaffaCakes118_4e080269a6ad6d33e0be247a7fb42024.exe"1⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2044 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"2⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Enumerates system info in registry
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:2900 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"3⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:3048 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"4⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious use of WriteProcessMemory
PID:2848 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"5⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious use of WriteProcessMemory
PID:1692 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"6⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
- Suspicious use of WriteProcessMemory
PID:2136 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"7⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:608 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"8⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2352 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"9⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2476 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"10⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:912 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"11⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:1788 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"12⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Checks processor information in registry
- Enumerates system info in registry
PID:1708 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"13⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:1748 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"14⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:1236 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"15⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:760 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"16⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Checks processor information in registry
- Enumerates system info in registry
PID:2920 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"17⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2792 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"18⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:1352 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"19⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2352 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"20⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2980 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"21⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2072 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"22⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Checks processor information in registry
- Enumerates system info in registry
PID:2340 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"23⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Enumerates system info in registry
PID:2560 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"24⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2636 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"25⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:3032 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"26⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:112 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"27⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2644 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"28⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:1152 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"29⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Checks processor information in registry
- Enumerates system info in registry
PID:2432 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"30⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:2856 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"31⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2440 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"32⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Loads dropped DLL
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:3012 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"33⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2508 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"34⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2988 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"35⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Checks processor information in registry
- Enumerates system info in registry
PID:1084 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"36⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:576 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"37⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2924 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"38⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:1956 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"39⤵
- Modifies WinLogon for persistence
- Checks BIOS information in registry
- Executes dropped EXE
- Adds Run key to start application
- Drops file in System32 directory
- Checks processor information in registry
- Enumerates system info in registry
PID:2400 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"40⤵
- Executes dropped EXE
PID:1420 -
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"41⤵PID:2904
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"42⤵PID:760
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"43⤵PID:944
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"44⤵PID:2844
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"45⤵PID:2452
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"46⤵PID:1952
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"47⤵PID:2444
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"48⤵PID:1132
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"49⤵PID:624
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"50⤵PID:2924
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"51⤵PID:1960
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"52⤵PID:1760
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"53⤵PID:888
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"54⤵PID:1804
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"55⤵PID:2004
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"56⤵PID:3008
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"57⤵PID:2476
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"58⤵PID:1968
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"59⤵PID:2344
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"60⤵PID:1700
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"61⤵PID:2260
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"62⤵PID:2924
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"63⤵PID:3016
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"64⤵PID:2200
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"65⤵PID:2208
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"66⤵PID:2764
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"67⤵PID:3048
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"68⤵PID:2148
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"69⤵PID:1524
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"70⤵PID:2376
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"71⤵PID:2480
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"72⤵PID:1128
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"73⤵PID:3040
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"74⤵PID:2760
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"75⤵PID:2252
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"76⤵PID:1692
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"77⤵PID:2664
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"78⤵PID:1808
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"79⤵PID:2212
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"80⤵PID:2220
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"81⤵PID:1056
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"82⤵PID:2412
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"83⤵PID:2672
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"84⤵PID:2468
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"85⤵PID:2008
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"86⤵PID:112
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"87⤵PID:696
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"88⤵PID:2496
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"89⤵PID:2516
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"90⤵PID:904
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"91⤵PID:276
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"92⤵PID:1040
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"93⤵PID:680
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"94⤵PID:3012
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"95⤵PID:2268
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"96⤵PID:2064
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"97⤵PID:668
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"98⤵PID:2288
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"99⤵PID:2180
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"100⤵PID:2764
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"101⤵PID:1868
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"102⤵PID:2732
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"103⤵PID:1564
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"104⤵PID:2060
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"105⤵PID:2532
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"106⤵PID:2412
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"107⤵PID:3052
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"108⤵PID:1660
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"109⤵PID:2348
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"110⤵PID:2464
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"111⤵PID:2184
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"112⤵PID:2884
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"113⤵PID:1408
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"114⤵PID:1496
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"115⤵PID:2160
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"116⤵PID:2224
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"117⤵PID:2044
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"118⤵PID:2284
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"119⤵PID:2480
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"120⤵PID:1836
-
C:\Windows\SysWOW64\Windupdt\csrrss.exe"C:\Windows\system32\Windupdt\csrrss.exe"121⤵PID:2352
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-