cybergate | e92e13c6de91ae52ee2895adbaca43cb6d81f91768112fa2aff1444e65ac4b60

Analysis

max time kernel
150s
max time network
133s
platform
windows10-2004_x64
resource
win10v2004-20250314-en
resource tags

arch:x64arch:x86image:win10v2004-20250314-enlocale:en-usos:windows10-2004-x64system
submitted
07/04/2025, 06:05

Sharing

Copy URL

Twitter E-mail

Report Analysis Logs

General

Target

JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
Size

761KB
MD5

9e2269f28cab495912ef7dc83282dde0
SHA1

36b48ed76949bc612f1ad0d9e2b7193aa314bab4
SHA256

e92e13c6de91ae52ee2895adbaca43cb6d81f91768112fa2aff1444e65ac4b60
SHA512

1ccb5c900b71844dd4b6778f368fbaa18723b514dd0cd8ae94e7a1ae7a50dbb94403b1c2f518b7263dc292e7684e2db761aff1e36172e1fa7587acbbc33a99b2
SSDEEP

12288:SbmS3mfFxUtca6I4Dyfp0kTxpNjyhg8V9orVgI3SArjUnVS3lGl/ccfmp:AmS2fkcm/B0kThjy+8Mf3XiZl0cs

Score

10^/10

cybergate cyber discovery persistence stealer trojan upx

Malware Config

Extracted

Family

cybergate

Version

v1.07.5

Botnet

Cyber

nickwilging.no-ip.info:100

Mutex

7GF6YX038A4WG2

Attributes

enable_keylogger
true
enable_message_box
false
ftp_directory
./logs/
ftp_interval
30
injected_process
explorer.exe
install_dir
WinDir
install_file
Svchost.exe
install_flag
true
keylogger_enable_ftp
false
message_box_caption
Remote Administration anywhere in the world.
message_box_title
CyberGate
password
123456
regkey_hkcu
HKCU
regkey_hklm
HKLM

Signatures

CyberGate, Rebhip
CyberGate is a lightweight remote administration tool with a wide array of functionalities.
trojan stealer cybergate
Cybergate family
cybergate

Checks computer location settings 2 TTPs 3 IoCs

Looks up country code configured in the registry, likely geofence.

Query Registry

T1012

System Information Discovery

T1082

description	ioc	Process
Key value queried	\REGISTRY\USER\S-1-5-21-1062200478-553497403-3857448183-1000\Control Panel\International\Geo\Nation	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
Key value queried	\REGISTRY\USER\S-1-5-21-1062200478-553497403-3857448183-1000\Control Panel\International\Geo\Nation	winlogon.exe
Key value queried	\REGISTRY\USER\S-1-5-21-1062200478-553497403-3857448183-1000\Control Panel\International\Geo\Nation	Zp65S.exe

Executes dropped EXE 5 IoCs

pid	Process
1364	winlogon.exe
5692	Zp65S.exe
4456	Zp65S.exe
4796	winlogon.exe
4808	Zp65S.exe

Uses the VBS compiler for execution 1 TTPs

Command and Scripting Interpreter
T1059

Adds Run key to start application 2 TTPs 3 IoCs

persistence

Registry Run Keys / Startup Folder

T1547.001

Modify Registry

T1112

description	ioc	Process
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\winlogon.exe = "C:\\Users\\Admin\\AppData\\Roaming\\Microsoft\\System\\Services\\winlogon.exe"	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\winlogon.exe = "C:\\Users\\Admin\\AppData\\Roaming\\Microsoft\\System\\Services\\winlogon.exe"	winlogon.exe
Set value (str)	\REGISTRY\MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\winlogon.exe = "C:\\Users\\Admin\\AppData\\Roaming\\Microsoft\\System\\Services\\winlogon.exe"	Zp65S.exe

Drops file in System32 directory 3 IoCs

description	ioc	Process
File created	C:\Windows\SysWOW64\Zp65S.exe	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
File created	C:\Windows\SysWOW64\Zp65S.exe	winlogon.exe
File created	C:\Windows\SysWOW64\Zp65S.exe	Zp65S.exe

UPX packed file 2 IoCs

Detects executables packed with UPX/modified UPX open source packer.

upx

resource	yara_rule
behavioral1/memory/13484-209-0x00000000109F0000-0x0000000010A55000-memory.dmp	upx
behavioral1/memory/13484-213-0x0000000010410000-0x0000000010475000-memory.dmp	upx

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Program crash 29 IoCs

pid	pid_target	Process	procid_target
13844	13116	WerFault.exe	630
10268	9480	WerFault.exe
7756	11016	WerFault.exe	1173
4812	9808	WerFault.exe	1488
7780	11140	WerFault.exe
1244	3164	Process not Found
7584	2716	Process not Found	1401
6468	6960	Process not Found
6264	372	WerFault.exe
10724	10848	Process not Found
14144	11096	Process not Found	1093
11152	14084	Process not Found	1583
9636	14124	Process not Found	1571
6564	13336	Process not Found	1595
13260	14200	Process not Found	1722
4120	6720	Process not Found	1791
8172	11092	Process not Found	1780
4124	7028	Process not Found
7588	9000	Process not Found
13196	9368	Process not Found	1362
9744	7860	Process not Found	2793
3452	4468	Process not Found	1952
8080	10740	Process not Found	2897
13624	3492	Process not Found	2894
1792	14144	Process not Found	2536
4840	5256	Process not Found	2899
12240	1372	Process not Found	2981
13192	8876	Process not Found	2982
1416	11416	Process not Found	3059

System Location Discovery: System Language Discovery 1 TTPs 6 IoCs

Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

discovery

System Language Discovery

T1614.001

description	ioc	Process
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Zp65S.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Zp65S.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	winlogon.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Zp65S.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	winlogon.exe

Suspicious behavior: EnumeratesProcesses 18 IoCs

pid	Process
3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
1364	winlogon.exe
1364	winlogon.exe
1364	winlogon.exe
1364	winlogon.exe
1364	winlogon.exe
1364	winlogon.exe
5692	Zp65S.exe
5692	Zp65S.exe
5692	Zp65S.exe
5692	Zp65S.exe
5692	Zp65S.exe
5692	Zp65S.exe

Suspicious use of AdjustPrivilegeToken 3 IoCs

description	pid	Process
Token: SeDebugPrivilege	3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
Token: SeDebugPrivilege	1364	winlogon.exe
Token: SeDebugPrivilege	5692	Zp65S.exe

Suspicious use of WriteProcessMemory 15 IoCs

description	pid	Process	procid_target
PID 5128 wrote to memory of 1364	5128	cmd.exe	90
PID 5128 wrote to memory of 1364	5128	cmd.exe	90
PID 5128 wrote to memory of 1364	5128	cmd.exe	90
PID 3988 wrote to memory of 5692	3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe	91
PID 3988 wrote to memory of 5692	3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe	91
PID 3988 wrote to memory of 5692	3988	JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe	91
PID 1364 wrote to memory of 4456	1364	winlogon.exe	95
PID 1364 wrote to memory of 4456	1364	winlogon.exe	95
PID 1364 wrote to memory of 4456	1364	winlogon.exe	95
PID 1504 wrote to memory of 4796	1504	cmd.exe	1658
PID 1504 wrote to memory of 4796	1504	cmd.exe	1658
PID 1504 wrote to memory of 4796	1504	cmd.exe	1658
PID 5692 wrote to memory of 4808	5692	Zp65S.exe	229
PID 5692 wrote to memory of 4808	5692	Zp65S.exe	229
PID 5692 wrote to memory of 4808	5692	Zp65S.exe	229

C:\Users\Admin\AppData\Local\Temp\JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe
"C:\Users\Admin\AppData\Local\Temp\JaffaCakes118_9e2269f28cab495912ef7dc83282dde0.exe"
1⤵
- Checks computer location settings
- Adds Run key to start application
- Drops file in System32 directory
- System Location Discovery: System Language Discovery
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
PID:3988
- C:\Windows\SysWOW64\Zp65S.exe
  "C:\Windows\System32\Zp65S.exe"
  2⤵
  - Checks computer location settings
  - Executes dropped EXE
  - Adds Run key to start application
  - Drops file in System32 directory
  - System Location Discovery: System Language Discovery
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  - Suspicious use of WriteProcessMemory
  PID:5692
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    - Executes dropped EXE
    - System Location Discovery: System Language Discovery
    PID:4808
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:2844
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:1632
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:3716
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:3080
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:4392
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:6664
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        10⤵
        
        PID:7008
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        11⤵
        
        PID:12688
        
        C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 812
        12⤵
        
        PID:13084

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
- Suspicious use of WriteProcessMemory
PID:5128
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  - Checks computer location settings
  - Executes dropped EXE
  - Adds Run key to start application
  - Drops file in System32 directory
  - System Location Discovery: System Language Discovery
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  - Suspicious use of WriteProcessMemory
  PID:1364
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    - Executes dropped EXE
    - System Location Discovery: System Language Discovery
    PID:4456
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4760
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:3524
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:1076
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:6024
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:5484
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:7576
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        10⤵
        
        PID:11056
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        11⤵
        
        PID:7252

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5632
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1780
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6096
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6028
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:3980
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:5928
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:2440
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:1060
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:9388
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        10⤵
        
        PID:9180
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        11⤵
        
        PID:736
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        12⤵
        
        PID:7980

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
- Suspicious use of WriteProcessMemory
PID:1504
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  - Executes dropped EXE
  - System Location Discovery: System Language Discovery
  PID:4796
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4772
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5324
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:3720
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:4600
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:2228
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:6832
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:8836
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        10⤵
        
        PID:12544

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1324
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3804
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:1260
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4776
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:3056
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:6840
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:9640
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:6856
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:6900

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6140
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3712
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6116
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:2088
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:5820
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:7188
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:3676
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:1776

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4680
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1592
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2232
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4056
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:4596
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:1412
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:10144
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:8532
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:13620
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        10⤵
        
        PID:12776

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4828
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2044
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:784
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:1468
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:5700
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:5664
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:9296
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:1936
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        9⤵
        
        PID:12456

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4812
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5416
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:1408
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:1808
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:7660
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:6776
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:10528

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1624
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5256
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:5352
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:2408
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:4184
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:3016
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:14156
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        8⤵
        
        PID:6304

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1368
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:764
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3716
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6568
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:5236
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:13232

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2392
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5884
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4960
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5208
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:7596
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:10984
        
        C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 1044
        7⤵
        
        PID:3572

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2948
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2896
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2044
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4892
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:6856
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:8588
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:1812

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5320
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2964
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7604
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10968
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:12596
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:760
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:8964

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4976
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4252
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3512
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6580
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:5784
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:5104

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1736
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5324
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:1468
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8884

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2524
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4368
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7644
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:11960
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:5676
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:12476
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:1064

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5312
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3300
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6672
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:1928
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:11932
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:8224
        
        C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 1048
        7⤵
        
        PID:7060

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5856
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4568
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6820
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8512
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:2612

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1264
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6020
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6848
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8596
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:2776

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4152
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3676
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8088
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5696
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:10596
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:7424

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3028
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2344
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2596
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4836
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:13816
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:8208
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:8644

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2900
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1928
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4132
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6560
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:8648
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:13604

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5424
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5824
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7588
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7456
    - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 1320
        5⤵
        
        PID:2520

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5644
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2588
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7652
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7396
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:13792
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:7416
        
        C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        7⤵
        
        PID:4544

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4508
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6252
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8160
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8008
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:10760
      - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 1468
        6⤵
        
        PID:14076

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4556
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6336
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8128
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:11528

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4780
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2396
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3992
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5552
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:11372
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:14312

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5896
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7356
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3136
  - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
      dw20.exe -x -s 1072
      4⤵
      PID:13068

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3376
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6480
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:9648

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5632
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4728
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7668

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5432
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6484
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11064
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:3804
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:12316
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:12660

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4100
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8068
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7600
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:3512
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:9264
      - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        6⤵
        
        PID:7420

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2764
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6272
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4364
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7964
    - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 1320
        5⤵
        
        PID:10764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5328
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7248
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7200

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3424
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3444
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:9076

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1236
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6916
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4124
  - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
      dw20.exe -x -s 996
      4⤵
      PID:10156

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:392
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2588
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2596
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5976
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:13808

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1656
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6596
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11392
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:468
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:10976

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6140
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6468
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8372

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2520
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7560
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10608
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6892

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1992
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5204
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4904
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4696
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:1192

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3004
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6868
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10136
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7300
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:6248

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1092
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1600

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1740
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2176
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2632
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:9676
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:8244

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5712
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5700
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4616
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:2668

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3520
- C:\Windows\System32\Conhost.exe
  \??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV1
  2⤵
  PID:4808
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7880
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6708

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5536
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6656
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2800

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2832
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9144
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:1120
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:9372
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:7960

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4500
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8716
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12984
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:13848
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:8764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2340
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8996
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11212

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4740
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7836

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1632
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6464
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:5600
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:1312
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:6600

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5308
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8792
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8940
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:12784

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2700
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4424
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14176
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6196
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:9420

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4420
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8976
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3980
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:13604
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:11112

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4356
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7800
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14232
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6084

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3860
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7444
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14184
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4120
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:11652

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6160
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7260
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14168
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:12448
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:13140

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6364
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7540
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14144
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:2544
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:4216

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6420
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7096
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14220
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:13704
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:924

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6492
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9668
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13484
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:9692
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:7552

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6720
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9684
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10328
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10344
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:10044

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6756
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9676
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12760
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:13224

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6768
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9532

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7120
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10900
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12260
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:11568
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:9368

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7152
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10776
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7096
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7000
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:8612

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3476
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9524
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:884
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:1076
    - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\vbc.exe
        
        C:\Windows\Microsoft.NET\Framework\v2.0.50727\vbc.exe
        5⤵
        
        PID:13484
      - C:\Windows\SysWOW64\explorer.exe
        
        explorer.exe
        6⤵
        
        PID:6344
      - C:\Program Files\Internet Explorer\iexplore.exe
        
        "C:\Program Files\Internet Explorer\iexplore.exe"
        6⤵
        
        PID:7728
      - C:\Windows\Microsoft.NET\Framework\v2.0.50727\vbc.exe
        
        "C:\Windows\Microsoft.NET\Framework\v2.0.50727\vbc.exe"
        6⤵
        
        PID:7396

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5796
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10668

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1868
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10728
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3016
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:14104
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:13844

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5192
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10660
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8336
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10072
    - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 848
        5⤵
        
        PID:10824

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5928
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10600
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14192

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1672
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8412
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8924
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6964
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:12428

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6992
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10472
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:14164

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4392
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10736
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:1492
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7932

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3108
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10960
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11560

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:64
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10784
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12488
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5664
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:11140
      - C:\Windows\SysWOW64\WerFault.exe
        
        C:\Windows\SysWOW64\WerFault.exe -u -p 11140 -s 196
        6⤵
        Program crash
        
        PID:7780

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6304
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8216
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12608
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7548

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7376
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10592
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7632
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:3624
    - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
        
        dw20.exe -x -s 808
        5⤵
        
        PID:3572

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7620
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8300
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 1048
    3⤵
    PID:1064

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7636
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11228
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7540
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8396

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7688
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1784

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7900
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8316
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8992
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:13860

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7956
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11684
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11768
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10072

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8184
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11824
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11496
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10200

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1612
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11468
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10428
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10188

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2012
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6840
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13796

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6908
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11676
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13832
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6240
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:3712

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1708
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11452
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7580
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8404

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5812
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7508
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11012
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7112
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:8408

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6192
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11376
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3140
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:12096
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:11540

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1528
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7884
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13776
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:7340

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4040
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11360

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4796
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11204
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3136

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2544
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10628
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7572
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:12480
    - - C:\Windows\SysWOW64\Zp65S.exe
        
        "C:\Windows\System32\Zp65S.exe"
        5⤵
        
        PID:5008

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8208
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11440
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3872
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:10952

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8352
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11812

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8492
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11692

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8500
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11460
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11348
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:5868

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8628
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11668
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 1072
    3⤵
    PID:13408

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8640
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12984

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9052
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12976

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9168
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13156

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6264
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13116
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 13116 -s 296
    3⤵
    - Program crash
    PID:13844

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5460

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4704
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12900

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7100
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10492
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12108
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:9148

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6712
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12968

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9048
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12992

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3512
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8796

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4864
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1992
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6896

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6344
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9004
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 848
    3⤵
    PID:13768

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9264
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8560

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9304
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13200

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9356
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10856

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9788
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11104
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 868
    3⤵
    PID:13888

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9892
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6988

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9980
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8704
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3376
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:8760

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10064
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2988

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10224
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10540

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4784
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12600
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 876
    3⤵
    PID:13436
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12544
  - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
      dw20.exe -x -s 808
      4⤵
      PID:10964

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4020
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8688

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3604
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11132
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 784
    3⤵
    PID:13832

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7204
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8544

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:768
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9620

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6248
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8692

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2436
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7196

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9996
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12800

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8228
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9140

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10820
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13808
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:4596
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:9928

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10844

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10936

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11008
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5236

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11048
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5720

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11092
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13548

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11212

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2624
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13536
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 792
    3⤵
    PID:13800

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3140
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5108

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7728
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2588
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:5896
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:13116

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7660
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13452

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9208
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7032
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11184
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:348

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11312
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1756

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11368

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11384
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3364
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7192
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:400

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11748
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4592
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2624
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:12640

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11864
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4968
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11256
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:6732

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12100
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4540
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8036
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:3428

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12224

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1368
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5712
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10448

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5760
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9428
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:9280
  - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
      dw20.exe -x -s 808
      4⤵
      PID:14252

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2980
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9352
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13504

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:216

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12364
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2648
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6892
  - - C:\Windows\SysWOW64\Zp65S.exe
      "C:\Windows\System32\Zp65S.exe"
      4⤵
      PID:4020

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12396

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12412
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10332

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12492
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:388
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:1644

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12500

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12508

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12592

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12628

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12680
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13344

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12828

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12888

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13012

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12912
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12272
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13468
  - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
      dw20.exe -x -s 1072
      4⤵
      PID:6244

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13024

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13100
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6496
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7516

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13240

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2424
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12040

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2724

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13300
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1740

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12520
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3716
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11228

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12880

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5860
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12676

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9964

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6116

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3148

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3944

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10620

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4496

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13336

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13512
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11120
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10968

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 664 -p 13116 -ip 13116
1⤵
PID:13916

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14040
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5716

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14204
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8680

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14296
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7144
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:6756

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10192
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11984
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7048

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10496
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10164

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 808 -p 10540 -ip 10540
1⤵
PID:6744

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 832 -p 8692 -ip 8692
1⤵
PID:9804

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9064
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1860

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8652
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7344

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13332
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13964

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9616
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1808

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8544
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10016
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11068

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11692
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4580
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:13864

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10052
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13628
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 1044
    3⤵
    PID:13316

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6152
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4720
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11728

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6864
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12300

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7664
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8880
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:436

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8040
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6848

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10264
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7960

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4856
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7852

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5608
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2644

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13576

C:\Windows\system32\dwm.exe
"dwm.exe"
1⤵
PID:3508

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11124
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12120
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7016

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9768
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13040
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 760
    3⤵
    PID:12460

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12992
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12228
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:5236

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4544
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:2104
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3860

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5792

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13932
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11136

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13688
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6352

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6668

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8492
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12268

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9816
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4504
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 924
    3⤵
    PID:12668
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3584

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6904
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12556
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7768

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9592

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7516
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6344
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 784
    3⤵
    PID:13556

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7288
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11704

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13828
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5644
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 916
    3⤵
    PID:12148
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:3936

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3428

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13744
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4368

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5692

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6280

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3860

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11760

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3992

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13004
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11440
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:9048

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13096
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5924

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10748
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7948

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4828

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6732

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8996
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12028
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 804
    3⤵
    PID:4936

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7780

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7740
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4576

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1848
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12292
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 796
    3⤵
    PID:936

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10780
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10252

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:400
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11092

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8700

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10224
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5664

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14012

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11640

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11636
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11608

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8028

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13680
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11016
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 11016 -s 152
    3⤵
    - Program crash
    PID:7756

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4472

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12060
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13752

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:704
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10184
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:964

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8944
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10352

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12440

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6832
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12052

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11840

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9164

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10272
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11208
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8332

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1420
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11480

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8316
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13452

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12188

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10148

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10200
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9480
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 9480 -s 192
    3⤵
    - Program crash
    PID:10268

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11824

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6824

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2344
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9068

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12312

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8580

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8184
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11364

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8256
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4540
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8124

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5012

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13176
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10656
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:10512

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5600
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9268
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:9348

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6320
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8768
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:2716

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8980
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5920

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9172
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11548
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:8552

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1140

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8820

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7776

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3772
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8876
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:11276

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5980
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13584

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13548
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6920
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:5100

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10396

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13464

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9948

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3220

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13788
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10760
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:9764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:824

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8108
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:7252
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:12780

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9360

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8876

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13184

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9888

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11208

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11940

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12788

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12784
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10712

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7696

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2396

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2164

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12056

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1236

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8120

C:\Windows\system32\dwm.exe
"dwm.exe"
1⤵
PID:1736

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3160

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6596
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:12552

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1644

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3524
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5424
- - C:\Windows\SysWOW64\Zp65S.exe
    "C:\Windows\System32\Zp65S.exe"
    3⤵
    PID:7900
  - - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
      dw20.exe -x -s 748
      4⤵
      PID:10868

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4008

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 664 -p 11016 -ip 11016
1⤵
PID:13812

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10044

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11340
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8416

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11224

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2164
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9116

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3672

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10396
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10792

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9072

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13444
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:3676

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6184
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:11408

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12240
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:5712

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5844
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:8008

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8384
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:6508

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12376
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13936

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1088
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:736

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4928
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:10940

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7952
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:13412

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13544
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:4844

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4932

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6464
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:372
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 372 -s 196
    3⤵
    - Program crash
    PID:6264

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4340

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12728

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10056

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6460

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11252
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:14224
- - C:\Windows\Microsoft.NET\Framework\v2.0.50727\dw20.exe
    dw20.exe -x -s 796
    3⤵
    PID:13216

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8960

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10700

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4320

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5184

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5548

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13052
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:9808
- - C:\Windows\SysWOW64\WerFault.exe
    C:\Windows\SysWOW64\WerFault.exe -u -p 9808 -s 216
    3⤵
    - Program crash
    PID:4812

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13384

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1092

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13896

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10488

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:532

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:1672

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11016

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4536

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13948

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11584

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8344

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8996

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12548

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8556

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4976

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6032

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9344

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2212

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4848

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5784

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11236

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7676

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3172
- C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
  2⤵
  PID:1968

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11708

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9600

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8584

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8208

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7144

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4696

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9444

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13128

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11736

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5832

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11784

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13700

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8888

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:944

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6432

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:6916

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14032

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13764

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12140

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13512

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14248

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:14028

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9772

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5924

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9516

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8336

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:3028

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12340

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10856

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11904

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10564

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:7444

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:11540

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8348

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:5436

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:10508

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 756 -p 9808 -ip 9808
1⤵
PID:5696

C:\Windows\SysWOW64\WerFault.exe
C:\Windows\SysWOW64\WerFault.exe -pss -s 740 -p 11140 -ip 11140
1⤵
PID:8820

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:9440

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:4416

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12820

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:8108

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:12952

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:2668

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe
1⤵
PID:13408

Network

MITRE ATT&CK Enterprise v15

Reconnaissance

Resource Development

Initial Access

Execution

Command and Scripting Interpreter

T1059

Persistence

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Privilege Escalation

Boot or Logon Autostart Execution

T1547

Registry Run Keys / Startup Folder

T1547.001

Defense Evasion

Modify Registry

T1112

Credential Access

Discovery

Query Registry

T1012

System Information Discovery

T1082

System Location Discovery

T1614

System Language Discovery

T1614.001

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

C:\Users\Admin\AppData\Local\Microsoft\CLR_v2.0_32\UsageLogs\winlogon.exe.log

Filesize
319B

MD5
824ba7b7eed8b900a98dd25129c4cd83

SHA1
54478770b2158000ef365591d42977cb854453a1

SHA256
d182dd648c92e41cd62dccc65f130c07f0a96c03b32f907c3d1218e9aa5bda03

SHA512
ae4f3a9673711ecb6cc5d06874c587341d5094803923b53b6e982278fa64549d7acf866de165e23750facd55da556b6794c0d32f129f4087529c73acd4ffb11e

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
8d628a55922db07d0e8bf7ac5a07ed92

SHA1
67c7deea65d43eb2d3698bec1c9da13c72df3f3a

SHA256
7c8fae92ed96eccf7c375e7f511f2fb6645c9d9d691a3c94335cc8bcc1d78ca8

SHA512
9dcb60a178dfb92187c00b9dd1843bdffcc20ec1cfb9c28d677df377a8b763cfe39f1fc93204e178c9e0df22def7793ed7d5e1faa2bf499ce13a6c649fdb7097

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
8437f7342c8a080b992cd1579f64c013

SHA1
5558a9a450b43a106cef2bd6d160c3583d66a9f6

SHA256
09ce0819e927d51baf4cb3bfe20e474c15f50d99207b2926ee377c4ac8d61e7c

SHA512
4223e7754300a86828f5c6407a06d8403f043eae5d9f148e468c75e670febd17d9a86f76dad568c4be46323b96c4d9e5cfb01943f34127385d57403c9a7a7d63

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
6abeee568888fb0570dd9107247a9fed

SHA1
f12672c57323db8e47ad9bd52d581d0b3b3c74fb

SHA256
6a1708855ee45a369fcefcbcd9b63f9bf1c2a1f6da3dae0c78dc3a0266bcafde

SHA512
fefa65646a1d52cb5ff9d157d8b18ed617df3c92fc577533a5d6d882185a5ef67692b2d97556d147bfa4a41b2f838f555e96f4cbf6b435403c554de0e8351af7

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
2da612a67ee0bd6860849e4d2532a974

SHA1
cba3f47b01641e6b5c09895b7a147ac22e77ba7c

SHA256
9ab6a0704ee949354839beb3c691e1f7069312efddd691eb43ac9701573500b7

SHA512
104fb2cbf367bd6bc0e10948a7ab3e9bf7b38ab98e3de39c9473085c944eff783fe0e23ff03bd113f3282527b577b9c984333c54fed123032d3b2a465bd43068

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
bb30595bd41889c4b2185e353842a7e8

SHA1
21895ab0b52b517c374e66060b9e6df0ab99ae9b

SHA256
9bd2ccf74f3752299a764838d6332e0a149797f7ea26fc21654070265e79edea

SHA512
2ac76c1a74423d174921f72367c1b5fef6a988c2a1a7d121a5ba11c0455175251021fb611ac86e94854af8d540e21eaa50ea9b123d7514211213253a5c40fe5a

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
eee4acfba9de700d90392bf371bfaa9d

SHA1
7af863565d4edcafee86ca368f1000efe27cb9db

SHA256
2912459ef9fae7f5d91cd05a2adafe5b2ec3cb8293a6b8583c93c836a9bf7fd2

SHA512
b563b3b30ef9c80961e2af5fc5e38ef58ad650f76788b28e794d5dd20bd378090e1fb92b0cabacee130052402d08e24f52d6e8de65508d62780a9d9d2b4c5497

Download Submit
C:\Users\Admin\AppData\Local\Temp\Admin7

Filesize
8B

MD5
7ae1716d7926a91902d064ddffde8c91

SHA1
b640047b93d2ec779e987e290311eaf3d8670c5d

SHA256
81066034f1acd1fd47f5dac593f4eafe7dc7851e1dbb94ae201749f1481ed081

SHA512
2df52b161ee8c5137ab755b70613c659f5e8b3428189fff57d7130a5356ae419b0e7cbaa1b8b132f308d7bf18dcb86bc22922127ab8918c6dd9646bdbd4ad1c5

Download Submit
C:\Users\Admin\AppData\Roaming\Adminlog.dat

Filesize
15B

MD5
bf3dba41023802cf6d3f8c5fd683a0c7

SHA1
466530987a347b68ef28faad238d7b50db8656a5

SHA256
4a8e75390856bf822f492f7f605ca0c21f1905172f6d3ef610162533c140507d

SHA512
fec60f447dcc90753d693014135e24814f6e8294f6c0f436bc59d892b24e91552108dba6cf5a6fa7c0421f6d290d1bafee9f9f2d95ea8c4c05c2ad0f7c1bb314

Download Submit
C:\Users\Admin\AppData\Roaming\Microsoft\System\Services\winlogon.exe

Filesize
761KB

MD5
9e2269f28cab495912ef7dc83282dde0

SHA1
36b48ed76949bc612f1ad0d9e2b7193aa314bab4

SHA256
e92e13c6de91ae52ee2895adbaca43cb6d81f91768112fa2aff1444e65ac4b60

SHA512
1ccb5c900b71844dd4b6778f368fbaa18723b514dd0cd8ae94e7a1ae7a50dbb94403b1c2f518b7263dc292e7684e2db761aff1e36172e1fa7587acbbc33a99b2

Download Submit
memory/1120-141-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/1364-26-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/1364-16-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/1364-17-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/1644-196-0x00007FF659C00000-0x00007FF659C67000-memory.dmp

Filesize
412KB

Download
memory/3988-0-0x0000000074FF2000-0x0000000074FF3000-memory.dmp

Filesize
4KB

Download
memory/3988-1-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/3988-2-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/3988-22-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/5692-23-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/5692-31-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/6344-215-0x0000000001130000-0x0000000001131000-memory.dmp

Filesize
4KB

Download
memory/6344-214-0x0000000001070000-0x0000000001071000-memory.dmp

Filesize
4KB

Download
memory/7948-191-0x00000000758E0000-0x0000000075AF5000-memory.dmp

Filesize
2.1MB

Download
memory/8820-157-0x00007FF659C00000-0x00007FF659C67000-memory.dmp

Filesize
412KB

Download
memory/9360-188-0x00007FF659C00000-0x00007FF659C67000-memory.dmp

Filesize
412KB

Download
memory/10620-108-0x00007FF659C00000-0x00007FF659C67000-memory.dmp

Filesize
412KB

Download
memory/12676-156-0x0000000074FF0000-0x00000000755A1000-memory.dmp

Filesize
5.7MB

Download
memory/13484-209-0x00000000109F0000-0x0000000010A55000-memory.dmp

Filesize
404KB

Download
memory/13484-213-0x0000000010410000-0x0000000010475000-memory.dmp

Filesize
404KB

Download
memory/13484-201-0x0000000000400000-0x0000000000451000-memory.dmp

Filesize
324KB

Download
memory/13484-202-0x0000000000400000-0x0000000000451000-memory.dmp

Filesize
324KB

Download