34b48775afef7bda8ffdff930f367e935a9a0c64741b7efc3e2e2883980826b0

Analysis

max time kernel
147s
max time network
132s
platform
windows11-ltsc_2024_x64
resource
win11ltsc2024-20260709-en
resource tags

arch:x64arch:x86image:win11ltsc2024-20260709-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows
submitted
12/07/2026, 11:36

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
yo.bat
Size 890B
Sample260712-nq4eysay81
SHA256 34b48775afef7bda8ffdff930f367e935a9a0c64741b7efc3e2e2883980826b0
MD5 dc8b8e7db2d26bb949ee281a78ccc3f5
SHA1 250bedc9e5bd720fde2647807a98cb15fa57e873
SHA512 aefbd3a6570c729b94801f7c896466c7564296849cbc6560d6f12a52dd48ffca213dcb9c08683896f4b5129b693410eb0d366691ccdf3a1e71fed6e6233922e9
TLSH
T11D11492E7C1590494EE50CD90D393361F04250AB4F555EC1B6A6A47D2D07FD6B274149
MD5 SHA1 SHA512 TLSH

Score

8^/10

defense_evasion execution

Malware Config

Signatures

Badlisted process makes network request 2 IoCs

Network request originating from process or tool commonly abused by malware.

flow	pid	Process
2	3416	powershell.exe
3	3280	powershell.exe

Looks up external IP address via web service 4 IoCs

Uses a legitimate IP lookup service to find the infected system's external IP.

flow	ioc
1	api.ipify.org
1	api64.ipify.org
2	api.ipify.org
3	api64.ipify.org

Command and Scripting Interpreter: PowerShell 1 TTPs 2 IoCs

Using powershell.exe command.

execution

PowerShell

T1059.001

pid	Process
3416	powershell.exe
3280	powershell.exe

Delays execution with timeout.exe 1 IoCs

defense_evasion

pid	Process
3340	timeout.exe

Suspicious behavior: EnumeratesProcesses 4 IoCs

pid	Process
3416	powershell.exe
3416	powershell.exe
3280	powershell.exe
3280	powershell.exe

Suspicious use of AdjustPrivilegeToken 2 IoCs

description	pid	Process
Token: SeDebugPrivilege	3416	powershell.exe
Token: SeDebugPrivilege	3280	powershell.exe

Suspicious use of WriteProcessMemory 16 IoCs

description	pid	Process	procid_target
PID 2324 wrote to memory of 3416	2324	cmd.exe	88
PID 2324 wrote to memory of 3280	2324	cmd.exe	89
PID 2324 wrote to memory of 3340	2324	cmd.exe	90
PID 2324 wrote to memory of 4920	2324	cmd.exe	91
PID 2324 wrote to memory of 5668	2324	cmd.exe	92
PID 2324 wrote to memory of 1368	2324	cmd.exe	93
PID 2324 wrote to memory of 4388	2324	cmd.exe	94
PID 2324 wrote to memory of 5264	2324	cmd.exe	95
PID 2324 wrote to memory of 1164	2324	cmd.exe	96
PID 2324 wrote to memory of 2068	2324	cmd.exe	97
PID 2324 wrote to memory of 5980	2324	cmd.exe	98
PID 2324 wrote to memory of 6004	2324	cmd.exe	99
PID 2324 wrote to memory of 4760	2324	cmd.exe	100
PID 2324 wrote to memory of 2828	2324	cmd.exe	101
PID 2324 wrote to memory of 4868	2324	cmd.exe	102
PID 2324 wrote to memory of 5984	2324	cmd.exe	103

C:\Windows\system32\cmd.exe
C:\Windows\system32\cmd.exe /c "C:\Users\Admin\AppData\Local\Temp\yo.bat"
1⤵
- Suspicious use of WriteProcessMemory
PID:2324
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell -NoProfile -Command "(Invoke-RestMethod 'https://api.ipify.org')"
  2⤵
  - Badlisted process makes network request
  - Command and Scripting Interpreter: PowerShell
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  PID:3416
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell -NoProfile -Command "try { (Invoke-RestMethod 'https://api64.ipify.org') } catch { 'No IPv6 detected.' }"
  2⤵
  - Badlisted process makes network request
  - Command and Scripting Interpreter: PowerShell
  - Suspicious behavior: EnumeratesProcesses
  - Suspicious use of AdjustPrivilegeToken
  PID:3280
- C:\Windows\system32\timeout.exe
  timeout /t 2
  2⤵
  - Delays execution with timeout.exe
  PID:3340
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4920
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21856
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5668
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21848
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1368
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21704
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4388
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21916
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5264
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1164
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2068
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5980
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6004
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4760
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2828
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4868
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5984
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21836
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1964
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21820
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:564
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21828
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5220
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21788
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4372
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4216
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2916
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:936
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4540
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4300
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:5008
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:552
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4724
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22152
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3652
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21804
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5628
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22020
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2940
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22012
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4968
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5236
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:3420
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2772
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4500
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6132
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1748
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4376
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1584
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24484
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1408
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21972
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3564
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22640
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5860
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22264
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:3660
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:3392
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5864
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:700
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4516
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1808
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1928
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3700
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4776
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24556
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2092
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24548
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3824
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21812
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2696
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22168
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2876
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2660
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1132
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2784
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2216
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:5540
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4144
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3648
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2480
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24516
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4108
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24508
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3116
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24524
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2888
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24592
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2708
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5104
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:3320
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4780
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3776
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4836
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3552
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2280
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5012
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22176
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4120
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22280
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5036
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22160
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1628
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27532
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5460
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4264
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2760
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2792
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4720
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:600
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3324
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3844
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1720
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24700
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2088
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24740
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5032
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22080
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4984
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9620
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2308
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1488
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4124
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1028
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2148
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:5568
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3196
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4536
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5288
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22824
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5380
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24540
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3248
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:18196
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1284
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26024
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4336
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2700
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6032
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1848
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4172
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6056
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:840
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2728
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6140
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26552
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3916
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26216
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2620
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26232
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2464
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26224
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4636
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1160
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5968
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:3092
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4424
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:3860
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4664
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1936
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3204
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26560
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4352
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27524
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4284
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26576
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3112
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:4504
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5828
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5116
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4816
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5388
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:5408
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:5140
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2744
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4596
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1996
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27952
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5260
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:6800
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1264
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26516
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1484
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26544
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5296
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1232
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4296
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4808
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4856
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:5924
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1568
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2736
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:960
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14704
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1404
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26404
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2096
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14732
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5216
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14544
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:3796
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4460
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6024
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4572
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4852
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1564
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4328
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2552
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:5340
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14900
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2368
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:4588
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1880
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14756
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:828
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:4628
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4208
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:928
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4544
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:2296
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4316
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1772
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:2476
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:436
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:2520
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26508
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:3036
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:28892
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4892
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:11300
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:1300
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9400
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:1616
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4556
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:4428
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5796
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:908
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6036
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6152
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6160
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6172
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:11660
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6184
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26536
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6192
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:17036
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6204
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26240
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6212
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6220
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6232
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6244
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6252
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6272
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6288
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6300
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6316
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10976
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6336
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:15096
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6356
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:15144
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6364
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:15784
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6372
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6380
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6388
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6396
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6404
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6412
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6420
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6428
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6436
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9720
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6448
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29228
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6464
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10268
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6484
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:25996
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6492
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6508
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6516
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6524
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6536
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6548
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6560
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6568
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6584
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:12664
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6596
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27516
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6604
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14740
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6616
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14728
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6632
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6648
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6668
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6676
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6684
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6692
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6700
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6708
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6716
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:25768
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6724
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14768
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6732
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27944
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6744
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:28528
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6760
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6780
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6788
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6808
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6824
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6832
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6844
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6856
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6872
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:11960
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6880
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9700
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6892
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27960
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6900
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29744
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6916
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6936
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6944
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6960
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6976
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6992
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7004
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7020
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7040
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9192
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7048
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10884
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7060
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:23588
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7068
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27936
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7084
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7096
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7104
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7116
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7128
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7136
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7148
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7164
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7180
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:28308
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7196
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26496
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7208
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27440
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7224
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9952
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7236
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7244
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7268
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7276
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7292
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7304
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7312
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7328
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7344
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29980
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7352
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9344
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7360
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9484
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7368
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26652
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7380
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7400
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7412
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7428
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7436
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7460
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7480
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7496
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7512
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9676
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7528
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:15176
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7544
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22468
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7556
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:23428
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7576
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7584
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7600
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7608
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7620
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7632
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7644
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7656
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7684
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:28332
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7692
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:22408
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7700
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29568
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7716
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30320
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7732
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7744
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7764
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7772
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7792
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7812
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7824
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7840
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7860
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:1900
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7872
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30296
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7880
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27224
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7888
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:7320
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7900
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7908
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7916
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:7924
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7932
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7940
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7948
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:7960
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7972
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29092
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7980
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30308
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:7988
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29652
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8000
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9724
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8012
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8020
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8032
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8040
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8052
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8064
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8072
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8084
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8092
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9572
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8104
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14920
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8112
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14724
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8120
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:1840
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8128
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8140
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8152
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8160
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8168
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8176
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8184
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8196
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8204
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:28316
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8212
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:13332
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8220
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:6168
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8228
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:21420
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8236
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8244
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8252
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8260
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8268
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8276
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8284
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8292
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8300
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14736
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8308
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:14896
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8316
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10404
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8324
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:1312
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8332
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8340
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8348
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8356
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8364
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8372
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8384
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8392
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8404
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30016
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8424
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29364
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8432
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:28324
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8444
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10968
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8452
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8460
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8468
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8476
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8484
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8492
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8500
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8508
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8520
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:6956
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8532
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10512
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8540
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29284
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8548
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:27076
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8556
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8568
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8576
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8588
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8596
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8604
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8612
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8620
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8628
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29172
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8636
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:6352
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8644
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:24216
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8652
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:7408
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8660
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8676
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8684
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8692
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8708
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8716
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8732
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8740
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8748
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9164
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8756
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:13088
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8768
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29988
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8780
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:10620
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8788
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8800
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8812
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8820
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8828
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8836
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8852
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:8860
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8868
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:7424
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8880
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:20636
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8888
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:26948
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8896
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:9376
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8904
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:8912
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:10432
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:11292
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15492
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15508
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15556
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15712
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:16888
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30032
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:17596
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29996
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:18304
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30024
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:19012
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:29972
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:19664
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:19688
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:19700
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:19736
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:19744
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:19756
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:19872
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:19896
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:19940
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30240
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:19988
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30256
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:19996
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30368
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:20048
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30004
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20088
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20116
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20144
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20336
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:20356
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:20364
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:20568
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:20820
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:21996
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30044
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:23940
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30556
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:25580
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30248
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:25628
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:30184
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6840
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:21716
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:6656
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:5536
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:26744
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:28072
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:29320
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:12232
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:8872
- - C:\Windows\System32\win32calc.exe
    "C:\Windows\System32\win32calc.exe"
    3⤵
    PID:8924
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:14000
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:28700
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:10548
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:25072
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:10640
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20972
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20932
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:23176
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:14604
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15708
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:6576
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:15812
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:15792
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:17496
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:16248
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:25412
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:10844
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:9624
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:18288
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:28036
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:1240
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:18456
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30588
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:6720
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:28048
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:10716
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:22288
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:10644
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:15368
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:15324
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20956
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:24616
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:29104
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:25408
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:14828
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:27332
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:9744
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:20044
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:21724
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:18256
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:27112
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20380
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:20180
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:25552
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:27668
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15376
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:15436
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:4632
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:21900
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:25728
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:28548
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:26292
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:14524
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:30180
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:26136
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:28996
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30724
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30732
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30892
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:30908
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:30916
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:30924
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:30932
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:30940
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:30948
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:30956
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:30964
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30972
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30980
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:30992
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:31000
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:31016
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:31024
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:31032
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:31040
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:31052
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:31060
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:31068
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:25544
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:29416
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:31584
- C:\Windows\system32\cmd.exe
  cmd
  2⤵
  PID:26420
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:20200
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:20224
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:4420
- C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
  powershell
  2⤵
  PID:10228
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:29344
- C:\Windows\system32\calc.exe
  calc
  2⤵
  PID:32260

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Command and Scripting Interpreter

T1059

PowerShell

T1059.001

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

ModuleAnalysisCache

Path C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\ModuleAnalysisCache
Size 67KB
SHA256 f2d08d203b14c7b04c51457c288935997a9b6b4798749b26d2ed76f793c9be01
MD5 54c53233026ab406044ca984f7332dea
SHA1 2de7cbe7779615c5b90ab5ed7564ecd81a1a026c
SHA512 c24116c0a6776343a1ca7cd485d6679a0af74e7f48f75762dac9ff2652dc08c7306d2e12a479867e2383a8f77e51589ef2fd5d525f9c15d1c8fe85f1a0aed49a
SSDEEP 1536:zKLg5GYo2hOovpfKQVCYXflJdreY8iFHzwqR40i71Yi9MQyPiMrxKi3jiRjdvRwG:zKLg5GYo2hOovpfKQVCYXflJdiYhFHzG
TLSH
T1E0636292E9204E75E1A66F3EF15622627C30394690F8113211DC25EFA987D970B1FBFE
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

StartupProfileData-NonInteractive

Path C:\Users\Admin\AppData\Local\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
Size 1KB
SHA256 067a975f14a49fddc7d2dd94b72612698f9f05852a4282252d71ddef6ad5a2ac
MD5 6e43f17b43acc14fed8ae0591185443d
SHA1 9bc40d26336f050793e1fa976d8e428ae0ca1197
SHA512 a8ffdc9e508bed9607ef9367dd3a75ac6811b31e518c804ae2479ed0d422e892b4aa1c0efb6f69f88fcc42665be30c45f35085f3b0cbaf354ee0635cd0f25687
TLSH
T18E218933F3CC8724DC9A403A52CEAC1036B287DBC0DECE9B6B84D544B42F689DE69160
MD5 SHA1 SHA512 TLSH

Submit Download

__PSScriptPolicyTest_0skb1pzd.tkm.ps1

Path C:\Users\Admin\AppData\Local\Temp\__PSScriptPolicyTest_0skb1pzd.tkm.ps1
Size 60B
SHA256 96ad1146eb96877eab5942ae0736b82d8b5e2039a80d3d6932665c1a4c87dcf7
MD5 d17fe0a3f47be24a6453e9ef58c94641
SHA1 6ab83620379fc69f80c0242105ddffd7d98d5d9d
SHA512 5b592e58f26c264604f98f6aa12860758ce606d1c63220736cf0c779e4e18e3cec8706930a16c38b20161754d1017d1657d35258e58ca22b18f5b232880dec82
TLSH
T177A02228CC303B200020C0080A000002C00B800C080C8C0220000A00B20B820002F080
MD5 SHA1 SHA512 TLSH

Submit Download

memory/2828-27-0x000001D6FD1C0000-0x000001D6FD208000-memory.dmp

Download

memory/3280-20-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-18-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-24-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-23-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-21-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-19-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-13-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3280-14-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-12-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-6-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-7-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-0-0x00007FFBE067F000-0x00007FFBE0680000-memory.dmp

Download

memory/3416-10-0x000002A971A80000-0x000002A971C42000-memory.dmp

Download

memory/3416-9-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-8-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-5-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download

memory/3416-3-0x000002A959270000-0x000002A959292000-memory.dmp

Download

memory/3416-4-0x00007FFBE04F0000-0x00007FFBE0E94000-memory.dmp

Download