2cd0c64e1eb74313c6a9b020e171da7761206e5a71b2b824f10e96ec64ebac46

Analysis

max time kernel
1s
max time network
32s
platform
windows11-ltsc_2024_x64
resource
win11ltsc2024-20260911-en
resource tags

arch:x64arch:x86image:win11ltsc2024-20260911-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows
submitted
28/09/2026, 12:58

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
wow.exe
Size 8KB
Sample260928-p7wbcawsbw
SHA256 2cd0c64e1eb74313c6a9b020e171da7761206e5a71b2b824f10e96ec64ebac46
MD5 15018e0bac3b066d9c0e15cfd2f05f06
SHA1 8da55a73f9b45327c1146512941b2af7ccf72ce6
SHA512 a75e20b408bf8e2ad3fe4edf945ddf248e60c95d9a1e61fc05d54389d470a9789ea04ab070605e645597e710adcfd4d06a6e72740e1cae37ff1cada3ee912f8c
SSDEEP 192:8BVjzv4ebxE8Hei08pDMbFUEBGFaNJhLkwcud2DH9VwGfctlnO:8BVf4ebxrc8ASEAaNJawcudoD7Ui
TLSH
T175F16D5696590F8CC09E127B1AAF794F0524D11EDDC9C6ABEFE8303BAC83F941D28365
MD5 SHA1 SHA512 SSDEEP TLSH

Score

7^/10

discovery execution upx

Malware Config

Signatures

Executes dropped EXE 1 IoCs

pid	Process
5008	b2e.exe

UPX packed file 2 IoCs

Detects executables packed with UPX/modified UPX open source packer.

upx

resource	yara_rule
behavioral2/memory/5732-0-0x0000000000400000-0x000000000040A000-memory.dmp	upx
behavioral2/memory/5732-12-0x0000000000400000-0x000000000040A000-memory.dmp	upx

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Executes a command shell one-liner 1 TTPs 1 IoCs

Execution of a cmd.exe one-liner (/c "close" or /k "keep") is a common script/loader stage.

execution

Windows Command Shell

T1059.003

pid	Process
2636	cmd.exe

System Location Discovery: System Language Discovery 1 TTPs 2 IoCs

Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

discovery

System Language Discovery

T1614.001

description	ioc	Process
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	wow.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	b2e.exe

Suspicious use of WriteProcessMemory 1 IoCs

description	pid	Process	procid_target
PID 5732 wrote to memory of 5008	5732	wow.exe	89

C:\Users\Admin\AppData\Local\Temp\wow.exe
"C:\Users\Admin\AppData\Local\Temp\wow.exe"
1⤵
- System Location Discovery: System Language Discovery
- Suspicious use of WriteProcessMemory
PID:5732
- C:\Users\Admin\AppData\Local\Temp\407A.tmp\b2e.exe
  "C:\Users\Admin\AppData\Local\Temp\407A.tmp\b2e.exe" C:\Users\Admin\AppData\Local\Temp\407A.tmp\b2e.exe C:\Users\Admin\AppData\Local\Temp "C:\Users\Admin\AppData\Local\Temp\wow.exe"
  2⤵
  - Executes dropped EXE
  - System Location Discovery: System Language Discovery
  PID:5008
- - C:\Windows\SysWOW64\cmd.exe
    C:\Windows\system32\cmd.exe /c ""C:\Users\Admin\AppData\Local\Temp\4329.tmp\batchfile.bat" "
    3⤵
    - Executes a command shell one-liner
    PID:2636
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3548
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3056
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5816
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4972
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3412
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4688
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3572
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6104
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4664
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:884
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:608
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3376
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4392
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5752
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2256
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4004
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1556
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4856
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3192
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4700
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2496
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2980
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:360
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:256
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:260
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:204
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2796
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5716
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2008
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5104
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3788
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5788
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4904
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2036
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2484
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1576
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2436
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5676
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5932
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5412
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2768
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3464
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2964
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3236
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4324
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5452
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1240
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1588
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1352
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:996
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1232
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6000
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5312
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4640
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1664
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1072
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3416
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6124
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3904
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4816
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4912
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:448
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5208
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3680
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4712
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3900
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2688
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4340
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5980
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4724
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1688
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6100
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1592
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1184
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3096
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6116
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4744
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1748
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3964
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:904
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1712
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4560
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5748
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5768
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5900
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5424
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5016
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2672
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4476
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3940
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4572
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5168
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3020
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6080
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3864
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5068
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2388
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4832
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3984
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2620
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3088
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:944
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3424
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1260
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3872
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3808
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5852
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5164
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4916
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4984
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3368
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2164
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3968
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3744
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5700
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4692
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4604
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2756
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3200
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3768
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:828
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3128
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2944
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5924
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4184
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5964
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5672
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6048
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1180
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3704
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5856
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4752
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4368
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:4932
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:3196
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:1208
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:2404
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6156
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6168
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6180
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6192
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6200
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6252
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6268
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6312
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6324
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6332
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6344
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6352
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6364
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6372
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6400
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6408
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6424
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6432
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6448
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6456
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6464
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6472
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6480
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6496
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6516
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6528
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6544
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6560
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6632
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6648
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6656
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6664
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:6676
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:10368
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13272
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:12976
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13060
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:5628
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13320
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13336
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13344
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13356
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13364
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13380
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13388
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13396
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14052
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14124
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14204
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14220
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13624
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13792
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13848
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13880
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13904
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13912
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13936
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13944
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13948
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13960
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13968
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13988
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13996
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14000
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14004
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14012
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14072
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14152
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14144
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14160
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14232
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14240
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14236
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14256
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13412
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13408
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13448
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13508
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13608
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13620
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:13872
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14344
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14352
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14360
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:14368
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15776
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15788
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15796
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15804
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15812
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15820
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15828
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15836
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15844
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15852
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15860
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:15868
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16020
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16612
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16664
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16712
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16740
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16748
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16756
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16764
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16772
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16780
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16788
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16796
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16804
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16812
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16820
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16828
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16836
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16844
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16852
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16860
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16868
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16876
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16884
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16892
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16900
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16908
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16916
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16924
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16932
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16940
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16948
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16956
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16964
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16972
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16980
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:16988
  - - C:\Windows\SysWOW64\cmd.exe
      cmd.exe
      4⤵
      PID:17272

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Command and Scripting Interpreter

T1059

Windows Command Shell

T1059.003

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Information Discovery

T1082

System Location Discovery

T1614

System Language Discovery

T1614.001

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

b2e.exe

Path C:\Users\Admin\AppData\Local\Temp\407A.tmp\b2e.exe
Size 8KB
SHA256 e93e58f3ef06f81ebd8584d0d1d699877807f5f0a99d57391d330c9f29c184d4
MD5 02e9052b8a1524eb950472017e4c0cc3
SHA1 643fb61903bed19a9654d008da01a030a32a030d
SHA512 eb713ae07522bda2188b42fb0afc1f9b1c69ca907b4dfc4c1ddc51b424b9125e36300570fd728f3972719fe6604233ce7da78fd5b9a1b9caa1727c9bf1a91611
SSDEEP 96:3jrxEyFlnpkGd3aabLXKWxM/paKEiYzusDuAkPLiUmeFKOeO9XWLOb2D0gcc0u:3R5Fhp8cdwpHR3AkPLiM79mLU2Pcc0u
TLSH
T16502420FE9908AA5C3C1C5F41AAD427DDA5143CE837D518BFBDC8C262BB96B1E07961C
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

batchfile.bat

Path C:\Users\Admin\AppData\Local\Temp\4329.tmp\batchfile.bat
Size 17B
SHA256 234157da02c51868194d2f5a17a934053d5320230ff4e9413de16505bfb94f7d
MD5 eced03c06487143b89dabfbda9fe1b3f
SHA1 4c1b9e6e02557b35d455bc7444b54ee84ed7757b
SHA512 49debeb6abe7110b909c5e1bd4aae7c7df66b4d98ba7cfb2d2bfebbda87445fb60ed73768ba7371170d49115967c7362dff28d8a9bc02e31d270860d424f98c6
MD5 SHA1 SHA512

Submit Download

memory/5008-9-0x0000000000400000-0x0000000000405000-memory.dmp

Download

memory/5008-21-0x0000000000400000-0x0000000000405000-memory.dmp

Download

memory/5732-0-0x0000000000400000-0x000000000040A000-memory.dmp

Download

memory/5732-12-0x0000000000400000-0x000000000040A000-memory.dmp

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v16

Replay Monitor

Loading Replay Monitor...

Downloads