a17605960def22b719ae68ef7cda5126ce56972f0f88eeecb94c2cfc0aef1cdd

Analysis

max time kernel
22s
max time network
135s
platform
windows10-2004_x64
resource
win10v2004-20260911-en
resource tags

arch:x64arch:x86image:win10v2004-20260911-enlocale:en-usos:windows10-2004-x64systemwindows
submitted
18/10/2026, 22:41

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe
Size 20KB
Sample261018-2l43ksh13j
SHA256 a17605960def22b719ae68ef7cda5126ce56972f0f88eeecb94c2cfc0aef1cdd
MD5 bcb4ebce034ef480fcf84ca7baec744c
SHA1 67373f8cd271a5e4f1d68f1c741d6bcc65620d59
SHA512 98c55ecff75f65adb33eddd4715bd48cd3c956f5c7210848185df1d346031b9ccd23a4ec667ccaa8034e79f54221b0cf9aeed4c800fde2a01eb9fa0800327453
SSDEEP 192:7yXGchzeM7Df34YeXgUoynBP3S7OZgI7cG3iYr1:eXHhzp741zP3S6gqNSYr1
TLSH
T12A92E74367A5CCEAD029DD34C7970AF5DE306CA20A058BF74586CDCEADB1A485D2326E
MD5 SHA1 SHA512 SSDEEP TLSH

Score

7^/10

discovery

Malware Config

Signatures

Executes dropped EXE 64 IoCs

pid	Process
4820	CTFNOM.exe
3664	CTFMOM.exe
2000	cybfz2.3.exe
772	CTFNOM.exe
3776	CTFMOM.exe
640	cybfz2.3.exe
552	CTFNOM.exe
2476	CTFMOM.exe
3356	cybfz2.3.exe
4576	CTFNOM.exe
2192	CTFMOM.exe
2588	cybfz2.3.exe
3328	CTFNOM.exe
1876	CTFMOM.exe
4144	cybfz2.3.exe
4416	CTFNOM.exe
2268	CTFMOM.exe
2016	cybfz2.3.exe
4432	CTFNOM.exe
4652	CTFNOM.exe
452	CTFMOM.exe
3540	cybfz2.3.exe
4508	CTFMOM.exe
2660	cybfz2.3.exe
3380	CTFNOM.exe
1584	CTFMOM.exe
716	CTFNOM.exe
3520	CTFMOM.exe
4612	CTFNOM.exe
3612	cybfz2.3.exe
4672	cybfz2.3.exe
2088	CTFNOM.exe
1388	CTFMOM.exe
4760	cybfz2.3.exe
4692	CTFNOM.exe
4124	CTFMOM.exe
1216	cybfz2.3.exe
4912	CTFMOM.exe
3692	cybfz2.3.exe
320	CTFNOM.exe
4264	CTFMOM.exe
2572	cybfz2.3.exe
4876	CTFNOM.exe
868	CTFMOM.exe
3484	cybfz2.3.exe
2096	CTFNOM.exe
1540	CTFMOM.exe
2628	cybfz2.3.exe
968	CTFNOM.exe
416	CTFMOM.exe
4172	cybfz2.3.exe
4220	CTFNOM.exe
4824	CTFMOM.exe
3880	cybfz2.3.exe
3916	CTFNOM.exe
3856	CTFMOM.exe
536	cybfz2.3.exe
1488	CTFNOM.exe
1252	CTFNOM.exe
1696	CTFMOM.exe
4744	CTFNOM.exe
2848	cybfz2.3.exe
1220	CTFMOM.exe
3280	cybfz2.3.exe

Drops file in System32 directory 64 IoCs

description	ioc	Process
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	CTFMOM.exe
File created	C:\Windows\SysWOW64\cybfz2.3.exe	cybfz2.3.exe
File created	C:\Windows\SysWOW64\CTFNOM.exe	CTFNOM.exe
File created	C:\Windows\SysWOW64\CTFMOM.exe	CTFMOM.exe

Program crash 38 IoCs

pid	pid_target	Process	procid_target
44684	13364	Process not Found
13256	15544	Process not Found
44792	5500	Process not Found
3596	14528	Process not Found
6676	7360	Process not Found
5604	12788	Process not Found
7096	19704	Process not Found
10324	40476	Process not Found
44600	39268	Process not Found
19412	38752	Process not Found
16768	41152	Process not Found
15560	29188	Process not Found
21784	8896	Process not Found
17568	18712	Process not Found
37228	5772	Process not Found
25224	29172	Process not Found
43248	41120	Process not Found
37488	23844	Process not Found
17012	23128	Process not Found
37976	24724	Process not Found	1961
26356	23676	Process not Found
20660	43932	Process not Found	3204
36392	43284	Process not Found
37684	38464	Process not Found
44976	39252	Process not Found
35712	40732	Process not Found
16716	43100	Process not Found
37588	41268	Process not Found
6272	38320	Process not Found
17600	38868	Process not Found
21412	43128	Process not Found
21448	40956	Process not Found	2715
22092	31584	Process not Found
17020	42612	Process not Found	2820
9712	40716	Process not Found
21720	38616	Process not Found
16704	11968	Process not Found
43252	18648	Process not Found

System Location Discovery: System Language Discovery 1 TTPs 64 IoCs

Attempt gather information about the system language of a victim in order to infer the geographical location of that host.

discovery

System Language Discovery

T1614.001

description	ioc	Process
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFNOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	Process not Found
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	cybfz2.3.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe
Key opened	\REGISTRY\MACHINE\SYSTEM\ControlSet001\Control\NLS\Language	CTFMOM.exe

Suspicious use of SetWindowsHookEx 64 IoCs

pid	Process
4336	jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe
4336	jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe
4820	CTFNOM.exe
4820	CTFNOM.exe
3664	CTFMOM.exe
3664	CTFMOM.exe
2000	cybfz2.3.exe
2000	cybfz2.3.exe
772	CTFNOM.exe
772	CTFNOM.exe
3776	CTFMOM.exe
3776	CTFMOM.exe
640	cybfz2.3.exe
640	cybfz2.3.exe
552	CTFNOM.exe
552	CTFNOM.exe
2476	CTFMOM.exe
2476	CTFMOM.exe
3356	cybfz2.3.exe
3356	cybfz2.3.exe
4576	CTFNOM.exe
4576	CTFNOM.exe
2192	CTFMOM.exe
2192	CTFMOM.exe
2588	cybfz2.3.exe
2588	cybfz2.3.exe
3328	CTFNOM.exe
3328	CTFNOM.exe
1876	CTFMOM.exe
1876	CTFMOM.exe
4144	cybfz2.3.exe
4144	cybfz2.3.exe
4416	CTFNOM.exe
4416	CTFNOM.exe
2268	CTFMOM.exe
2268	CTFMOM.exe
4652	CTFNOM.exe
4652	CTFNOM.exe
4508	CTFMOM.exe
4508	CTFMOM.exe
3540	cybfz2.3.exe
3540	cybfz2.3.exe
3380	CTFNOM.exe
2660	cybfz2.3.exe
3380	CTFNOM.exe
2660	cybfz2.3.exe
716	CTFNOM.exe
716	CTFNOM.exe
3520	CTFMOM.exe
3520	CTFMOM.exe
4612	CTFNOM.exe
4612	CTFNOM.exe
3612	cybfz2.3.exe
3612	cybfz2.3.exe
4672	cybfz2.3.exe
4672	cybfz2.3.exe
4760	cybfz2.3.exe
4760	cybfz2.3.exe
4692	CTFNOM.exe
4692	CTFNOM.exe
4124	CTFMOM.exe
4124	CTFMOM.exe
4912	CTFMOM.exe
4912	CTFMOM.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 4336 wrote to memory of 4820	4336	jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe	84
PID 4336 wrote to memory of 3664	4336	jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe	85
PID 4336 wrote to memory of 2000	4336	jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe	86
PID 3664 wrote to memory of 772	3664	CTFMOM.exe	87
PID 3664 wrote to memory of 3776	3664	CTFMOM.exe	88
PID 3664 wrote to memory of 640	3664	CTFMOM.exe	89
PID 4820 wrote to memory of 552	4820	CTFNOM.exe	90
PID 4820 wrote to memory of 2476	4820	CTFNOM.exe	91
PID 4820 wrote to memory of 3356	4820	CTFNOM.exe	92
PID 2000 wrote to memory of 4576	2000	cybfz2.3.exe	93
PID 2000 wrote to memory of 2192	2000	cybfz2.3.exe	94
PID 2000 wrote to memory of 2588	2000	cybfz2.3.exe	95
PID 772 wrote to memory of 3328	772	CTFNOM.exe	96
PID 772 wrote to memory of 1876	772	CTFNOM.exe	97
PID 772 wrote to memory of 4144	772	CTFNOM.exe	98
PID 2192 wrote to memory of 4416	2192	CTFMOM.exe	99
PID 2192 wrote to memory of 2268	2192	CTFMOM.exe	100
PID 2192 wrote to memory of 2016	2192	CTFMOM.exe	101
PID 3356 wrote to memory of 4432	3356	cybfz2.3.exe	102
PID 3356 wrote to memory of 452	3356	cybfz2.3.exe	104
PID 3776 wrote to memory of 4652	3776	CTFMOM.exe	103
PID 3356 wrote to memory of 3540	3356	cybfz2.3.exe	105
PID 3776 wrote to memory of 4508	3776	CTFMOM.exe	106
PID 3776 wrote to memory of 2660	3776	CTFMOM.exe	107
PID 4576 wrote to memory of 3380	4576	CTFNOM.exe	108
PID 2588 wrote to memory of 716	2588	cybfz2.3.exe	110
PID 2588 wrote to memory of 3520	2588	cybfz2.3.exe	111
PID 4576 wrote to memory of 1584	4576	CTFNOM.exe	109
PID 2588 wrote to memory of 3612	2588	cybfz2.3.exe	113
PID 4576 wrote to memory of 4672	4576	CTFNOM.exe	114
PID 2476 wrote to memory of 4612	2476	CTFMOM.exe	112
PID 2476 wrote to memory of 1388	2476	CTFMOM.exe	116
PID 552 wrote to memory of 2088	552	CTFNOM.exe	115
PID 2476 wrote to memory of 4760	2476	CTFMOM.exe	117
PID 552 wrote to memory of 4124	552	CTFNOM.exe	119
PID 640 wrote to memory of 4692	640	cybfz2.3.exe	118
PID 552 wrote to memory of 1216	552	CTFNOM.exe	120
PID 640 wrote to memory of 4912	640	cybfz2.3.exe	121
PID 640 wrote to memory of 3692	640	cybfz2.3.exe	122
PID 3328 wrote to memory of 320	3328	CTFNOM.exe	123
PID 3328 wrote to memory of 4264	3328	CTFNOM.exe	124
PID 3328 wrote to memory of 2572	3328	CTFNOM.exe	125
PID 1876 wrote to memory of 4876	1876	CTFMOM.exe	126
PID 1876 wrote to memory of 868	1876	CTFMOM.exe	127
PID 1876 wrote to memory of 3484	1876	CTFMOM.exe	128
PID 4416 wrote to memory of 2096	4416	CTFNOM.exe	129
PID 4416 wrote to memory of 1540	4416	CTFNOM.exe	130
PID 4416 wrote to memory of 2628	4416	CTFNOM.exe	131
PID 4652 wrote to memory of 968	4652	CTFNOM.exe	132
PID 4652 wrote to memory of 416	4652	CTFNOM.exe	133
PID 4652 wrote to memory of 4172	4652	CTFNOM.exe	134
PID 2268 wrote to memory of 4220	2268	CTFMOM.exe	135
PID 2268 wrote to memory of 4824	2268	CTFMOM.exe	136
PID 2268 wrote to memory of 3880	2268	CTFMOM.exe	137
PID 4144 wrote to memory of 3916	4144	cybfz2.3.exe	138
PID 4144 wrote to memory of 3856	4144	cybfz2.3.exe	139
PID 4144 wrote to memory of 536	4144	cybfz2.3.exe	140
PID 4672 wrote to memory of 1488	4672	cybfz2.3.exe	141
PID 4672 wrote to memory of 1696	4672	cybfz2.3.exe	143
PID 4124 wrote to memory of 4744	4124	CTFMOM.exe	144
PID 4672 wrote to memory of 2848	4672	cybfz2.3.exe	145
PID 4124 wrote to memory of 1220	4124	CTFMOM.exe	146
PID 4912 wrote to memory of 1252	4912	CTFMOM.exe	142
PID 4124 wrote to memory of 3280	4124	CTFMOM.exe	147

C:\Users\Admin\AppData\Local\Temp\jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe
"C:\Users\Admin\AppData\Local\Temp\jaffacakes118_Trojan.Win32.Cosmu.cvmf.exe"
1⤵
- Suspicious use of SetWindowsHookEx
- Suspicious use of WriteProcessMemory
PID:4336
- C:\Windows\SysWOW64\CTFNOM.exe
  "C:\Windows\system32\CTFNOM.exe"
  2⤵
  - Executes dropped EXE
  - Drops file in System32 directory
  - Suspicious use of SetWindowsHookEx
  - Suspicious use of WriteProcessMemory
  PID:4820
- - C:\Windows\SysWOW64\CTFNOM.exe
    "C:\Windows\system32\CTFNOM.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:552
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      PID:2088
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:4528
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8544
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8560
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:8576
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10336
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10352
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10368
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        System Location Discovery: System Language Discovery
        
        PID:3284
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:8668
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:6148
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8240
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:8532
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8684
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:8700
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:4900
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7776
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7816
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7832
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13452
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13468
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13476
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:4124
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:4744
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:5548
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5564
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10384
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10392
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10400
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:5580
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:1220
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:5212
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5268
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13644
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13660
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13668
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5276
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13892
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:3280
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5424
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6560
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:5804
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6276
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5440
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:2772
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:1516
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:2916
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5448
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9548
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9572
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9588
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      PID:1216
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:4664
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7444
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7452
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12860
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12876
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12892
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7460
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:4904
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:6908
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5716
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6580
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6268
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6924
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:6932
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12620
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12628
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12636
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:4732
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:9136
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:9156
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:9164
- - C:\Windows\SysWOW64\CTFMOM.exe
    "C:\Windows\system32\CTFMOM.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:2476
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:4612
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:2228
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:6772
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6796
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13900
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:14108
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14116
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:6804
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:13780
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:4944
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7468
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:7484
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:7500
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13508
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13532
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13540
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:3152
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8592
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8616
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:8632
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10624
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:10704
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10728
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      PID:1388
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        System Location Discovery: System Language Discovery
        
        PID:4792
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:6892
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13308
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6832
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7456
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6900
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13908
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:6916
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12796
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12812
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12828
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:2948
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:7004
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7020
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12924
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12988
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13004
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7028
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:864
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7036
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13036
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13084
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13100
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7052
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7068
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12668
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12676
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:12692
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:4760
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:732
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5800
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10856
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10864
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10872
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5816
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        System Location Discovery: System Language Discovery
        
        PID:10880
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10888
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10904
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5832
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13676
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13684
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13692
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        System Location Discovery: System Language Discovery
        
        PID:2604
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:6004
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10552
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10568
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10584
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6016
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:6024
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5336
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6376
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:8344
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:2884
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5848
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10312
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10320
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10328
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5856
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:11308
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:11320
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:11328
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5872
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12308
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12316
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12332
- - C:\Windows\SysWOW64\cybfz2.3.exe
    "C:\Windows\system32\cybfz2.3.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:3356
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      PID:4432
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:1076
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5952
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5960
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:11832
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:11848
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:11864
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5976
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12168
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12176
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12184
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Drops file in System32 directory
        
        PID:2688
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5160
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12112
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12124
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12132
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5180
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13836
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5188
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:3996
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8552
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8568
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10464
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10496
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10520
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:8584
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5420
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:4752
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6380
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      PID:452
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:3112
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8600
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:10648
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10696
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10736
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8648
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:8660
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:464
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:9016
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:9056
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:9064
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Drops file in System32 directory
        
        PID:432
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7476
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:14008
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:14212
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14260
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7492
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7508
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:3540
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:1820
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5100
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:4860
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3064
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:680
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:1420
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9000
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9032
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9048
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:3440
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:2388
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3224
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:3920
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:880
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5968
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13580
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13596
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13612
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5984
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10632
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10664
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10680
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5996
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12716
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12732
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12748
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Drops file in System32 directory
        
        PID:2276
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:5532
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5552
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12836
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12844
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12852
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5572
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4320
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3600
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:5024
- C:\Windows\SysWOW64\CTFMOM.exe
  "C:\Windows\system32\CTFMOM.exe"
  2⤵
  - Executes dropped EXE
  - Drops file in System32 directory
  - Suspicious use of SetWindowsHookEx
  - Suspicious use of WriteProcessMemory
  PID:3664
- - C:\Windows\SysWOW64\CTFNOM.exe
    "C:\Windows\system32\CTFNOM.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:772
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:3328
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:320
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:1900
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:1068
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13348
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13372
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13380
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3052
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13756
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13796
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13804
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4260
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13588
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13604
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13620
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:436
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6940
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13916
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6948
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6964
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:2532
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:7044
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:7060
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:5860
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:6240
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6208
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7076
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:4264
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7084
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12500
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12516
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12540
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7100
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:7116
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:13244
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13260
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13276
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:2572
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:2800
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:7744
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9316
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:9340
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9348
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:7752
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:5644
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:6848
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:5296
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7760
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12216
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12224
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12236
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:1692
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6956
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6972
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13196
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13212
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13228
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6980
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:4788
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:3004
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:2112
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:5136
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:1876
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:4876
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:4924
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8504
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10448
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10488
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10504
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8520
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:8536
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:2784
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:9144
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9172
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9180
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:1536
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:2620
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3524
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:620
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9836
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:9852
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9860
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:868
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:1380
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5080
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:764
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:2892
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:3384
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:3216
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9308
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:9324
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9332
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:4228
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9492
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:9504
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9512
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:5140
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:7748
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:6436
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6112
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:2168
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:2432
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:2744
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:3460
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        System Location Discovery: System Language Discovery
        
        PID:3484
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:4492
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:7092
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13388
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13396
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13404
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:7108
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13956
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:14140
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:14148
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7124
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12372
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12388
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12396
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:1124
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:6868
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6876
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6884
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:6220
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:6708
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6292
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:1412
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8676
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10576
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        Drops file in System32 directory
        
        PID:10608
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10616
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8692
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:8708
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10280
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10296
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10304
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:4144
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:3916
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7784
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13700
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13724
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13740
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7808
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13316
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:13324
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13332
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7824
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12508
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12524
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12564
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:3856
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:6836
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8800
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8360
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:8856
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6852
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13852
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:14076
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14084
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:6860
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13132
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13148
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13164
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:536
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5356
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13844
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5372
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5388
- - C:\Windows\SysWOW64\CTFMOM.exe
    "C:\Windows\system32\CTFMOM.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:3776
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:4652
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:968
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:1136
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8496
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13940
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8512
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10528
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10536
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10544
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:8528
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:3892
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:1680
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10248
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:3432
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:2424
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:5008
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4604
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:4720
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4284
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:2908
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13028
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13044
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13052
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:540
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13812
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:416
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:4308
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:7144
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:5916
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        System Location Discovery: System Language Discovery
        
        PID:7764
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6652
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:4504
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:3580
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13924
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:14124
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:14132
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        System Location Discovery: System Language Discovery
        
        PID:4036
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6988
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:4808
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:8944
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6056
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:6996
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12452
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12460
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12484
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7012
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:4268
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:928
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13412
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13420
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13428
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:4648
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:4644
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        System Location Discovery: System Language Discovery
        
        PID:12644
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12652
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12660
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:4172
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7916
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7924
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7932
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:4508
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:3748
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5688
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12916
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12964
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12980
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:5712
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:11968
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:11976
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:11992
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5720
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8232
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8348
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:2984
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:372
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:4828
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9112
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:9120
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9128
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:2340
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9008
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9024
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:9040
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:2448
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:2968
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3324
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4360
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:2560
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:4784
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:3344
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10440
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10472
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10512
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:636
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10164
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10172
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10180
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:4112
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10560
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10592
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10600
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:4160
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:7152
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13436
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13444
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13460
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:2752
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:8636
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:8960
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:8604
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4780
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:116
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4956
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:3932
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10432
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10456
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        Drops file in System32 directory
        
        PID:10480
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4460
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9556
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        System Location Discovery: System Language Discovery
        
        PID:9596
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9604
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:2660
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:4120
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5228
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13628
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13636
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13652
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5244
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13708
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13716
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13732
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5260
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8288
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8380
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6552
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:3708
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5608
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6104
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8032
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:8236
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5624
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13884
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:5640
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:12772
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12788
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12820
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Drops file in System32 directory
        
        PID:2324
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5616
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5632
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5328
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:5444
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6136
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5648
- - C:\Windows\SysWOW64\cybfz2.3.exe
    "C:\Windows\system32\cybfz2.3.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:640
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:4692
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:4068
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5292
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13252
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13268
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13284
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5308
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:4932
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12292
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12300
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5340
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:2960
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5284
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10264
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:10272
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10288
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5300
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4936
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:5400
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6408
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5316
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:1688
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:5128
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:5516
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:2100
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5864
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5880
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12940
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12956
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12972
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5892
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:11840
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:11856
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:11872
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:4912
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:1252
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5324
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9716
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9724
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:9732
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5332
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9668
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9676
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9684
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5348
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9740
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9748
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9760
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:4864
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5540
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5588
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10656
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10688
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10712
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5596
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Drops file in System32 directory
        
        PID:756
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:5364
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5380
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:2496
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3984
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:1740
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5396
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9540
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:9564
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9580
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      PID:3692
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:3360
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5728
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5736
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:11908
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:11916
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:11924
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5760
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13516
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13564
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13572
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:4092
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5472
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9956
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9964
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9972
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5512
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:932
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3080
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:2760
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5520
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9644
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:9652
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9660
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:3392
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:3656
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:3408
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12532
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12548
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12556
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:1236
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13868
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:2032
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:2052
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6780
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:14004
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:14172
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:14180
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6812
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13860
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6820
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:6760
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:5988
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6752
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:752
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5744
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:8364
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:5304
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10256
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:5752
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13172
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13180
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13188
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:5768
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12404
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12412
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12420
- C:\Windows\SysWOW64\cybfz2.3.exe
  "C:\Windows\system32\cybfz2.3.exe"
  2⤵
  - Executes dropped EXE
  - Drops file in System32 directory
  - Suspicious use of SetWindowsHookEx
  - Suspicious use of WriteProcessMemory
  PID:2000
- - C:\Windows\SysWOW64\CTFNOM.exe
    "C:\Windows\system32\CTFNOM.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:4576
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:3380
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:976
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5680
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10744
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10760
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10776
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5696
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13340
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13356
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13364
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5704
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12140
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12148
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12160
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:5112
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:2612
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:844
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13292
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13300
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:7000
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:4168
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4520
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12588
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12604
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12612
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:1456
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4776
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9692
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:9700
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9708
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:368
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9484
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        Drops file in System32 directory
        
        PID:9520
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9528
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4656
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:3000
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4216
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:9476
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:9828
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:9844
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:4060
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:3068
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10408
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10416
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10424
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        System Location Discovery: System Language Discovery
        
        PID:2860
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:6596
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10752
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10768
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10784
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6608
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:6616
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13524
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13548
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13556
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      PID:1584
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Drops file in System32 directory
        
        PID:1816
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7136
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13996
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14244
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14268
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7160
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:924
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Drops file in System32 directory
        
        PID:3900
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8728
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8744
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:6468
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6428
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:5384
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:8760
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:5092
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8608
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13204
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13220
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13236
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8624
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13964
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:14316
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:8640
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:4672
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        Drops file in System32 directory
        
        PID:1488
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5656
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10640
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10672
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10720
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:5664
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12428
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12436
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12444
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5672
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12468
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12476
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12492
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:1696
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:6156
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12016
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12024
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12032
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:6164
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:6176
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10976
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10988
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10996
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:2848
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5220
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13988
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14220
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14276
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5236
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13948
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14284
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14292
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5252
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5940
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6676
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:5964
- - C:\Windows\SysWOW64\CTFMOM.exe
    "C:\Windows\system32\CTFMOM.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:2192
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Drops file in System32 directory
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:4416
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:2096
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7992
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12356
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12364
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12380
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8000
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:8012
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:1540
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7940
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:5660
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:8964
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7248
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:7956
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13828
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14060
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14068
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7964
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13820
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:2628
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7948
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12724
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12740
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12756
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7972
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:13932
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7980
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13068
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13108
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13116
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      Suspicious use of WriteProcessMemory
      PID:2268
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:4220
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7768
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:14028
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14188
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14228
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7792
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12684
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12700
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12708
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7800
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12868
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12884
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12900
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Executes dropped EXE
        
        PID:4824
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:7844
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7852
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7860
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12764
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12780
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12804
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Executes dropped EXE
        
        PID:3880
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:7696
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13980
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14156
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14164
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:7704
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13748
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13772
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:13788
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:7720
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:8748
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:5612
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:3368
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      PID:2016
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:2216
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:8720
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:8736
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:8752
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Drops file in System32 directory
        
        PID:4716
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:3464
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:896
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:3020
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:4300
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:4204
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:2224
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        Drops file in System32 directory
        
        PID:1700
- - C:\Windows\SysWOW64\cybfz2.3.exe
    "C:\Windows\system32\cybfz2.3.exe"
    3⤵
    - Executes dropped EXE
    - Suspicious use of SetWindowsHookEx
    - Suspicious use of WriteProcessMemory
    PID:2588
  - - C:\Windows\SysWOW64\CTFNOM.exe
      "C:\Windows\system32\CTFNOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:716
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:2536
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5456
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:14020
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14204
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14252
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5480
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10192
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10208
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10224
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5496
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13972
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14300
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14308
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:2692
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5408
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9612
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9624
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:9632
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5416
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10200
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10216
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:10232
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5432
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        Drops file in System32 directory
        
        PID:1940
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5464
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5488
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13764
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:14044
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:14052
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5504
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:9980
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:9988
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:10000
  - - C:\Windows\SysWOW64\CTFMOM.exe
      "C:\Windows\system32\CTFMOM.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:3520
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:1656
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:2592
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:7260
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:8892
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:6516
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:6356
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:7268
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13876
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:14092
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:14100
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:7276
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        System Location Discovery: System Language Discovery
        
        PID:13484
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13492
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13500
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:840
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4052
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:4748
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:548
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:10344
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:10360
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:10376
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:4372
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:4832
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:468
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:4868
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        Drops file in System32 directory
        
        PID:5028
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5920
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12056
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12072
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12080
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5936
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10896
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10912
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:10920
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5944
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:13060
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:13076
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:13092
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:1580
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5808
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:11984
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12000
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12008
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5824
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:10928
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:10940
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        Drops file in System32 directory
        
        PID:10948
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:5840
  - - C:\Windows\SysWOW64\cybfz2.3.exe
      "C:\Windows\system32\cybfz2.3.exe"
      4⤵
      Executes dropped EXE
      Suspicious use of SetWindowsHookEx
      PID:3612
    - - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        5⤵
        
        PID:4328
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:3248
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:7712
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:14036
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:14196
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:14236
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:7728
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12996
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        System Location Discovery: System Language Discovery
        
        PID:13012
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13020
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:7736
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:1384
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:4420
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:3332
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:3620
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:2788
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        Drops file in System32 directory
        
        PID:6788
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12908
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12932
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12948
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:6828
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:12572
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:12580
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:12596
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:6844
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        8⤵
        
        PID:13124
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        8⤵
        
        PID:13140
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        8⤵
        
        PID:13156
    - - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        5⤵
        
        PID:4240
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        System Location Discovery: System Language Discovery
        
        PID:5776
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12192
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12200
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12208
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        Drops file in System32 directory
        
        PID:5784
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12324
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        
        PID:12340
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        
        PID:12348
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5792
    - - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        5⤵
        
        PID:3304
      - C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        6⤵
        
        PID:5904
      - C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        6⤵
        
        PID:5912
        
        C:\Windows\SysWOW64\CTFNOM.exe
        
        "C:\Windows\system32\CTFNOM.exe"
        7⤵
        
        PID:12040
        
        C:\Windows\SysWOW64\CTFMOM.exe
        
        "C:\Windows\system32\CTFMOM.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:12048
        
        C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        7⤵
        System Location Discovery: System Language Discovery
        
        PID:12064
      - C:\Windows\SysWOW64\cybfz2.3.exe
        
        "C:\Windows\system32\cybfz2.3.exe"
        6⤵
        
        PID:5928

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Persistence

Privilege Escalation

Defense Evasion

Credential Access

Discovery

System Location Discovery

T1614

System Language Discovery

T1614.001

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

CTFMOM.exe

Path C:\Windows\SysWOW64\CTFMOM.exe
Size 21KB
SHA256 eb31d377bd36af82229f5aac5b258751102d6777d65bb16e65509f02b805950c
MD5 8eb95815327acf4f9d350f51fcb5c3a1
SHA1 7ce53ebaaaf0a922677faf3bd14db7dfe63575ad
SHA512 02a7ae46f2403595a8565635b1c21653a6dcbe50ce6fafc98acbb4cd58a503a23bad01f5e3461e933e27fbbb29a15341f680330f3e15b2df60ac91c9f5549ae2
SSDEEP 192:7yXGchzeM7Df34YeXgUoynBP3S7OZgI7cG3iYr:eXHhzp741zP3S6gqNSYr
TLSH
T139A2E74367A5CCEAD029DD34C7970AF5DE306CA20A058BF74586CDCEAD71A485D2325E
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

CTFNOM.exe

Path C:\Windows\SysWOW64\CTFNOM.exe
Size 23KB
SHA256 9554f3413e2476dd759ea0cd6e75279adb6ca6102803bfe0f4b486d6fcf3c999
MD5 2ea1e47f377f8ea79feae3d9139488ff
SHA1 775d530b413a2c5ac04628c84769c4ae835f47d6
SHA512 395cc2eb99a45671c7870af6fde96d496493cf7a49005bee9a81a50f337c788f448969a5063dd1cebcd8e42249039342e73b01f9b6d70ed2c6f20780d7e80bf8
SSDEEP 192:7yXGchzeM7Df34YeXgUoynBP3S7OZgI7cG3iYr:eXHhzp741zP3S6gqNSYr
TLSH
T18FB2E74367A5CCEAD029DD34C7970AF5DE306CA20A058BF74586CDCEAD71A485D2325E
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

cybfz2.3.exe

Path C:\Windows\SysWOW64\cybfz2.3.exe
Size 2.5MB
SHA256 7cf6a99870a0ccfd0acb0193a0025473a190d10066b53833831fd7927953360e
MD5 3bdf5f77acb9566ae4adc541aa2a7ff0
SHA1 a44053674f4643d9eba66fc219d0fa876742c387
SHA512 826377705e02ab3f6b990777efd83975486aee2bd052024875796786679f9ae19dc1d9cf20b864adc5f138b6f18d3cf86a0d489ae0caae8ac820996f0d583b18
SSDEEP 192:7yXGchzeM7Df34YeXgUoynBP3S7OZgI7cG3iYr:eXHhzp741zP3S6gqNSYr
TLSH
T148C5E74367A5CCEAD029DD34C7970AF5DE306CA20A058BF74586CDCEAD71A485D2325E
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

memory/3368-113-0x00007FFF0DD20000-0x00007FFF0DD79000-memory.dmp

Download

memory/3720-123-0x0000000076720000-0x0000000076840000-memory.dmp

Download

memory/4028-101-0x00000000775F0000-0x0000000077686000-memory.dmp

Download

memory/6056-95-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/8960-118-0x0000000000400000-0x0000000000406000-memory.dmp

Download

memory/12704-94-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/13364-97-0x0000000000400000-0x0000000000406000-memory.dmp

Download

memory/13468-114-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/14228-90-0x0000000000400000-0x0000000000406000-memory.dmp

Download

memory/14628-89-0x0000000000400000-0x0000000000406000-memory.dmp

Download

memory/15028-92-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/15348-74-0x0000000076430000-0x0000000076455000-memory.dmp

Download

memory/16220-111-0x0000000076290000-0x0000000076430000-memory.dmp

Download

memory/17156-70-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/17672-77-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/19036-99-0x00007FFF0DD20000-0x00007FFF0DD79000-memory.dmp

Download

memory/19656-79-0x0000000000400000-0x0000000000406000-memory.dmp

Download

memory/23120-121-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/23624-105-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/30892-104-0x0000000076430000-0x0000000076455000-memory.dmp

Download

memory/36716-72-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

memory/42892-71-0x00007FFF0DD20000-0x00007FFF0DD79000-memory.dmp

Download

memory/43168-73-0x00007FFF0E250000-0x00007FFF0E2D3000-memory.dmp

Download

memory/44048-91-0x0000000000400000-0x0000000000406000-memory.dmp

Download

memory/44736-124-0x00007FFF0E810000-0x00007FFF0EA05000-memory.dmp

Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v16

Replay Monitor

Loading Replay Monitor...

Downloads