4a73d51f6bc3753dff10f89e30608af9fabc204aa82dfa99fc06b43a5d61c81c

Analysis

max time kernel
89s
platform
windows11-ltsc_2024_x64
resource
win11ltsc2024-20260911-en
resource tags

arch:x64arch:x86image:win11ltsc2024-20260911-enlocale:en-usos:windows11-ltsc_2024-x64systemwindows
submitted
07/11/2026, 18:40

Sharing

Copy URL Twitter E-mail

Report Analysis Logs

General

Target
2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
Size 6.1MB
Sample261107-xbf6jsfh35
SHA256 4a73d51f6bc3753dff10f89e30608af9fabc204aa82dfa99fc06b43a5d61c81c
MD5 f72028fb03a0f5c11d9af7dedbaa64ee
SHA1 5584c570286dc93cf26704542e4041183986c30f
SHA512 e36e61043cedc0b4901f44ed53c002c0beef3360c3d6841f9fc597fa039682b77f6fd6aa6e237ad014632c6df5135efe5a59d51e7f749fcf74401e3e96799cf5
SSDEEP 196608:4lejKWdshEVSL2v8hpTRhOvCYIeSDsSsPuLk:YejB+aVSLo8plPHs2
TLSH
T188562381E29009E1CD6A5B76AE32CC3295337CAE5634D49E26DC3E633FFB7925439601
MD5 SHA1 SHA512 SSDEEP TLSH

Score

8^/10

defense_evasion execution

Malware Config

Signatures

Sets file to hidden 1 TTPs 64 IoCs

Modifies file attributes to stop it showing in Explorer etc.

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
5632	attrib.exe
4892	Process not Found
6508	Process not Found
4700	Process not Found
2444	Process not Found
6284	Process not Found
8860	Process not Found
9820	Process not Found
1580	Process not Found
4344	Process not Found
1216	Process not Found
7560	Process not Found
10008	Process not Found
10196	Process not Found
11008	Process not Found
5752	Process not Found
2540	Process not Found
7004	Process not Found
5136	Process not Found
4124	Process not Found
7820	Process not Found
8876	Process not Found
10232	Process not Found
5608	attrib.exe
5412	Process not Found
3936	Process not Found
6436	Process not Found
3028	Process not Found
7736	Process not Found
11092	Process not Found
10584	Process not Found
4592	attrib.exe
6796	Process not Found
8924	Process not Found
10752	Process not Found
944	attrib.exe
5684	Process not Found
920	Process not Found
7308	Process not Found
8232	Process not Found
8312	Process not Found
10260	Process not Found
11116	Process not Found
4860	attrib.exe
3440	attrib.exe
2956	Process not Found
7112	Process not Found
5136	Process not Found
8028	Process not Found
2400	attrib.exe
6392	Process not Found
8736	Process not Found
10236	Process not Found
10048	Process not Found
10800	Process not Found
1524	attrib.exe
4888	Process not Found
7936	Process not Found
8652	Process not Found
4140	attrib.exe
1388	Process not Found
3692	Process not Found
5360	Process not Found
7092	Process not Found

Loads dropped DLL 7 IoCs

pid	Process
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe

Enumerates physical storage devices 1 TTPs
Attempts to interact with connected storage/optical drive(s).

System Information Discovery
T1082

Executes a command shell one-liner 1 TTPs 64 IoCs

Execution of a cmd.exe one-liner (/c "close" or /k "keep") is a common script/loader stage.

execution

Windows Command Shell

T1059.003

pid	Process
4696	cmd.exe
8080	Process not Found
9556	Process not Found
2932	Process not Found
11252	Process not Found
4400	cmd.exe
6516	Process not Found
6700	Process not Found
10276	Process not Found
5068	cmd.exe
6108	cmd.exe
8600	Process not Found
9748	Process not Found
2888	Process not Found
10072	Process not Found
4256	cmd.exe
720	cmd.exe
8372	Process not Found
6184	Process not Found
9940	Process not Found
5140	cmd.exe
2588	cmd.exe
4892	Process not Found
9016	Process not Found
9576	Process not Found
5580	cmd.exe
5084	Process not Found
7908	Process not Found
7888	Process not Found
7972	Process not Found
1820	Process not Found
8096	Process not Found
9624	Process not Found
7876	Process not Found
6712	Process not Found
9048	Process not Found
8648	Process not Found
10272	Process not Found
4532	cmd.exe
728	Process not Found
1352	Process not Found
6284	Process not Found
9980	Process not Found
9552	Process not Found
10876	Process not Found
1336	Process not Found
9848	Process not Found
4468	cmd.exe
6108	Process not Found
1624	Process not Found
8644	Process not Found
1580	Process not Found
3060	Process not Found
5084	Process not Found
7500	Process not Found
8592	Process not Found
8416	Process not Found
9784	Process not Found
10660	Process not Found
2472	Process not Found
8380	Process not Found
8576	Process not Found
8256	Process not Found
1712	cmd.exe

Suspicious use of WriteProcessMemory 64 IoCs

description	pid	Process	procid_target
PID 4852 wrote to memory of 4380	4852	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	89
PID 4380 wrote to memory of 4392	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	90
PID 4380 wrote to memory of 4472	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	91
PID 4380 wrote to memory of 2700	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	92
PID 4380 wrote to memory of 2792	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	93
PID 4380 wrote to memory of 3944	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	94
PID 4380 wrote to memory of 3760	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	95
PID 3760 wrote to memory of 384	3760	cmd.exe	96
PID 4380 wrote to memory of 2504	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	97
PID 2504 wrote to memory of 236	2504	cmd.exe	98
PID 4380 wrote to memory of 4144	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	99
PID 4144 wrote to memory of 1992	4144	cmd.exe	100
PID 4380 wrote to memory of 4148	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	101
PID 4148 wrote to memory of 2940	4148	cmd.exe	102
PID 4380 wrote to memory of 1116	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	103
PID 4380 wrote to memory of 3060	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	104
PID 4380 wrote to memory of 4840	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	105
PID 4380 wrote to memory of 3012	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	106
PID 4380 wrote to memory of 3256	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	107
PID 4380 wrote to memory of 1928	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	108
PID 1928 wrote to memory of 3448	1928	cmd.exe	109
PID 4380 wrote to memory of 2372	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	110
PID 2372 wrote to memory of 3080	2372	cmd.exe	111
PID 4380 wrote to memory of 4152	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	112
PID 4152 wrote to memory of 1316	4152	cmd.exe	113
PID 4380 wrote to memory of 124	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	114
PID 124 wrote to memory of 2396	124	cmd.exe	115
PID 4380 wrote to memory of 6024	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	116
PID 4380 wrote to memory of 3792	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	117
PID 4380 wrote to memory of 1936	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	118
PID 4380 wrote to memory of 4700	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	119
PID 4380 wrote to memory of 5688	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	120
PID 4380 wrote to memory of 5176	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	121
PID 5176 wrote to memory of 5148	5176	cmd.exe	122
PID 4380 wrote to memory of 1448	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	123
PID 1448 wrote to memory of 2124	1448	cmd.exe	124
PID 4380 wrote to memory of 1164	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	125
PID 1164 wrote to memory of 3544	1164	cmd.exe	126
PID 4380 wrote to memory of 1308	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	127
PID 1308 wrote to memory of 3816	1308	cmd.exe	128
PID 4380 wrote to memory of 3604	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	129
PID 4380 wrote to memory of 4288	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	130
PID 4380 wrote to memory of 4140	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	131
PID 4380 wrote to memory of 3548	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	132
PID 4380 wrote to memory of 2988	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	133
PID 4380 wrote to memory of 4456	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	134
PID 4456 wrote to memory of 2492	4456	cmd.exe	135
PID 4380 wrote to memory of 936	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	136
PID 936 wrote to memory of 2928	936	cmd.exe	137
PID 4380 wrote to memory of 6128	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	138
PID 6128 wrote to memory of 1472	6128	cmd.exe	139
PID 4380 wrote to memory of 5916	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	140
PID 5916 wrote to memory of 3420	5916	cmd.exe	141
PID 4380 wrote to memory of 4324	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	142
PID 4380 wrote to memory of 6140	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	143
PID 4380 wrote to memory of 1640	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	144
PID 4380 wrote to memory of 3292	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	145
PID 4380 wrote to memory of 3424	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	146
PID 4380 wrote to memory of 2588	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	147
PID 2588 wrote to memory of 4332	2588	cmd.exe	148
PID 4380 wrote to memory of 4808	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	149
PID 4808 wrote to memory of 3984	4808	cmd.exe	150
PID 4380 wrote to memory of 964	4380	2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe	151
PID 964 wrote to memory of 6116	964	cmd.exe	152

Views/modifies file attributes 1 TTPs 64 IoCs

defense_evasion

Hidden Files and Directories

T1564.001

pid	Process
7616	Process not Found
7312	Process not Found
8608	Process not Found
8808	Process not Found
9384	Process not Found
2888	Process not Found
4836	Process not Found
7704	Process not Found
8572	Process not Found
7092	Process not Found
8020	Process not Found
8788	Process not Found
5412	attrib.exe
6600	Process not Found
10016	Process not Found
9240	Process not Found
1568	attrib.exe
4916	Process not Found
5408	Process not Found
8992	Process not Found
6776	Process not Found
1860	Process not Found
6376	Process not Found
7980	Process not Found
1572	Process not Found
9500	Process not Found
10300	Process not Found
1992	attrib.exe
4836	Process not Found
6252	Process not Found
5124	Process not Found
2492	Process not Found
7368	Process not Found
9368	Process not Found
3408	Process not Found
5172	Process not Found
7740	Process not Found
8244	Process not Found
2564	attrib.exe
7080	Process not Found
8920	Process not Found
9868	Process not Found
3740	Process not Found
4500	Process not Found
7460	Process not Found
9076	Process not Found
10360	Process not Found
6832	Process not Found
10844	Process not Found
1980	Process not Found
4528	Process not Found
7312	Process not Found
10604	Process not Found
6820	Process not Found
6976	Process not Found
4256	attrib.exe
8784	Process not Found
9896	Process not Found
10640	Process not Found
10528	Process not Found
6452	Process not Found
2276	Process not Found
7868	Process not Found
8376	Process not Found

C:\Users\Admin\AppData\Local\Temp\2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
"C:\Users\Admin\AppData\Local\Temp\2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe"
1⤵
- Suspicious use of WriteProcessMemory
PID:4852
- C:\Users\Admin\AppData\Local\Temp\2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe
  "C:\Users\Admin\AppData\Local\Temp\2026-11-06_f72028fb03a0f5c11d9af7dedbaa64ee_glassworm_icedid_njrat_ryuk.exe"
  2⤵
  - Loads dropped DLL
  - Suspicious use of WriteProcessMemory
  PID:4380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4392
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4472
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2700
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2792
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3944
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:3760
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:384
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:2504
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4144
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      Views/modifies file attributes
      PID:1992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4148
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2940
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe C:\
    3⤵
    PID:1116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk C:\
    3⤵
    PID:3060
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe C:\
    3⤵
    PID:4840
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe C:\
    3⤵
    PID:3012
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk C:\
    3⤵
    PID:3256
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h C:\twm.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:1928
  - - C:\Windows\system32\attrib.exe
      attrib +s +h C:\twm.exe
      4⤵
      PID:3448
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h C:\twm_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:2372
  - - C:\Windows\system32\attrib.exe
      attrib +s +h C:\twm_.lnk
      4⤵
      PID:3080
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h C:\task_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4152
  - - C:\Windows\system32\attrib.exe
      attrib +s +h C:\task_.lnk
      4⤵
      PID:1316
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h C:\task.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:124
  - - C:\Windows\system32\attrib.exe
      attrib +s +h C:\task.exe
      4⤵
      PID:2396
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:6024
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3792
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1936
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4700
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:5176
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5148
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:1448
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2124
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:1164
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3544
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:1308
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3816
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3604
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4288
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3548
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2988
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4456
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2492
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:936
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2928
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:6128
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1472
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:5916
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4324
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:6140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3292
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3424
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Executes a command shell one-liner
    - Suspicious use of WriteProcessMemory
    PID:2588
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4332
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:4808
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3984
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    - Suspicious use of WriteProcessMemory
    PID:964
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:6116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1184
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4624
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3168
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:592
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:708
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4556
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5716
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4328
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4532
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2608
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2172
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4644
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5624
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4640
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3616
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2920
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5880
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4680
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2580
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1360
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5912
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:6036
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5080
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5956
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5828
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4568
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1712
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5168
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2476
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1792
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Views/modifies file attributes
      PID:1568
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2852
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3908
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4008
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1096
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:428
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3052
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1700
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5684
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3196
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3484
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5576
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5504
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1372
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1368
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2044
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4832
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5600
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5988
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3440
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5932
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:632
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1960
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2404
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:416
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3088
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2496
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:768
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4536
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5400
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5396
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3968
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4548
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Sets file to hidden
      PID:4592
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2160
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3352
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4684
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:6000
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1244
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1668
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3132
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4620
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1520
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5608
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3948
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1816
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2228
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4388
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4392
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5832
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:252
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:6120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2940
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3692
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1564
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3060
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5180
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:384
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1624
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3220
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3080
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2600
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1316
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2776
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2396
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4172
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1592
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5256
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3396
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4704
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5520
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1440
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4360
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3188
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5384
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3816
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3604
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4288
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1588
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      Views/modifies file attributes
      PID:4256
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2948
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4268
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1412
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:884
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1472
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1480
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3432
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3444
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1888
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:6048
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1008
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2328
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4312
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3328
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5204
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:6116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5604
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5252
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4812
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1232
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2316
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3956
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3728
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3236
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2296
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2172
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5416
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4444
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5552
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5292
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3616
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2920
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5880
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4680
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Sets file to hidden
      PID:944
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5224
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5912
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4432
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4224
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:6072
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5244
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:200
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4696
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2312
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2744
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1568
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4916
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5196
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2748
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4668
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5748
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5092
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2672
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1060
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4352
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5852
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4128
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5600
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4404
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5192
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5368
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:632
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1960
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5660
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2108
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5408
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5392
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4612
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5400
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5396
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4912
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3828
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2304
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4592
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4656
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4400
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4648
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4664
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Sets file to hidden
      PID:5632
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1668
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5488
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4484
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1520
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      Sets file to hidden
      PID:5608
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3612
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4768
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2700
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2620
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2792
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:204
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2956
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1332
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4416
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:812
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3692
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4840
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3060
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2596
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3448
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4892
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    - Executes a command shell one-liner
    PID:5140
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3392
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2600
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1316
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2776
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:6024
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4512
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5004
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3396
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2400
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2592
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4360
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3188
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3532
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:844
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2988
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3548
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:6108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2972
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4692
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5776
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1472
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1480
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4324
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:6140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3292
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1148
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5036
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2388
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3328
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5220
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:6116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4624
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4564
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:724
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1088
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5928
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4956
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1716
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1228
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5624
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5416
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1808
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1196
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1484
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1476
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4000
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1948
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3200
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5344
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5904
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5912
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5080
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4568
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:200
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4696
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2312
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2744
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2056
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1176
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5976
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3676
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5288
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      Sets file to hidden
      PID:4860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1980
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4468
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5068
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3148
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5804
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4352
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4972
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2044
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5988
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5372
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5932
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2064
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2092
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:416
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5580
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3620
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:768
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3856
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5920
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4552
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5396
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3828
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3252
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4296
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2520
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    - Executes a command shell one-liner
    PID:4400
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1740
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1376
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3132
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3348
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2968
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4736
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3932
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5696
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5704
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1092
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2228
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5856
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2112
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5832
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2528
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:812
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1724
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5848
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1556
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2596
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4892
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2536
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3392
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4132
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5480
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5968
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2104
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4512
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5144
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2124
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:3544
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3412
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:6020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1572
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3816
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4256
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2196
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3548
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2420
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2928
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5948
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:3248
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5156
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4332
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1148
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3984
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2388
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:6136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2668
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5772
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4920
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5252
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1232
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3168
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4956
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4532
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2848
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5876
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2072
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5292
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3616
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4000
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1628
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4420
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5904
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2976
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4708
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5244
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1732
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:200
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Executes a command shell one-liner
    PID:4696
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2312
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2056
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5588
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1096
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1524
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2184
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1444
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5092
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2672
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2676
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2500
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4972
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4404
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3492
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5368
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5824
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2092
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2340
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5012
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3856
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2300
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2564
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4932
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3252
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5164
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5728
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4400
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1740
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:912
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4620
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2968
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2540
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3932
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5284
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4928
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4168
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4472
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5892
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4872
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:252
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1904
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3692
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5700
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3256
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4840
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4600
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:924
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2760
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3964
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:3480
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1460
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1580
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2104
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5148
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1204
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5360
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5688
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4228
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1236
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3336
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2236
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4884
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    - Executes a command shell one-liner
    PID:4256
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4268
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:884
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2928
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1268
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:6140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5156
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1920
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2628
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2388
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:6136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5772
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:708
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5716
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4812
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2296
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5584
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1228
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:2784
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5876
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1476
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3616
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2920
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5880
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:944
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4948
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5244
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1732
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2476
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4916
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3124
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1424
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:3908
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      Sets file to hidden
      PID:1524
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5748
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1700
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1980
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3196
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5576
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1372
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4128
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3492
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1960
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5932
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:264
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2340
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5012
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4612
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5672
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Views/modifies file attributes
      PID:2564
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1924
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2304
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4592
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2520
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1740
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:6000
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3132
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4484
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5608
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5704
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5284
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4768
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4108
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5856
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4304
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:6120
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:388
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3564
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1556
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1028
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3964
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5480
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4132
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:6024
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5732
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1204
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5360
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:6100
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4288
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:6020
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3816
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3548
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4268
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4692
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1268
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3976
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3984
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2628
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:6116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2364
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4564
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3876
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1252
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4532
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2316
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3920
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2848
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1196
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1808
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3980
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3436
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4224
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3200
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5828
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3356
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2144
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4716
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4336
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1168
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4916
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1152
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1424
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1524
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1420
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5748
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5092
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3020
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3452
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2672
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      Sets file to hidden
      PID:3440
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:244
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1960
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:416
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5660
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3620
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:768
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4024
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5404
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1864
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:1388
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2304
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4656
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1376
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4648
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:912
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4620
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:240
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5172
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5704
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3944
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2752
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5856
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2860
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2956
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1904
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5832
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:388
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3564
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1556
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3752
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1460
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2536
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5004
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:6024
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1440
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2124
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4228
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1572
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3188
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3856
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3456
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3004
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4268
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:1480
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:884
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:6140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5840
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3976
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3984
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2628
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:816
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5220
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3328
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3728
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5656
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4532
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5416
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5584
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2848
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1196
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1808
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3980
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3436
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4184
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5880
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3356
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:200
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3184
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3208
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    - Executes a command shell one-liner
    PID:1712
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4916
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4860
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3172
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2864
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5748
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Executes a command shell one-liner
    PID:5068
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4868
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3376
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5740
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5988
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5936
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4824
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    - Executes a command shell one-liner
    PID:5580
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3332
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:720
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5040
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5012
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1940
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5632
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:3136
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:6000
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4648
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:912
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5608
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2288
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3944
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2112
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5856
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4176
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4116
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5832
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1844
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3392
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4608
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1936
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:1436
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2780
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1552
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2104
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Sets file to hidden
      PID:2400
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:2124
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:2992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:6100
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3336
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2952
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      Sets file to hidden
      PID:4140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5376
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    - Executes a command shell one-liner
    PID:6108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4492
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5908
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2972
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5840
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3424
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1148
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:6136
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:592
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:6116
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4556
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1088
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:4532
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5584
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5692
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3616
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4732
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5904
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4708
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5880
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:200
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3996
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1152
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5888
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2772
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3260
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3676
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5684
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:5748
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4468
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4964
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:3300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5824
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3440
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:416
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1960
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4824
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5580
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3332
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    - Executes a command shell one-liner
    PID:720
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5040
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1940
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5728
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2884
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4748
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4656
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:4484
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5412
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:2540
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4768
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2228
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:2792
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5128
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:4176
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:120
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4872
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5700
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:236
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:3392
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5480
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:2164
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:924
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4172
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3080
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1204
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3792
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3412
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4288
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4884
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:4268
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:2640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4492
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5908
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3420
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:1884
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4332
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1508
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:708
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3728
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4624
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5552
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    - Executes a command shell one-liner
    PID:4532
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5752
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5472
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3616
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3980
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5244
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:1628
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1660
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4948
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:444
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4772
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2772
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3260
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5684
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    - Executes a command shell one-liner
    PID:4468
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:244
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:3300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:4428
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3440
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4660
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:4824
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5580
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:5492
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5040
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3968
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:5380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:6000
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:2292
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:5116
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5608
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3120
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3672
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4168
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2112
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2688
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1116
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:388
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:1904
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1316
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3060
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:4608
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1992
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:1936
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:5004
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:4172
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:3080
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5384
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5184
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:1828
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3816
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4140
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:6108
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:2640
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3380
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4492
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:5908
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3976
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:1884
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:4332
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2328
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:5716
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:2628
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:3936
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:4812
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:3920
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:3896
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:5472
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:1136
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:3616
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3344
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3200
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:1628
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:2380
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:4948
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:864
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:1152
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:3052
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:1524
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:5684
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:3868
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4468
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:244
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      PID:3300
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3440
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm_.lnk
      4⤵
      PID:5020
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task_.lnk
    3⤵
    PID:5660
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task_.lnk
      4⤵
      PID:2340
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\task.exe
    3⤵
    PID:768
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\task.exe
      4⤵
      PID:5404
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm.exe F:\
    3⤵
    PID:5728
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy twm_.lnk F:\
    3⤵
    PID:6004
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy resume.exe F:\
    3⤵
    PID:4748
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task.exe F:\
    3⤵
    PID:912
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c copy task_.lnk F:\
    3⤵
    PID:4484
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm.exe
    3⤵
    PID:2288
  - - C:\Windows\system32\attrib.exe
      attrib +s +h F:\twm.exe
      4⤵
      Views/modifies file attributes
      PID:5412
- - C:\Windows\system32\cmd.exe
    C:\Windows\system32\cmd.exe /c attrib +s +h F:\twm_.lnk
    3⤵
    PID:3944

Network

MITRE ATT&CK Enterprise v16

Reconnaissance

Resource Development

Initial Access

Execution

Command and Scripting Interpreter

T1059

Windows Command Shell

T1059.003

Persistence

Privilege Escalation

Defense Evasion

Hide Artifacts

T1564

Hidden Files and Directories

T1564.001

Credential Access

Discovery

System Information Discovery

T1082

Lateral Movement

Collection

Command and Control

Exfiltration

Impact

Replay Monitor

Loading Replay Monitor...

Downloads

2.exe.manifest

Path C:\Users\Admin\AppData\Local\Temp\_MEI48522\2.exe.manifest
Size 1009B
SHA256 19b28019f04a9afbe509923d66d560fe6cae615ada3441211c2f8234cd156735
MD5 ebd77f19c10938fd0a13c344a252f5ac
SHA1 430046093fbbcbc7a3eafdd7cfede6e668cea905
SHA512 b43236fe7de28a5ea7cf4155eb3331bc7f0f0a5eecd5b844b9c131bfdb2cffb44b6aa785a628aa9fe6b0b4b01cc885e01dee7ee8b2986564883475a69cfb093f
TLSH
T1CC11E100C4C8D862F73205D33360AD49DE59A7BB488C469DB48D7B6F4B13ED48253168
MD5 SHA1 SHA512 TLSH

Submit Download

python27.dll

Path C:\Users\Admin\AppData\Local\Temp\_MEI48522\python27.dll
Size 3.3MB
SHA256 733f502cd8ab9ecfa9f54af7f623fd5023a4702990af6985bb4c9028e9eb994f
MD5 bc5dd2f6e46535812a6b1eba966584fc
SHA1 bb8da5fed602383aef64e73ac1700ff645b1b188
SHA512 d0252489f0af85cd775a9bbec470380d19ee80bf672dc538cabbb7f548deb63d71518f37932f84acff3a41b596c60cac65d87cb9ccabf7f5956b494a903332bf
SSDEEP 49152:CnHmMWTjmrbx/NWSRCgn6S4Ttffg7d47fPjnRM4gHQM1IITPCc+y5+3jt:nsVZzWzRMhHnaup5mt
TLSH
T106F58D46A36720A8DBB7C878CD069642D3717C742B2973CB4564B7AA6B33DE3067E314
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

_ctypes.pyd

Path C:\Users\Admin\AppData\Local\Temp\_MEI48~1\_ctypes.pyd
Size 119KB
SHA256 6f450435edb2b78504f166044aa45e87cd19670789dfacdb1074db7f934ab2a6
MD5 77be51b28c575526d749e2a91f3a4a83
SHA1 6a3a1b24696f5e82813eb5ae633fb4a3543d0543
SHA512 2fb131ed48ac08e51c485d8ce5f16c09c7aa7d3ababb02b01198cc5ece15c33f161af25b7ed3130ee63676dedc0ffb06c40eeb2a6c8654d89ba3539a5242cf6a
SSDEEP 3072:GlBQfrPbtfynx+PRNn5LrL3BL8V4V5+4fJMThn6l:3DDtfIx+PRB5LrLRLK4ffJMTVm
TLSH
T170C3194A23641188EBF6917CC8219E62DB723469170143CF4664C7AA2F93AD77DBE7C8
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

_hashlib.pyd

Path C:\Users\Admin\AppData\Local\Temp\_MEI48~1\_hashlib.pyd
Size 1.6MB
SHA256 4c5af12ecd203ea45e2aec5ce9b4b862636a3b9a6057ce0d5d8cce0ee37ec3a9
MD5 ae415df4a7c5e23857092c0c10bd7d8f
SHA1 ee6793e2eebb0e11e520933f4d233d8818d7c066
SHA512 6d1666e387eba3a1e12d98d971f58adbd05d8d7fa5b4ed5240fbe0343c342ad36d4547d705b84acbae66d2a6013bb4484fd33bf74567ff81420297cbdc6677ac
SSDEEP 49152:iPZZq9jSQ5k2wbmSNPGtlqZVwASO+QPpyo3sALbF+:iPij5KwP
TLSH
T146758D1AE1A401D5D9BBC238C967463BE3F1B4081B70ABDF46A2DB992F13BD5523E740
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

bz2.pyd

Path C:\Users\Admin\AppData\Local\Temp\_MEI48~1\bz2.pyd
Size 90KB
SHA256 baa75ad550784c5c5bada51cb565784a04f267fad708e6611b0cc3dc6ae0c1ed
MD5 a1950d15ae7fadd5b203639f3965f690
SHA1 dd09dfee5577feca2ce25d9cc5091933ca580adb
SHA512 b0ca2e27e0fa77a58c7a56d66bf01fca152cb784e11ced7e247b092864f5a81b6cde353adfe58193d660f9be7b37c8076a6ca75390d4b34228b5359a3a884c88
SSDEEP 1536:+2swYRURXPj3/W3yd/nVu26F3RjrEOxZhuhiDOouhvqucpY62M84+f/PPgTt/:ewYRUR7/W3yd/npS3BE8uhiDObvquWY0
TLSH
T1CA937D41A5816EEEC533C2F4D616952BE73A78A803415BEF8230E9292F43DE27D7C6D1
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

pythoncom27.dll

Path C:\Users\Admin\AppData\Local\Temp\_MEI48~1\pythoncom27.dll
Size 537KB
SHA256 c9f1b53f87a4ee5d4740e03c9da300166de8c239be726e42f2d9d96bd81fabe2
MD5 7805e430a83c985a059fbb9df16da10c
SHA1 498b077aa47b53667937dc2b8463f8ff169dcb08
SHA512 fba45917ddd07505b0035eeaf1fb6d8d472473dbcd2710cb8388bcbbf7833e65e1eb53b05e919c59ee5e11051068dabb65eb4e8b2262c3bcf8b74aa74fdd30ae
SSDEEP 12288:pwrL4cJFXu+DcEEwyAoojDGeCbU7TIOrIvpXgNNoQYyzQ+BSpSq1MNIYYeyIsG+T:pwrL4cJFXu+YEpyAoojaeCbU7TIOrIvo
TLSH
T19AC45C56BB5F5D82E337A23E88435B02D1B27460179DB7C705B5C3AA1B23ED72A3A350
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

pywintypes27.dll

Path C:\Users\Admin\AppData\Local\Temp\_MEI48~1\pywintypes27.dll
Size 135KB
SHA256 959bece25a592bf32d3b3e602bb8ebe88039db2f58916f593db3b66795258074
MD5 ec16db0ad80be2fb40600df034797ecb
SHA1 6d5bce3b8fb8c7dff0aa179d503af47887e3f0c2
SHA512 e0827664a6ff06093c16b520da354af77d85ee10a364fd827ecd345d61c322005104354c12cee9778560e44e6ae7a4aa7e4070f388ef8799f139ea8c5c0c97fb
SSDEEP 3072:gMwiYgZWoh2lw41fwYYrrC0zrG+h+lu01dOlHqmvfbhc:BwiYSPlCfwYYrrC0XG+Ku2dOlHqmvfb
TLSH
T181D33A42375384D9DA76D37DCDA50B02D2B174200B09F3DF06A5C2925EB3BE6AD3B662
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

win32api.pyd

Path C:\Users\Admin\AppData\Local\Temp\_MEI48~1\win32api.pyd
Size 127KB
SHA256 db7ab701c7626b928bb4306bc49cc5f55cff56dacea7cfdccc77eefd06fb136a
MD5 ee73b5435ffd8c1ed67525263b35d4d1
SHA1 3a1ddf1aa147f5c5f165209ad388bb02fc55fb8d
SHA512 70372c9f627be9b42a24dac36af96d1483a7f8c91c0e9ebde80a8168bed7ba14b23d55d330a3f6fd3609190bf5bde98267a2a87abfd414be77a4384f331f4c39
SSDEEP 3072:wfpPfw3tz9JkJLl2j+ahLaBBoX9GsfIiM2p6hoWFdLwx:wfpPfw3fuFl2CZsfIiMZoUdL
TLSH
T1C0D30883639750C9D87AA7BCC57457229B7278640318B3DF4AA0C5470F63AEA7E3CB64
MD5 SHA1 SHA512 SSDEEP TLSH

Submit Download

task_.lnk

Path C:\Users\Admin\AppData\Local\Temp\task_.lnk
Size 1KB
SHA256 5b7e3d26204fc0608c759c9c37acb7567a236806f08d7bbc5eb243c7d31e8c66
MD5 82a2c33c43862dbc594e8ad0102fee1a
SHA1 f3ff2165392bb7eb28caa189be173de1f908b42b
SHA512 959ff4c4152bb995802294123ade32a4ff8353d9162c134e44306ce12ba339192309a39fbdc529634b6a76e481d6abd02c400169dd68e330b05642a88c40383f
TLSH
T166218C490CCA5B26D3728DB220F693304AF63D42FD9AA31C404C9ACD617F190F1B9D6B
MD5 SHA1 SHA512 TLSH

Submit Download

twm_.lnk

Path C:\Users\Admin\AppData\Local\Temp\twm_.lnk
Size 1KB
SHA256 b3579e2954d12b9fcde3dd9cb2efe871fbcad2789ef4bf1283f248c2ea8d0570
MD5 aaf9465c79adc5ebeb9c06bc118828c3
SHA1 806e9cf84327465c5a390161696018e9a39601a6
SHA512 77ee181200be61e9aa90e8925a5abbdfcf6a515741a3d979d23f9ee66e8aad161dd72876e11166ec68c0021cf5b8219440c4b772a951dfea758cc5a3adeb0631
TLSH
T170218C191CCA5B61D3B18CF210B6E3314BFA7C95EE9BA38C00485ACC606A134F179D63
MD5 SHA1 SHA512 TLSH

Submit Download

Analysis

Sharing

General

Malware Config

Signatures

Processes

Network

MITRE ATT&CK Enterprise v16

Replay Monitor

Loading Replay Monitor...

Downloads