What is dot.exe?
dot.exe is usually located in the 'c:\downloads\' folder.
Some of the anti-virus scanners at VirusTotal detected dot.exe.
If you have additional information about the file, please share it with the FreeFixer users by posting a comment at the bottom of this page.
Digital signatures [?]
dot.exe is not signed.
VirusTotal report
46 of the 64 anti-virus programs at VirusTotal detected the dot.exe file. That's a 72% detection rate.
| Scanner | Detection Name |
|---|---|
| Acronis | suspicious |
| Ad-Aware | Gen:Variant.Zusy.286893 |
| AegisLab | Trojan.Win32.NetWire.4!c |
| AhnLab-V3 | Trojan/Win32.NetWiredRC.C2580605 |
| ALYac | Gen:Variant.Zusy.286893 |
| Antiy-AVL | Trojan/Win32.TSGeneric |
| Arcabit | Trojan.Zusy.D460AD |
| Avast | Win32:Malware-gen |
| AVG | Win32:Malware-gen |
| Avira | TR/AD.NetWiredRc.ycwzq |
| BitDefender | Gen:Variant.Zusy.286893 |
| CAT-QuickHeal | Trojan.Cloxer |
| Comodo | Malware@#350vn6yrmj6el |
| CrowdStrike | win/malicious_confidence_80% (W) |
| Cybereason | malicious.7a1079 |
| Cyren | W32/Trojan.CFLT-0916 |
| DrWeb | BackDoor.Siggen2.2488 |
| Emsisoft | Gen:Variant.Zusy.286893 (B) |
| Endgame | malicious (high confidence) |
| ESET-NOD32 | a variant of Win32/Injector.DXSR |
| F-Secure | Trojan.TR/AD.NetWiredRc.ycwzq |
| Fortinet | W32/Injector.DXTA!tr |
| GData | Gen:Variant.Zusy.286893 |
| Ikarus | Trojan.Win32.Sasfis |
| Invincea | heuristic |
| Jiangmin | Packed.Dico.dp |
| K7AntiVirus | Trojan ( 0052d4b21 ) |
| K7GW | Trojan ( 0052d4b21 ) |
| Kaspersky | Trojan.Win32.NetWire.ax |
| MAX | malware (ai score=100) |
| McAfee | Generic.dva |
| McAfee-GW-Edition | Generic.dva |
| Microsoft | Trojan:Win32/Skeeyah.A!bit |
| MicroWorld-eScan | Gen:Variant.Zusy.286893 |
| NANO-Antivirus | Trojan.Win32.Zusy.feexcf |
| Paloalto | generic.ml |
| Panda | Trj/CI.A |
| Qihoo-360 | Win32/Trojan.a0c |
| Rising | Backdoor.Fynloski!8.1FD (CLOUD) |
| Sophos | Troj/Recam-BG |
| Tencent | Win32.Trojan.Inject.Auto |
| Trapmine | malicious.high.ml.score |
| TrendMicro-HouseCall | TSPY_HPLOKI.SM1 |
| VBA32 | Trojan.NetWire |
| Yandex | Trojan.NetWire! |
| ZoneAlarm | Trojan.Win32.NetWire.ax |
Sandbox Report
The following information was gathered by executing the file inside Cuckoo Sandbox.
Summary
Successfully executed process in sandbox.
Summary
{
"file_created": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"directory_created": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install"
],
"dll_loaded": [
"UxTheme.dll",
"winspool.drv",
"comdlg32.dll",
"ntdll",
"uxtheme.dll",
"URLMON.DLL",
"C:\\Windows\\system32\\uxtheme.dll",
"version.dll",
"winmm.dll",
"dwmapi.dll",
"kernel32.dll",
"SHFolder.dll",
"oleaut32.dll",
"shell32.dll",
"comctl32",
"comctl32.dll",
"user32.dll",
"imm32.dll"
],
"file_opened": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"C:\\Windows\\Globalization\\Sorting\\sortdefault.nls"
],
"file_copied": [
[
"C:\\Users\\cuck\\AppData\\Local\\Temp\\Host.exe",
"C:\\Users\\cuck\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\Host.exe"
],
[
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"C:\\Users\\cuck\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin"
]
],
"regkey_opened": [
"HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\LanguagePack\\SurrogateFallback",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer",
"HKEY_LOCAL_MACHINE\\Software\\Borland\\Locales",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings",
"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\crypt32",
"HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\CTF\\Compatibility\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLEAUT",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\OLE\\Tracing",
"HKEY_CURRENT_USER\\Software\\Borland\\Locales",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\LanguagePack\\SurrogateFallback\\Arial",
"HKEY_CURRENT_USER\\Software\\Borland\\Delphi\\Locales",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\CTF\\Compatibility\\Host.exe",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes"
],
"command_line": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"-m \"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin\""
],
"resolves_host": [
"maine007sanchez.hopto.org"
],
"file_written": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"file_deleted": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"file_exists": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"C:\\Users\\cuck\\AppData",
"C:\\Users\\cuck\\AppData\\Local\\Temp",
"C:\\Users\\cuck",
"C:\\Users\\cuck\\AppData\\Roaming",
"C:\\Users",
"C:\\Users\\cuck\\AppData\\Roaming\\Install"
],
"mutex": [
"hTjxWevu"
],
"file_failed": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\data\\help.rtf"
],
"file_read": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin"
],
"regkey_read": [
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes\\MS Shell Dlg 2",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Nls\\CustomLocale\\en-US",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\services\\crypt32\\DebugHeapFlags",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Security_HKLM_only",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE\\PageAllocatorUseSystemHeap",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\DisableImprovedZoneCheck",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\GRE_Initialize\\DisableMetaFiles",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Nls\\ExtendedLocale\\en-US",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\TurnOffSPIAnimations",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE\\PageAllocatorSystemHeapIsPrivate"
]
}Dropped
[
{
"yara": [],
"sha1": "182de40cc690273cf6b537f18fe453eed8ead3f2",
"name": "66fb5724397508ee_host.exe",
"filepath": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"type": "PE32 executable (GUI) Intel 80386, for MS Windows",
"sha256": "66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9",
"urls": [],
"crc32": "B917003F",
"path": "\/home\/hpuser\/.cuckoo\/storage\/analyses\/9397\/files\/66fb5724397508ee_host.exe",
"ssdeep": null,
"size": 858112,
"sha512": "bd767a0c8dfad7d63f66a5adae858d91e8f8719f945db19658dc8020744a4e7e971081665d94b1a508ecc254e1465a50fa282fc526f6892c0691faa5f7bcd80e",
"pids": [
2820
],
"md5": "c373d697a107993844b87f12336acd86"
}
]Generic
[
{
"process_path": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"process_name": "Host.exe",
"pid": 2648,
"summary": {
"mutex": [
"hTjxWevu"
],
"resolves_host": [
"maine007sanchez.hopto.org"
],
"dll_loaded": [
"user32.dll",
"C:\\Windows\\system32\\uxtheme.dll"
]
},
"first_seen": 1599537244.858999,
"ppid": 1224
},
{
"process_path": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"process_name": "Host.exe",
"pid": 1224,
"summary": {
"dll_loaded": [
"UxTheme.dll",
"winspool.drv",
"comdlg32.dll",
"ntdll",
"uxtheme.dll",
"URLMON.DLL",
"version.dll",
"winmm.dll",
"dwmapi.dll",
"kernel32.dll",
"SHFolder.dll",
"oleaut32.dll",
"shell32.dll",
"comctl32",
"imm32.dll",
"comctl32.dll"
],
"file_opened": [
"C:\\Windows\\Globalization\\Sorting\\sortdefault.nls"
],
"file_copied": [
[
"C:\\Users\\cuck\\AppData\\Local\\Temp\\Host.exe",
"C:\\Users\\cuck\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\Host.exe"
]
],
"command_line": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"regkey_opened": [
"HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\LanguagePack\\SurrogateFallback",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer",
"HKEY_LOCAL_MACHINE\\Software\\Borland\\Locales",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings",
"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\crypt32",
"HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLEAUT",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\OLE\\Tracing",
"HKEY_CURRENT_USER\\Software\\Borland\\Locales",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\LanguagePack\\SurrogateFallback\\Arial",
"HKEY_CURRENT_USER\\Software\\Borland\\Delphi\\Locales",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\CTF\\Compatibility\\Host.exe",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes"
],
"file_failed": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\data\\help.rtf"
],
"regkey_read": [
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes\\MS Shell Dlg 2",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Nls\\CustomLocale\\en-US",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\services\\crypt32\\DebugHeapFlags",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Security_HKLM_only",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE\\PageAllocatorUseSystemHeap",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\DisableImprovedZoneCheck",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\GRE_Initialize\\DisableMetaFiles",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Nls\\ExtendedLocale\\en-US",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\TurnOffSPIAnimations",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE\\PageAllocatorSystemHeapIsPrivate"
]
},
"first_seen": 1599537217.452751,
"ppid": 2820
},
{
"process_path": "C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"process_name": "66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"pid": 1664,
"summary": {
"dll_loaded": [
"UxTheme.dll",
"winspool.drv",
"comdlg32.dll",
"ntdll",
"uxtheme.dll",
"URLMON.DLL",
"version.dll",
"winmm.dll",
"dwmapi.dll",
"kernel32.dll",
"SHFolder.dll",
"oleaut32.dll",
"shell32.dll",
"comctl32",
"imm32.dll",
"comctl32.dll"
],
"file_opened": [
"C:\\Windows\\Globalization\\Sorting\\sortdefault.nls"
],
"file_copied": [
[
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"C:\\Users\\cuck\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin"
]
],
"command_line": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin"
],
"regkey_opened": [
"HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\LanguagePack\\SurrogateFallback",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer",
"HKEY_LOCAL_MACHINE\\Software\\Borland\\Locales",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings",
"HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\crypt32",
"HKEY_LOCAL_MACHINE\\Software\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLEAUT",
"HKEY_LOCAL_MACHINE\\Software\\Microsoft\\OLE\\Tracing",
"HKEY_CURRENT_USER\\Software\\Borland\\Locales",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\LanguagePack\\SurrogateFallback\\Arial",
"HKEY_CURRENT_USER\\Software\\Borland\\Delphi\\Locales",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\CTF\\Compatibility\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes"
],
"file_failed": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\data\\help.rtf"
],
"regkey_read": [
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\FontSubstitutes\\MS Shell Dlg 2",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Nls\\CustomLocale\\en-US",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\services\\crypt32\\DebugHeapFlags",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Security_HKLM_only",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE\\PageAllocatorUseSystemHeap",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\DisableImprovedZoneCheck",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\GRE_Initialize\\DisableMetaFiles",
"HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\\Nls\\ExtendedLocale\\en-US",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\TurnOffSPIAnimations",
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\OLE\\PageAllocatorSystemHeapIsPrivate"
]
},
"first_seen": 1599537189.53125,
"ppid": 2448
},
{
"process_path": "C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"process_name": "66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"pid": 2820,
"summary": {
"file_created": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"directory_created": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install"
],
"file_opened": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin"
],
"command_line": [
"-m \"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin\""
],
"file_written": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"file_deleted": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe"
],
"file_exists": [
"C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"C:\\Users\\cuck\\AppData",
"C:\\Users\\cuck\\AppData\\Local\\Temp",
"C:\\Users\\cuck",
"C:\\Users\\cuck\\AppData\\Roaming",
"C:\\Users",
"C:\\Users\\cuck\\AppData\\Roaming\\Install"
],
"file_read": [
"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin"
],
"regkey_read": [
"HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\GRE_Initialize\\DisableMetaFiles"
]
},
"first_seen": 1599537217.249626,
"ppid": 1664
},
{
"process_path": "C:\\Windows\\System32\\lsass.exe",
"process_name": "lsass.exe",
"pid": 476,
"summary": {},
"first_seen": 1599537189.3125,
"ppid": 376
}
]Signatures
[
{
"markcount": 1,
"families": [],
"description": "Checks if process is being debugged by a debugger",
"severity": 1,
"marks": [
{
"call": {
"category": "system",
"status": 0,
"stacktrace": [],
"last_error": 0,
"nt_status": -1073741811,
"api": "IsDebuggerPresent",
"return_value": 0,
"arguments": {},
"time": 1599537244.936999,
"tid": 3048,
"flags": {}
},
"pid": 2648,
"type": "call",
"cid": 14
}
],
"references": [],
"name": "checks_debugger"
},
{
"markcount": 2,
"families": [],
"description": "The executable contains unknown PE section names indicative of a packer (could be a false positive)",
"severity": 1,
"marks": [
{
"category": "section",
"ioc": ".itext",
"type": "ioc",
"description": null
},
{
"category": "section",
"ioc": "PEPACK!!",
"type": "ioc",
"description": null
}
],
"references": [],
"name": "pe_features"
},
{
"markcount": 1,
"families": [],
"description": "The executable uses a known packer",
"severity": 1,
"marks": [
{
"category": "packer",
"ioc": "PE-PACK v1.0 by ANAKiN 1998 (???)",
"type": "ioc",
"description": null
}
],
"references": [],
"name": "peid_packer"
},
{
"markcount": 0,
"families": [],
"description": "One or more potentially interesting buffers were extracted, these generally contain injected code, configuration data, etc.",
"severity": 2,
"marks": [],
"references": [],
"name": "dumped_buffer"
},
{
"markcount": 2,
"families": [],
"description": "Allocates read-write-execute memory (usually to unpack itself)",
"severity": 2,
"marks": [
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtAllocateVirtualMemory",
"return_value": 0,
"arguments": {
"process_identifier": 1664,
"region_size": 4096,
"stack_dep_bypass": 0,
"stack_pivoted": 0,
"heap_dep_bypass": 0,
"protection": 64,
"process_handle": "0xffffffff",
"allocation_type": 4096,
"base_address": "0x003f0000"
},
"time": 1599537189.87525,
"tid": 2736,
"flags": {
"protection": "PAGE_EXECUTE_READWRITE",
"allocation_type": "MEM_COMMIT"
}
},
"pid": 1664,
"type": "call",
"cid": 811
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtAllocateVirtualMemory",
"return_value": 0,
"arguments": {
"process_identifier": 1224,
"region_size": 4096,
"stack_dep_bypass": 0,
"stack_pivoted": 0,
"heap_dep_bypass": 0,
"protection": 64,
"process_handle": "0xffffffff",
"allocation_type": 4096,
"base_address": "0x005e0000"
},
"time": 1599537217.577751,
"tid": 1424,
"flags": {
"protection": "PAGE_EXECUTE_READWRITE",
"allocation_type": "MEM_COMMIT"
}
},
"pid": 1224,
"type": "call",
"cid": 811
}
],
"references": [],
"name": "allocates_rwx"
},
{
"markcount": 1,
"families": [],
"description": "Drops a binary and executes it",
"severity": 2,
"marks": [
{
"category": "file",
"ioc": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"type": "ioc",
"description": null
}
],
"references": [],
"name": "dropper"
},
{
"markcount": 1,
"families": [],
"description": "Drops an executable to the user AppData folder",
"severity": 2,
"marks": [
{
"category": "file",
"ioc": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"type": "ioc",
"description": null
}
],
"references": [],
"name": "exe_appdata"
},
{
"markcount": 6,
"families": [],
"description": "The binary likely contains encrypted or compressed data indicative of a packer",
"severity": 2,
"marks": [
{
"entropy": 7.939949945844644,
"section": {
"size_of_data": "0x00045e00",
"virtual_address": "0x00001000",
"entropy": 7.939949945844644,
"name": ".text",
"virtual_size": "0x0009d000"
},
"type": "generic",
"description": "A section with a high entropy has been found"
},
{
"entropy": 7.145278609708639,
"section": {
"size_of_data": "0x00000600",
"virtual_address": "0x0009e000",
"entropy": 7.145278609708639,
"name": ".itext",
"virtual_size": "0x00001000"
},
"type": "generic",
"description": "A section with a high entropy has been found"
},
{
"entropy": 7.616385809310326,
"section": {
"size_of_data": "0x00001200",
"virtual_address": "0x0009f000",
"entropy": 7.616385809310326,
"name": ".data",
"virtual_size": "0x00003000"
},
"type": "generic",
"description": "A section with a high entropy has been found"
},
{
"entropy": 7.544032202943628,
"section": {
"size_of_data": "0x00001000",
"virtual_address": "0x000a6000",
"entropy": 7.544032202943628,
"name": ".idata",
"virtual_size": "0x00003000"
},
"type": "generic",
"description": "A section with a high entropy has been found"
},
{
"entropy": 7.667155180865597,
"section": {
"size_of_data": "0x00002600",
"virtual_address": "0x000ab000",
"entropy": 7.667155180865597,
"name": ".reloc",
"virtual_size": "0x0000b000"
},
"type": "generic",
"description": "A section with a high entropy has been found"
},
{
"entropy": 0.35722819593787336,
"type": "generic",
"description": "Overall entropy of this PE file is high"
}
],
"references": [
"http:\/\/www.forensickb.com\/2013\/03\/file-entropy-explained.html",
"http:\/\/virii.es\/U\/Using%20Entropy%20Analysis%20to%20Find%20Encrypted%20and%20Packed%20Malware.pdf"
],
"name": "packer_entropy"
},
{
"markcount": 1,
"families": [],
"description": "One or more of the buffers contains an embedded PE file",
"severity": 3,
"marks": [
{
"category": "buffer",
"ioc": "Buffer with sha1: 701d91e28959d35bc132d66e64669197b6d057fa",
"type": "ioc",
"description": null
}
],
"references": [],
"name": "dumped_buffer2"
},
{
"markcount": 2,
"families": [],
"description": "Allocates execute permission to another process indicative of possible code injection",
"severity": 3,
"marks": [
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtAllocateVirtualMemory",
"return_value": 0,
"arguments": {
"process_identifier": 2820,
"region_size": 180224,
"stack_dep_bypass": 0,
"stack_pivoted": 0,
"heap_dep_bypass": 0,
"protection": 64,
"process_handle": "0x00000120",
"allocation_type": 12288,
"base_address": "0x00400000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {
"protection": "PAGE_EXECUTE_READWRITE",
"allocation_type": "MEM_COMMIT|MEM_RESERVE"
}
},
"pid": 1664,
"type": "call",
"cid": 2627
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtAllocateVirtualMemory",
"return_value": 0,
"arguments": {
"process_identifier": 2648,
"region_size": 180224,
"stack_dep_bypass": 0,
"stack_pivoted": 0,
"heap_dep_bypass": 0,
"protection": 64,
"process_handle": "0x00000120",
"allocation_type": 12288,
"base_address": "0x00400000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {
"protection": "PAGE_EXECUTE_READWRITE",
"allocation_type": "MEM_COMMIT|MEM_RESERVE"
}
},
"pid": 1224,
"type": "call",
"cid": 2624
}
],
"references": [],
"name": "allocates_execute_remote_process"
},
{
"markcount": 1,
"families": [],
"description": "Deletes executed files from disk",
"severity": 3,
"marks": [
{
"category": "file",
"ioc": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"type": "ioc",
"description": null
}
],
"references": [],
"name": "deletes_executed_files"
},
{
"markcount": 8,
"families": [],
"description": "Potential code injection by writing to the memory of another process",
"severity": 3,
"marks": [
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "MZ\u0090\u0000\u0003\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u00ff\u00ff\u0000\u0000\u00b8\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000\u0000\u0000\u000e\u001f\u00ba\u000e\u0000\u00b4\t\u00cd!\u00b8\u0001L\u00cd!This program cannot be run in DOS mode.\r\r\n$\u0000\u0000\u0000\u0000\u0000\u0000\u0000PE\u0000\u0000L\u0001\u0006\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00e0\u0000\u000e\u0003\u000b\u0001\u0002\u0019\u0000\u00c4\u0001\u0000\u0000H\u0000\u0000\u0000h\u0000\u0000\u00cb+\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u00e0\u0001\u0000\u0000\u0000@\u0000\u0000\u0010\u0000\u0000\u0000\u0002\u0000\u0000\u0004\u0000\u0000\u0000\u0001\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00c0\u0002\u0000\u0000\u0004\u0000\u0000\u00adi\u0002\u0000\u0002\u0000\u0000\u0001\u0000\u0000 \u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0080\u0002\u00001\u0000\u0000\u0000\u0000\u0090\u0002\u0000\u00e0\u0011\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00b0\u0002\u0000\u00f4\f\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000H\u0093\u0002\u0000\u0080\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000.text\u0000\u0000\u0000,\u00c3\u0001\u0000\u0000\u0010\u0000\u0000\u0000\u00c4\u0001\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000 \u00000`.data\u0000\u0000\u0000\u00d0$\u0000\u0000\u0000\u00e0\u0001\u0000\u0000&\u0000\u0000\u0000\u00c8\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000`\u00c0.bss\u0000\u0000\u0000\u0000\u0084f\u0000\u0000\u0000\u0010\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000`\u00c0.edata\u0000\u00001\u0000\u0000\u0000\u0000\u0080\u0002\u0000\u0000\u0002\u0000\u0000\u0000\u00ee\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000@.idata\u0000\u0000\u00e0\u0011\u0000\u0000\u0000\u0090\u0002\u0000\u0000\u0012\u0000\u0000\u0000\u00f0\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000\u00c0.reloc\u0000\u0000\u00f4\f\u0000\u0000\u0000\u00b0\u0002\u0000\u0000\u000e\u0000\u0000\u0000\u0002\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000B\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2629
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "\u0000\u0000\u0000\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000(\u0080\u0002\u0000\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000Host.exe\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00428000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2637
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "\u0000\u0010\u0000\u0000<\u0000\u0000\u0000\u00050\u00100\u001c0&050?0I0\u00b70\u00f30\u00fa0\u00191\u00822\u00a82E4S4\u00bf4\u009a5`7\u00b07s8b;y<\u00ef=\u00f7=\u008a>\u00aa?\u0000 \u0000\u00004\u0000\u0000\u0000\u00e02\u00ea2\u00f52\u00e23\u00ec3\u00f73\\4f4q4\u00f06\u00138_;\u0099;\u00a7=\u009a>\u00ad>\u00c0>\u00d3>\u00f9>\u001f?O?\u0000\u0000\u00000\u0000\u0000|\u0000\u0000\u0000\u00d20_1\u00d11'2\u00e63p4\u001d757J7_7o7\u00ba8\u00d28\u00e78\u00fc8\f9\u0091:\u00a9:\u00be:\u00d3:\u00e3:};\u0096;\u00ae;\u00c3;\u00c5<\u00cf<\u00e2<\u00ec<\u0001=\u000b=\u001d='=I=S=i=s=\u008b=\u0095=\u00aa=\u00b4=\u00d2=\u00dc=\u00f2=\u00fc=\u0014>\u001e>3>=>[>e>{>\u0085>\u009d>\u00a7>\u00bc>\u00c6>\u0000\u0000\u0000@\u0000\u0000\u00c8\u0000\u0000\u0000\u00a20\u00b30\u00c60\u00d60\u00f50\u00061\u00191)1H1Y1l1|1\u009b1\u00ac1\u00bf1\u00cf1\u00032\u00142'272S2d2w2\u00872\u00a62\u00b72\u00ca2\u00da2\u00f92\n3\u001d3-3R3j3\u00823\u00973\u00f23\n4\"474\u00964\u00ae4\u00c64\u00db4:5R5j55i7z7\u008d7\u009d7\u00bc7\u00cd7\u00e07\u00f07\u000f8 838C8b8s8\u00868\u00968\u00ca8\u00db8\u00ee8\u00fe8\u001a9+9>9N9m9~9\u00919\u00a19\u00c09\u00d19\u00e49\u00f49\u0019:1:I:^:}:\u0095:\u00ad:\u00c2:\u00e4:\u00fc:\u0014;);K;c;{;\u0090;\u0000P\u0000\u0000p\u0000\u0000\u0000C0\b1\u00cd1\u00922W3\u00104\u00c94\u00825;6\u00f46-9k9\u00e9:\u000e;F;\u0082;\u0018=\u001d=*=2=\u00de=\u0013>\u001c>$>+>3>>>I>U>`>k>>\u0088>\u0090>\u00ac>\u00b2>\u00dd>\u00e3>\u00fc>\u0018?\u001e?I?O?h?\u0084?\u008a?\u00b5?\u00bb?\u00d4?\u00f0?\u00f6?\u0000\u0000\u0000`\u0000\u0000\u00b4\u0000\u0000\u0000!0'0j0{0\u00860\u008f0\u00960\u00a90\u00b10\u00b80\u00c30\u00e80\u00f90\u00001\u00e61\u00ee1\u00f51\u00022\n2\u00112\u001e2&2-2:2B2I2v2\u008d2\u00a12\u00d72\u00ee2\u00053;3O3f3\u00903\u009a3\u00a43\u00b43\u00be3\u00c83\u00f63\u00004(4=4N4X4\u00804\u00954\u00de6n7\u00847\u00a17\u00be7@:\u00d2:\u00e8:\u0005;\";F<\u00bb<\u00e2<\u00f2<\u00fa<\u0014=-=R={=\u00b6=\u0001>g>t>\u009c>\u00a9>\u000f?:?T?n?\u0092?\u009e?\u00ac?\u00ba?\u00cb?\u00d7?\u00e5?\u00f0?\u0000p\u0000\u0000\u0004\u0001\u0000\u0000\u00010\r0\u001b0&0U0\u00990\u00b10\u00d00\u00e90\u00fe0\u00031\u00161 1%1:1?1R1\\1v1\u00881\u009d1\u00d21\u00e41\u00f91\u008c2\u00992\u00a82\u00b72\u00d12\u00df2\u00ee2\b3)343A3F3Q3g3l3\u00a53\u00c93\u00f63$4r5w5\u008c5\u00925\u00995\u009f5\u00b25\u00c45\u00126$666H6Z6l6~6\u00906\u00a26\u00b46\u00d26\u00f76\u00157:7L7^7p7\u00827\u00947\u00a67\u00b87\u00ca7\u00dc7\u00ee7\u00008\u00128$868H8Z8l8\u008a8\u00bb8\u00e08\u00fe8\/9T9r9\u00a39\u00c89\u00e69\u0017:<:N:`:r:\u0084:\u0096:\u00a8:\u00ba:\u00cc:\u00de:\u00f0:\u0002;\u0013;\u001a;f;n;~;\u0085;\u0092;\u009a;\u00aa;\u00b1;\u00be;\u00c6;\u00d6;\u00dd;\u00ef;\u0007<\u0019<$<2h??\u0000\u0000\u0000\u00a0\u0000\u0000 \u0000\u0000\u0000\u00130\u00184n4~4\u00a04\u00e35x6\u00c0:\u00e9:h>\u0087>\u0000\u0000\u0000\u00b0\u0000\u00008\u0000\u0000\u0000\u00142-3e7t7\u00967\u00c67\u00e47\u00f07h9\u00829\u00f79\u00a8:N;\\;\u0081;\u008f;\u00d6=\u00fd=\u00c3>\u00dc>\u00ec>\u00f3>\u00b4?\u00cd?\u0000\u00c0\u0000\u0000\u00b8\u0000\u0000\u000010J0Z0a0m0{0\u00ee0\u00151\u00db1\u00f41\u00042\u000b2\u00cc2\u00e52I3b3r3y3\u00da3\u00f33(4e4\u00cc4\u00e84\u008f5o6S758U8\u00808\u008d8\u00b88\u00d68\u001e929\\9{9\u008f9\u009b9\u00c89\u00d59\u00fc9\t:.:7:i:|:\u00fd:\u0019;\u001e;B;K;[;\u0082;\u009e;\u00ba;\u00d6;\u00f2;\u000e<*\u001e>4>G>\u00aa>W?p?\u009f?\u00b2?\u0000\u0000\u0000\u00d0\u0000\u0000\u0084\u0000\u0000\u0000\u00050\u00180d0\u00df0\u00f22\u00fb2\u00f63\u00ea4\u001b5m5\u00986a7k7\u00957\u00b67\u00e27\u00ea7\u00f97\u00038\r8\u001e8.888J8U8_8h8w8\u00828\u00958\u00d18\u00de8\u00e38\u00ee8\u00fc8o9\u00d99.:G:^:\u00eb:\u00bd;\u00c6;\u00f6;&6>f>\u0096>\u00c6>\u00f6>\u00a1?\u00e2?\u0000\u00e0\u0000\u0000l\u0000\u0000\u0000\u00860\u00c00\u001b1o1\u00951\u00a41\u00b31\u00102\u009d273E3[3`3j3z3\u00883\u009e3\u00a33\u00ad3\u00e23\u000f4\u008c4\u00e14'5\/5D6\u00d1677?7\u009d7\u00a57\u00a39\u00bf9\u00db9 :(:\/:}:\u00db:\u00f7:>;E;Z;s;\u00a5;\u000f<;S>\u008d>\u00c7>\u0001?;?u?\u00af?\u00e9?\u0000\u0000\u0000\u0010\u0001\u0000H\u0000\u0000\u0000#0]0\u00970\u00111'1\f4\u00e24\u00156Z6\u009f6\u00838\u00079\u00b99\u00c79\u0002:\u0010:9:\u0010;~;\u008c;\u00b5;\u00f2;26>a>\u00d4>\u0002?\u0000 \u0001\u0000\\\u0000\u0000\u0000I0\u00b40\u00f6081o1\u00bd1\u00ff162\u00842\u00c62\u00fd2K3\u008d3\u00c43\u00124T4\u008b4\u00c856\u00e07K8\u008d8\u00cf8\u00069T9\u00969\u00cd9\u001b:]:\u0094:\u00e2:$;[;\u00a9;\u00eb;\"<_=\u0016>.?6?>?\u0000\u0000\u00000\u0001\u0000,\u0000\u0000\u0000o1\u00841s2\u00af2\u00da2y3\u00943B5\u00aa7\u00b17\u00cf7\u00f87\u00a58\u00c08):\u00f7:\u00f6;\u001e?\u0000@\u0001\u00004\u0000\u0000\u0000\n0-1\u00871\u00a91\u00f2172{2\u00ce2\u000e3\u001c3\u00ee4 5I5r5\u009b5\u00c45\u00ed5\u00b59\u00b8<\t>v>~>\u0000P\u0001\u00000\u0000\u0000\u0000w2\u00994\u00b44\u00c14\u00d94\u00d16\u00df6A7O7\u00b17\u00bf7!8\/8\u00918\u009f839\u008a?\u0098?\u00c1?\u00cf?\u0000`\u0001\u0000H\u0000\u0000\u0000f0\u00870r1\u00981\u00ee1x3\u00823\u008d3\u00923\u00973\u009c3\u00a13\u00a63\u00ab3\u00b53\u00c93\u00ce3\u00f43\b4\u000f4\u00144(4\/4:4I4S4X4g4q4v4\u00804\u00f3=\u0000p\u0001\u0000,\u0000\u0000\u0000{0\u00cf1\u00c62\u008e3f4l5\u00d15\u000b7X8\u00fa8):\u00ef:\u0000<\u0017>\u0096>\u00a7>\u00db>\u00e9>\u0000\u0080\u0001\u0000\u0018\u0000\u0000\u0000\u001c0\u00e31\u00fd1\u00a92\u00b82\u00d32V3\u00a5=\u0000\u0090\u0001\u0000\f\u0000\u0000\u0000\u00a03\u0000\u0000\u0000\u00a0\u0001\u0000\u0010\u0000\u0000\u0000\u0095?\u00bc?\u00d4?\u00f4?\u0000\u00b0\u0001\u0000X\u0000\u0000\u0000@0\u00aa1\u00b81\u00e24\u001d5\u00995\u00cf5\u00ef5z6\u00e66\u00f46}7\u009a7\u00d87\u00e67\u00028\u00108,8:8\u00c69\u001b:W:j:\u00bf:\u00e2:\u00fd:\u0005;\u0088;4\u00e3>\u0000\u00c0\u0001\u0000\u0084\u0000\u0000\u0000\u00a81I2\u000f3\u00ec3\u00e35\\6\u00e88\u009a;\u0015n>v>~>\u0086>\u008e>\u0096>\u009e>\u00a6>\u00ae>\u00b6>\u00be>\u00c6>\u00ce>\u00d6>\u00de>\u00e6>\u00ee>\u00f6>\u00fe>\u0006?\u000e?\u0016?\u001e?&?.?6?>?F?N?V?^?f?n?v?~?\u0086?\u008e?\u0096?\u009e?\u00a6?\u00ae?\u00b6?\u00be?\u00c6?\u00ce?\u00d6?\u00de?\u00e6?\u00ee?\u00f6?\u00fe?\u0000\u0000\u0000\u00d0\u0001\u0000\u00d0\u0000\u0000\u0000\u00060\u000e0\u00160\u001e0&0.060>0F0N0V0^0f0n0v0~0\u00860\u008e0\u00960\u009e0\u00a60\u00ae0\u00b60\u00be0\u00c60\u00ce0\u00d60\u00de0\u00e60\u00ee0\u00f60\u00fe0\u00061\u000e1\u00161\u001e1&1.161>1F1N1V1^1f1n1v1~1\u00861\u008e1\u00961\u009e1\u00a61\u00ae1\u00b61\u00be1\u00c61\u00ce1\u00d61\u00de1\u00e61\u00ee1\u00f61\u00fe1\u00062\u000e2\u00162\u001e2&2.262>2F2N2V2^2f2n2v2~2\u00862\u008e2\u00962\u009e2\u00a62\u00ae2\u00b62\u00be2\u00c62\u00ce2\u00d62\u00de2\u00e62\u00ee2\u00f62\u00fe2\u00063\u000e3\u00163\u0000\u0000\u0000\u00e0\u0001\u00004\u0001\u0000\u0000\u00000\u00040\b0\f0\u00100\u00140\u00180\u001c0 0$0(0,000@0\u00e07\u00e47\u00e87\u00ec7\u00f07\u00f47\u00f87\u00fc7\u00008 8$8(8,8084888<8@8D8H8L8P8T8X8\\8`8d8h8l8p8t8x8|8\u00808\u00848\u00888\u008c8\u00908\u00948\u00988\u009c8\u00a08\u00a48\u00a88\u00ac8\u00b08\u00b48\u00b88\u00bc8\u00c08\u00c48\u00c88\u00cc8\u00149\u00189\u001c9 9$9(9,9094989<9@9D9H9L9P9T9X9\\9`9d9h9l9p9t9x9|9\u00809\u00849\u00889\u008c9\u00909\u00949\u00989\u009c9\u00a09\u00a49\u00a89\u00ac9\u00b09\u00b49\u00b89\u00bc9\u00c09\u00c49\u00c89\u00cc9\u00d09\u00d49\u00d89\u00dc9\u00e09\u00e49\u00e89\u00ec9\u00f09\u00f49\u00f89\u00fc9\u0000:\u0004:\b:\f:\u0010:\u0014:\u0018:\u001c: :$:(:,:0:4:8:<:@:D:H:L:P:T:X:\u0000\u0000\u0000\u00f0\u0001\u0000\u001c\u0001\u0000\u0000\u008c0\u00900\u00940\u00980\u009c0\u00a00\u00a40\u00a80\u00ac0\u00b00\u00b40\u00b80\u00bc0\u00c00\u00c40\u00c80\u00cc0\u00d00\u00d40\u00d80\u00dc0\u00e00\u00e40\u00e80\u00ec0\u00f00\u00f40\u00f80\u00fc0\u00001\u00041\b1\f1\u00101\u00141\u00181\u001c1 1$1(1,1014181<1@1D1H1L1P1T1X1\\1`1d1h1l1p1t1x1|1\u00801\u00841\u00881\u008c1\u00901\u00941\u00981\u009c1\u00a01\u00a41\u00a81\u00ac1\u00b01\u00b41\u00b81\u00bc1\u00c01\u00c41\u00c81\u00cc1\u00d01\u00d41\u00d81\u00dc1\u00e01\u00e41\u00e81\u00ec1\u00f01\u00f41\u00f81\u00fc1\u00002\u00042\b2\f2\u00102\u00142\u00182\u001c2 2$2(2,2024282<2@2D2H2L2P2T2X2\\2`2d2h2l2p2t2x2|2\u00802\u00842\u00882\u008c2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u00ac2\u00b02\u0000\u0000\u0002\u0000D\u0000\u0000\u0000d1h1l1p1t1x1|1\u00801\u00841\u00881(2,2024282<2@2D2H2L2P2T2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x0042b000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2641
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "\u0000\u0000@\u0000",
"process_handle": "0x00000120",
"base_address": "0x7efde008"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2643
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "MZ\u0090\u0000\u0003\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u00ff\u00ff\u0000\u0000\u00b8\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000\u0000\u0000\u000e\u001f\u00ba\u000e\u0000\u00b4\t\u00cd!\u00b8\u0001L\u00cd!This program cannot be run in DOS mode.\r\r\n$\u0000\u0000\u0000\u0000\u0000\u0000\u0000PE\u0000\u0000L\u0001\u0006\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00e0\u0000\u000e\u0003\u000b\u0001\u0002\u0019\u0000\u00c4\u0001\u0000\u0000H\u0000\u0000\u0000h\u0000\u0000\u00cb+\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u00e0\u0001\u0000\u0000\u0000@\u0000\u0000\u0010\u0000\u0000\u0000\u0002\u0000\u0000\u0004\u0000\u0000\u0000\u0001\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00c0\u0002\u0000\u0000\u0004\u0000\u0000\u00adi\u0002\u0000\u0002\u0000\u0000\u0001\u0000\u0000 \u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0080\u0002\u00001\u0000\u0000\u0000\u0000\u0090\u0002\u0000\u00e0\u0011\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00b0\u0002\u0000\u00f4\f\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000H\u0093\u0002\u0000\u0080\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000.text\u0000\u0000\u0000,\u00c3\u0001\u0000\u0000\u0010\u0000\u0000\u0000\u00c4\u0001\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000 \u00000`.data\u0000\u0000\u0000\u00d0$\u0000\u0000\u0000\u00e0\u0001\u0000\u0000&\u0000\u0000\u0000\u00c8\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000`\u00c0.bss\u0000\u0000\u0000\u0000\u0084f\u0000\u0000\u0000\u0010\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000`\u00c0.edata\u0000\u00001\u0000\u0000\u0000\u0000\u0080\u0002\u0000\u0000\u0002\u0000\u0000\u0000\u00ee\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000@.idata\u0000\u0000\u00e0\u0011\u0000\u0000\u0000\u0090\u0002\u0000\u0000\u0012\u0000\u0000\u0000\u00f0\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000\u00c0.reloc\u0000\u0000\u00f4\f\u0000\u0000\u0000\u00b0\u0002\u0000\u0000\u000e\u0000\u0000\u0000\u0002\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000B\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2626
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "\u0000\u0000\u0000\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000(\u0080\u0002\u0000\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000Host.exe\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00428000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2634
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "\u0000\u0010\u0000\u0000<\u0000\u0000\u0000\u00050\u00100\u001c0&050?0I0\u00b70\u00f30\u00fa0\u00191\u00822\u00a82E4S4\u00bf4\u009a5`7\u00b07s8b;y<\u00ef=\u00f7=\u008a>\u00aa?\u0000 \u0000\u00004\u0000\u0000\u0000\u00e02\u00ea2\u00f52\u00e23\u00ec3\u00f73\\4f4q4\u00f06\u00138_;\u0099;\u00a7=\u009a>\u00ad>\u00c0>\u00d3>\u00f9>\u001f?O?\u0000\u0000\u00000\u0000\u0000|\u0000\u0000\u0000\u00d20_1\u00d11'2\u00e63p4\u001d757J7_7o7\u00ba8\u00d28\u00e78\u00fc8\f9\u0091:\u00a9:\u00be:\u00d3:\u00e3:};\u0096;\u00ae;\u00c3;\u00c5<\u00cf<\u00e2<\u00ec<\u0001=\u000b=\u001d='=I=S=i=s=\u008b=\u0095=\u00aa=\u00b4=\u00d2=\u00dc=\u00f2=\u00fc=\u0014>\u001e>3>=>[>e>{>\u0085>\u009d>\u00a7>\u00bc>\u00c6>\u0000\u0000\u0000@\u0000\u0000\u00c8\u0000\u0000\u0000\u00a20\u00b30\u00c60\u00d60\u00f50\u00061\u00191)1H1Y1l1|1\u009b1\u00ac1\u00bf1\u00cf1\u00032\u00142'272S2d2w2\u00872\u00a62\u00b72\u00ca2\u00da2\u00f92\n3\u001d3-3R3j3\u00823\u00973\u00f23\n4\"474\u00964\u00ae4\u00c64\u00db4:5R5j55i7z7\u008d7\u009d7\u00bc7\u00cd7\u00e07\u00f07\u000f8 838C8b8s8\u00868\u00968\u00ca8\u00db8\u00ee8\u00fe8\u001a9+9>9N9m9~9\u00919\u00a19\u00c09\u00d19\u00e49\u00f49\u0019:1:I:^:}:\u0095:\u00ad:\u00c2:\u00e4:\u00fc:\u0014;);K;c;{;\u0090;\u0000P\u0000\u0000p\u0000\u0000\u0000C0\b1\u00cd1\u00922W3\u00104\u00c94\u00825;6\u00f46-9k9\u00e9:\u000e;F;\u0082;\u0018=\u001d=*=2=\u00de=\u0013>\u001c>$>+>3>>>I>U>`>k>>\u0088>\u0090>\u00ac>\u00b2>\u00dd>\u00e3>\u00fc>\u0018?\u001e?I?O?h?\u0084?\u008a?\u00b5?\u00bb?\u00d4?\u00f0?\u00f6?\u0000\u0000\u0000`\u0000\u0000\u00b4\u0000\u0000\u0000!0'0j0{0\u00860\u008f0\u00960\u00a90\u00b10\u00b80\u00c30\u00e80\u00f90\u00001\u00e61\u00ee1\u00f51\u00022\n2\u00112\u001e2&2-2:2B2I2v2\u008d2\u00a12\u00d72\u00ee2\u00053;3O3f3\u00903\u009a3\u00a43\u00b43\u00be3\u00c83\u00f63\u00004(4=4N4X4\u00804\u00954\u00de6n7\u00847\u00a17\u00be7@:\u00d2:\u00e8:\u0005;\";F<\u00bb<\u00e2<\u00f2<\u00fa<\u0014=-=R={=\u00b6=\u0001>g>t>\u009c>\u00a9>\u000f?:?T?n?\u0092?\u009e?\u00ac?\u00ba?\u00cb?\u00d7?\u00e5?\u00f0?\u0000p\u0000\u0000\u0004\u0001\u0000\u0000\u00010\r0\u001b0&0U0\u00990\u00b10\u00d00\u00e90\u00fe0\u00031\u00161 1%1:1?1R1\\1v1\u00881\u009d1\u00d21\u00e41\u00f91\u008c2\u00992\u00a82\u00b72\u00d12\u00df2\u00ee2\b3)343A3F3Q3g3l3\u00a53\u00c93\u00f63$4r5w5\u008c5\u00925\u00995\u009f5\u00b25\u00c45\u00126$666H6Z6l6~6\u00906\u00a26\u00b46\u00d26\u00f76\u00157:7L7^7p7\u00827\u00947\u00a67\u00b87\u00ca7\u00dc7\u00ee7\u00008\u00128$868H8Z8l8\u008a8\u00bb8\u00e08\u00fe8\/9T9r9\u00a39\u00c89\u00e69\u0017:<:N:`:r:\u0084:\u0096:\u00a8:\u00ba:\u00cc:\u00de:\u00f0:\u0002;\u0013;\u001a;f;n;~;\u0085;\u0092;\u009a;\u00aa;\u00b1;\u00be;\u00c6;\u00d6;\u00dd;\u00ef;\u0007<\u0019<$<2h??\u0000\u0000\u0000\u00a0\u0000\u0000 \u0000\u0000\u0000\u00130\u00184n4~4\u00a04\u00e35x6\u00c0:\u00e9:h>\u0087>\u0000\u0000\u0000\u00b0\u0000\u00008\u0000\u0000\u0000\u00142-3e7t7\u00967\u00c67\u00e47\u00f07h9\u00829\u00f79\u00a8:N;\\;\u0081;\u008f;\u00d6=\u00fd=\u00c3>\u00dc>\u00ec>\u00f3>\u00b4?\u00cd?\u0000\u00c0\u0000\u0000\u00b8\u0000\u0000\u000010J0Z0a0m0{0\u00ee0\u00151\u00db1\u00f41\u00042\u000b2\u00cc2\u00e52I3b3r3y3\u00da3\u00f33(4e4\u00cc4\u00e84\u008f5o6S758U8\u00808\u008d8\u00b88\u00d68\u001e929\\9{9\u008f9\u009b9\u00c89\u00d59\u00fc9\t:.:7:i:|:\u00fd:\u0019;\u001e;B;K;[;\u0082;\u009e;\u00ba;\u00d6;\u00f2;\u000e<*\u001e>4>G>\u00aa>W?p?\u009f?\u00b2?\u0000\u0000\u0000\u00d0\u0000\u0000\u0084\u0000\u0000\u0000\u00050\u00180d0\u00df0\u00f22\u00fb2\u00f63\u00ea4\u001b5m5\u00986a7k7\u00957\u00b67\u00e27\u00ea7\u00f97\u00038\r8\u001e8.888J8U8_8h8w8\u00828\u00958\u00d18\u00de8\u00e38\u00ee8\u00fc8o9\u00d99.:G:^:\u00eb:\u00bd;\u00c6;\u00f6;&6>f>\u0096>\u00c6>\u00f6>\u00a1?\u00e2?\u0000\u00e0\u0000\u0000l\u0000\u0000\u0000\u00860\u00c00\u001b1o1\u00951\u00a41\u00b31\u00102\u009d273E3[3`3j3z3\u00883\u009e3\u00a33\u00ad3\u00e23\u000f4\u008c4\u00e14'5\/5D6\u00d1677?7\u009d7\u00a57\u00a39\u00bf9\u00db9 :(:\/:}:\u00db:\u00f7:>;E;Z;s;\u00a5;\u000f<;S>\u008d>\u00c7>\u0001?;?u?\u00af?\u00e9?\u0000\u0000\u0000\u0010\u0001\u0000H\u0000\u0000\u0000#0]0\u00970\u00111'1\f4\u00e24\u00156Z6\u009f6\u00838\u00079\u00b99\u00c79\u0002:\u0010:9:\u0010;~;\u008c;\u00b5;\u00f2;26>a>\u00d4>\u0002?\u0000 \u0001\u0000\\\u0000\u0000\u0000I0\u00b40\u00f6081o1\u00bd1\u00ff162\u00842\u00c62\u00fd2K3\u008d3\u00c43\u00124T4\u008b4\u00c856\u00e07K8\u008d8\u00cf8\u00069T9\u00969\u00cd9\u001b:]:\u0094:\u00e2:$;[;\u00a9;\u00eb;\"<_=\u0016>.?6?>?\u0000\u0000\u00000\u0001\u0000,\u0000\u0000\u0000o1\u00841s2\u00af2\u00da2y3\u00943B5\u00aa7\u00b17\u00cf7\u00f87\u00a58\u00c08):\u00f7:\u00f6;\u001e?\u0000@\u0001\u00004\u0000\u0000\u0000\n0-1\u00871\u00a91\u00f2172{2\u00ce2\u000e3\u001c3\u00ee4 5I5r5\u009b5\u00c45\u00ed5\u00b59\u00b8<\t>v>~>\u0000P\u0001\u00000\u0000\u0000\u0000w2\u00994\u00b44\u00c14\u00d94\u00d16\u00df6A7O7\u00b17\u00bf7!8\/8\u00918\u009f839\u008a?\u0098?\u00c1?\u00cf?\u0000`\u0001\u0000H\u0000\u0000\u0000f0\u00870r1\u00981\u00ee1x3\u00823\u008d3\u00923\u00973\u009c3\u00a13\u00a63\u00ab3\u00b53\u00c93\u00ce3\u00f43\b4\u000f4\u00144(4\/4:4I4S4X4g4q4v4\u00804\u00f3=\u0000p\u0001\u0000,\u0000\u0000\u0000{0\u00cf1\u00c62\u008e3f4l5\u00d15\u000b7X8\u00fa8):\u00ef:\u0000<\u0017>\u0096>\u00a7>\u00db>\u00e9>\u0000\u0080\u0001\u0000\u0018\u0000\u0000\u0000\u001c0\u00e31\u00fd1\u00a92\u00b82\u00d32V3\u00a5=\u0000\u0090\u0001\u0000\f\u0000\u0000\u0000\u00a03\u0000\u0000\u0000\u00a0\u0001\u0000\u0010\u0000\u0000\u0000\u0095?\u00bc?\u00d4?\u00f4?\u0000\u00b0\u0001\u0000X\u0000\u0000\u0000@0\u00aa1\u00b81\u00e24\u001d5\u00995\u00cf5\u00ef5z6\u00e66\u00f46}7\u009a7\u00d87\u00e67\u00028\u00108,8:8\u00c69\u001b:W:j:\u00bf:\u00e2:\u00fd:\u0005;\u0088;4\u00e3>\u0000\u00c0\u0001\u0000\u0084\u0000\u0000\u0000\u00a81I2\u000f3\u00ec3\u00e35\\6\u00e88\u009a;\u0015n>v>~>\u0086>\u008e>\u0096>\u009e>\u00a6>\u00ae>\u00b6>\u00be>\u00c6>\u00ce>\u00d6>\u00de>\u00e6>\u00ee>\u00f6>\u00fe>\u0006?\u000e?\u0016?\u001e?&?.?6?>?F?N?V?^?f?n?v?~?\u0086?\u008e?\u0096?\u009e?\u00a6?\u00ae?\u00b6?\u00be?\u00c6?\u00ce?\u00d6?\u00de?\u00e6?\u00ee?\u00f6?\u00fe?\u0000\u0000\u0000\u00d0\u0001\u0000\u00d0\u0000\u0000\u0000\u00060\u000e0\u00160\u001e0&0.060>0F0N0V0^0f0n0v0~0\u00860\u008e0\u00960\u009e0\u00a60\u00ae0\u00b60\u00be0\u00c60\u00ce0\u00d60\u00de0\u00e60\u00ee0\u00f60\u00fe0\u00061\u000e1\u00161\u001e1&1.161>1F1N1V1^1f1n1v1~1\u00861\u008e1\u00961\u009e1\u00a61\u00ae1\u00b61\u00be1\u00c61\u00ce1\u00d61\u00de1\u00e61\u00ee1\u00f61\u00fe1\u00062\u000e2\u00162\u001e2&2.262>2F2N2V2^2f2n2v2~2\u00862\u008e2\u00962\u009e2\u00a62\u00ae2\u00b62\u00be2\u00c62\u00ce2\u00d62\u00de2\u00e62\u00ee2\u00f62\u00fe2\u00063\u000e3\u00163\u0000\u0000\u0000\u00e0\u0001\u00004\u0001\u0000\u0000\u00000\u00040\b0\f0\u00100\u00140\u00180\u001c0 0$0(0,000@0\u00e07\u00e47\u00e87\u00ec7\u00f07\u00f47\u00f87\u00fc7\u00008 8$8(8,8084888<8@8D8H8L8P8T8X8\\8`8d8h8l8p8t8x8|8\u00808\u00848\u00888\u008c8\u00908\u00948\u00988\u009c8\u00a08\u00a48\u00a88\u00ac8\u00b08\u00b48\u00b88\u00bc8\u00c08\u00c48\u00c88\u00cc8\u00149\u00189\u001c9 9$9(9,9094989<9@9D9H9L9P9T9X9\\9`9d9h9l9p9t9x9|9\u00809\u00849\u00889\u008c9\u00909\u00949\u00989\u009c9\u00a09\u00a49\u00a89\u00ac9\u00b09\u00b49\u00b89\u00bc9\u00c09\u00c49\u00c89\u00cc9\u00d09\u00d49\u00d89\u00dc9\u00e09\u00e49\u00e89\u00ec9\u00f09\u00f49\u00f89\u00fc9\u0000:\u0004:\b:\f:\u0010:\u0014:\u0018:\u001c: :$:(:,:0:4:8:<:@:D:H:L:P:T:X:\u0000\u0000\u0000\u00f0\u0001\u0000\u001c\u0001\u0000\u0000\u008c0\u00900\u00940\u00980\u009c0\u00a00\u00a40\u00a80\u00ac0\u00b00\u00b40\u00b80\u00bc0\u00c00\u00c40\u00c80\u00cc0\u00d00\u00d40\u00d80\u00dc0\u00e00\u00e40\u00e80\u00ec0\u00f00\u00f40\u00f80\u00fc0\u00001\u00041\b1\f1\u00101\u00141\u00181\u001c1 1$1(1,1014181<1@1D1H1L1P1T1X1\\1`1d1h1l1p1t1x1|1\u00801\u00841\u00881\u008c1\u00901\u00941\u00981\u009c1\u00a01\u00a41\u00a81\u00ac1\u00b01\u00b41\u00b81\u00bc1\u00c01\u00c41\u00c81\u00cc1\u00d01\u00d41\u00d81\u00dc1\u00e01\u00e41\u00e81\u00ec1\u00f01\u00f41\u00f81\u00fc1\u00002\u00042\b2\f2\u00102\u00142\u00182\u001c2 2$2(2,2024282<2@2D2H2L2P2T2X2\\2`2d2h2l2p2t2x2|2\u00802\u00842\u00882\u008c2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u00ac2\u00b02\u0000\u0000\u0002\u0000D\u0000\u0000\u0000d1h1l1p1t1x1|1\u00801\u00841\u00881(2,2024282<2@2D2H2L2P2T2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x0042b000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2638
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "\u0000\u0000@\u0000",
"process_handle": "0x00000120",
"base_address": "0x7efde008"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2640
}
],
"references": [],
"name": "injection_write_memory"
},
{
"markcount": 2,
"families": [],
"description": "Code injection by writing an executable or DLL to the memory of another process",
"severity": 3,
"marks": [
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "MZ\u0090\u0000\u0003\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u00ff\u00ff\u0000\u0000\u00b8\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000\u0000\u0000\u000e\u001f\u00ba\u000e\u0000\u00b4\t\u00cd!\u00b8\u0001L\u00cd!This program cannot be run in DOS mode.\r\r\n$\u0000\u0000\u0000\u0000\u0000\u0000\u0000PE\u0000\u0000L\u0001\u0006\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00e0\u0000\u000e\u0003\u000b\u0001\u0002\u0019\u0000\u00c4\u0001\u0000\u0000H\u0000\u0000\u0000h\u0000\u0000\u00cb+\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u00e0\u0001\u0000\u0000\u0000@\u0000\u0000\u0010\u0000\u0000\u0000\u0002\u0000\u0000\u0004\u0000\u0000\u0000\u0001\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00c0\u0002\u0000\u0000\u0004\u0000\u0000\u00adi\u0002\u0000\u0002\u0000\u0000\u0001\u0000\u0000 \u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0080\u0002\u00001\u0000\u0000\u0000\u0000\u0090\u0002\u0000\u00e0\u0011\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00b0\u0002\u0000\u00f4\f\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000H\u0093\u0002\u0000\u0080\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000.text\u0000\u0000\u0000,\u00c3\u0001\u0000\u0000\u0010\u0000\u0000\u0000\u00c4\u0001\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000 \u00000`.data\u0000\u0000\u0000\u00d0$\u0000\u0000\u0000\u00e0\u0001\u0000\u0000&\u0000\u0000\u0000\u00c8\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000`\u00c0.bss\u0000\u0000\u0000\u0000\u0084f\u0000\u0000\u0000\u0010\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000`\u00c0.edata\u0000\u00001\u0000\u0000\u0000\u0000\u0080\u0002\u0000\u0000\u0002\u0000\u0000\u0000\u00ee\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000@.idata\u0000\u0000\u00e0\u0011\u0000\u0000\u0000\u0090\u0002\u0000\u0000\u0012\u0000\u0000\u0000\u00f0\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000\u00c0.reloc\u0000\u0000\u00f4\f\u0000\u0000\u0000\u00b0\u0002\u0000\u0000\u000e\u0000\u0000\u0000\u0002\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000B\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2629
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "MZ\u0090\u0000\u0003\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u00ff\u00ff\u0000\u0000\u00b8\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000\u0000\u0000\u000e\u001f\u00ba\u000e\u0000\u00b4\t\u00cd!\u00b8\u0001L\u00cd!This program cannot be run in DOS mode.\r\r\n$\u0000\u0000\u0000\u0000\u0000\u0000\u0000PE\u0000\u0000L\u0001\u0006\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00e0\u0000\u000e\u0003\u000b\u0001\u0002\u0019\u0000\u00c4\u0001\u0000\u0000H\u0000\u0000\u0000h\u0000\u0000\u00cb+\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u00e0\u0001\u0000\u0000\u0000@\u0000\u0000\u0010\u0000\u0000\u0000\u0002\u0000\u0000\u0004\u0000\u0000\u0000\u0001\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00c0\u0002\u0000\u0000\u0004\u0000\u0000\u00adi\u0002\u0000\u0002\u0000\u0000\u0001\u0000\u0000 \u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0080\u0002\u00001\u0000\u0000\u0000\u0000\u0090\u0002\u0000\u00e0\u0011\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00b0\u0002\u0000\u00f4\f\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000H\u0093\u0002\u0000\u0080\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000.text\u0000\u0000\u0000,\u00c3\u0001\u0000\u0000\u0010\u0000\u0000\u0000\u00c4\u0001\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000 \u00000`.data\u0000\u0000\u0000\u00d0$\u0000\u0000\u0000\u00e0\u0001\u0000\u0000&\u0000\u0000\u0000\u00c8\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000`\u00c0.bss\u0000\u0000\u0000\u0000\u0084f\u0000\u0000\u0000\u0010\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000`\u00c0.edata\u0000\u00001\u0000\u0000\u0000\u0000\u0080\u0002\u0000\u0000\u0002\u0000\u0000\u0000\u00ee\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000@.idata\u0000\u0000\u00e0\u0011\u0000\u0000\u0000\u0090\u0002\u0000\u0000\u0012\u0000\u0000\u0000\u00f0\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000\u00c0.reloc\u0000\u0000\u00f4\f\u0000\u0000\u0000\u00b0\u0002\u0000\u0000\u000e\u0000\u0000\u0000\u0002\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000B\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2626
}
],
"references": [],
"name": "injection_write_memory_exe"
},
{
"markcount": 4,
"families": [],
"description": "Used NtSetContextThread to modify a thread in a remote process indicative of process injection",
"severity": 3,
"marks": [
{
"category": "Process injection",
"ioc": "Process 1664 called NtSetContextThread to modify thread in remote process 2820",
"type": "ioc",
"description": null
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtSetContextThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"registers": {
"eip": 2008678852,
"esp": 1638384,
"edi": 0,
"eax": 4205515,
"ebp": 0,
"edx": 0,
"ebx": 2130567168,
"esi": 0,
"ecx": 0
},
"process_identifier": 2820
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2645
},
{
"category": "Process injection",
"ioc": "Process 1224 called NtSetContextThread to modify thread in remote process 2648",
"type": "ioc",
"description": null
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtSetContextThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"registers": {
"eip": 2008678852,
"esp": 1638384,
"edi": 0,
"eax": 4205515,
"ebp": 0,
"edx": 0,
"ebx": 2130567168,
"esi": 0,
"ecx": 0
},
"process_identifier": 2648
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2642
}
],
"references": [
"www.endgame.com\/blog\/technical-blog\/ten-process-injection-techniques-technical-survey-common-and-trending-process"
],
"name": "injection_ntsetcontextthread"
},
{
"markcount": 4,
"families": [],
"description": "Resumed a suspended thread in a remote process potentially indicative of process injection",
"severity": 3,
"marks": [
{
"category": "Process injection",
"ioc": "Process 1664 resumed a thread in remote process 2820",
"type": "ioc",
"description": null
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtResumeThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"suspend_count": 1,
"process_identifier": 2820
},
"time": 1599537217.15625,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2647
},
{
"category": "Process injection",
"ioc": "Process 1224 resumed a thread in remote process 2648",
"type": "ioc",
"description": null
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtResumeThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"suspend_count": 1,
"process_identifier": 2648
},
"time": 1599537244.780751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2644
}
],
"references": [
"www.endgame.com\/blog\/technical-blog\/ten-process-injection-techniques-technical-survey-common-and-trending-process"
],
"name": "injection_resumethread"
},
{
"markcount": 29,
"families": [],
"description": "Executed a process and injected code into it, probably while unpacking",
"severity": 5,
"marks": [
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "CreateProcessInternalW",
"return_value": 1,
"arguments": {
"thread_identifier": 2952,
"thread_handle": "0x0000011c",
"process_identifier": 2820,
"current_directory": "",
"filepath": "",
"track": 1,
"command_line": "C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin",
"filepath_r": "",
"stack_pivoted": 0,
"creation_flags": 4,
"process_handle": "0x00000120",
"inherit_handles": 0
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {
"creation_flags": "CREATE_SUSPENDED"
}
},
"pid": 1664,
"type": "call",
"cid": 2618
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtGetContextThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2620
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtUnmapViewOfSection",
"return_value": 0,
"arguments": {
"process_identifier": 2820,
"region_size": 4096,
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2625
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtAllocateVirtualMemory",
"return_value": 0,
"arguments": {
"process_identifier": 2820,
"region_size": 180224,
"stack_dep_bypass": 0,
"stack_pivoted": 0,
"heap_dep_bypass": 0,
"protection": 64,
"process_handle": "0x00000120",
"allocation_type": 12288,
"base_address": "0x00400000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {
"protection": "PAGE_EXECUTE_READWRITE",
"allocation_type": "MEM_COMMIT|MEM_RESERVE"
}
},
"pid": 1664,
"type": "call",
"cid": 2627
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "MZ\u0090\u0000\u0003\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u00ff\u00ff\u0000\u0000\u00b8\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000\u0000\u0000\u000e\u001f\u00ba\u000e\u0000\u00b4\t\u00cd!\u00b8\u0001L\u00cd!This program cannot be run in DOS mode.\r\r\n$\u0000\u0000\u0000\u0000\u0000\u0000\u0000PE\u0000\u0000L\u0001\u0006\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00e0\u0000\u000e\u0003\u000b\u0001\u0002\u0019\u0000\u00c4\u0001\u0000\u0000H\u0000\u0000\u0000h\u0000\u0000\u00cb+\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u00e0\u0001\u0000\u0000\u0000@\u0000\u0000\u0010\u0000\u0000\u0000\u0002\u0000\u0000\u0004\u0000\u0000\u0000\u0001\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00c0\u0002\u0000\u0000\u0004\u0000\u0000\u00adi\u0002\u0000\u0002\u0000\u0000\u0001\u0000\u0000 \u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0080\u0002\u00001\u0000\u0000\u0000\u0000\u0090\u0002\u0000\u00e0\u0011\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00b0\u0002\u0000\u00f4\f\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000H\u0093\u0002\u0000\u0080\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000.text\u0000\u0000\u0000,\u00c3\u0001\u0000\u0000\u0010\u0000\u0000\u0000\u00c4\u0001\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000 \u00000`.data\u0000\u0000\u0000\u00d0$\u0000\u0000\u0000\u00e0\u0001\u0000\u0000&\u0000\u0000\u0000\u00c8\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000`\u00c0.bss\u0000\u0000\u0000\u0000\u0084f\u0000\u0000\u0000\u0010\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000`\u00c0.edata\u0000\u00001\u0000\u0000\u0000\u0000\u0080\u0002\u0000\u0000\u0002\u0000\u0000\u0000\u00ee\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000@.idata\u0000\u0000\u00e0\u0011\u0000\u0000\u0000\u0090\u0002\u0000\u0000\u0012\u0000\u0000\u0000\u00f0\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000\u00c0.reloc\u0000\u0000\u00f4\f\u0000\u0000\u0000\u00b0\u0002\u0000\u0000\u000e\u0000\u0000\u0000\u0002\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000B\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2629
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"buffer": "303bccf54ab300c4712fb3658f73a557129b43bb",
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x00401000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2631
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"buffer": "e61a649316d20aa1a0811bd65f181d5889789c4a",
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x0041e000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2633
},
{
"call": {
"category": "process",
"status": 0,
"stacktrace": [],
"buffer": "701d91e28959d35bc132d66e64669197b6d057fa",
"last_error": 87,
"nt_status": -1073741583,
"api": "WriteProcessMemory",
"return_value": 0,
"arguments": {
"process_identifier": 2820,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x00421000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2635
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "\u0000\u0000\u0000\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000(\u0080\u0002\u0000\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000Host.exe\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00428000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2637
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"buffer": "9898883de0f613e96df876754ccc28fc52a2b193",
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x00429000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2639
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "\u0000\u0010\u0000\u0000<\u0000\u0000\u0000\u00050\u00100\u001c0&050?0I0\u00b70\u00f30\u00fa0\u00191\u00822\u00a82E4S4\u00bf4\u009a5`7\u00b07s8b;y<\u00ef=\u00f7=\u008a>\u00aa?\u0000 \u0000\u00004\u0000\u0000\u0000\u00e02\u00ea2\u00f52\u00e23\u00ec3\u00f73\\4f4q4\u00f06\u00138_;\u0099;\u00a7=\u009a>\u00ad>\u00c0>\u00d3>\u00f9>\u001f?O?\u0000\u0000\u00000\u0000\u0000|\u0000\u0000\u0000\u00d20_1\u00d11'2\u00e63p4\u001d757J7_7o7\u00ba8\u00d28\u00e78\u00fc8\f9\u0091:\u00a9:\u00be:\u00d3:\u00e3:};\u0096;\u00ae;\u00c3;\u00c5<\u00cf<\u00e2<\u00ec<\u0001=\u000b=\u001d='=I=S=i=s=\u008b=\u0095=\u00aa=\u00b4=\u00d2=\u00dc=\u00f2=\u00fc=\u0014>\u001e>3>=>[>e>{>\u0085>\u009d>\u00a7>\u00bc>\u00c6>\u0000\u0000\u0000@\u0000\u0000\u00c8\u0000\u0000\u0000\u00a20\u00b30\u00c60\u00d60\u00f50\u00061\u00191)1H1Y1l1|1\u009b1\u00ac1\u00bf1\u00cf1\u00032\u00142'272S2d2w2\u00872\u00a62\u00b72\u00ca2\u00da2\u00f92\n3\u001d3-3R3j3\u00823\u00973\u00f23\n4\"474\u00964\u00ae4\u00c64\u00db4:5R5j55i7z7\u008d7\u009d7\u00bc7\u00cd7\u00e07\u00f07\u000f8 838C8b8s8\u00868\u00968\u00ca8\u00db8\u00ee8\u00fe8\u001a9+9>9N9m9~9\u00919\u00a19\u00c09\u00d19\u00e49\u00f49\u0019:1:I:^:}:\u0095:\u00ad:\u00c2:\u00e4:\u00fc:\u0014;);K;c;{;\u0090;\u0000P\u0000\u0000p\u0000\u0000\u0000C0\b1\u00cd1\u00922W3\u00104\u00c94\u00825;6\u00f46-9k9\u00e9:\u000e;F;\u0082;\u0018=\u001d=*=2=\u00de=\u0013>\u001c>$>+>3>>>I>U>`>k>>\u0088>\u0090>\u00ac>\u00b2>\u00dd>\u00e3>\u00fc>\u0018?\u001e?I?O?h?\u0084?\u008a?\u00b5?\u00bb?\u00d4?\u00f0?\u00f6?\u0000\u0000\u0000`\u0000\u0000\u00b4\u0000\u0000\u0000!0'0j0{0\u00860\u008f0\u00960\u00a90\u00b10\u00b80\u00c30\u00e80\u00f90\u00001\u00e61\u00ee1\u00f51\u00022\n2\u00112\u001e2&2-2:2B2I2v2\u008d2\u00a12\u00d72\u00ee2\u00053;3O3f3\u00903\u009a3\u00a43\u00b43\u00be3\u00c83\u00f63\u00004(4=4N4X4\u00804\u00954\u00de6n7\u00847\u00a17\u00be7@:\u00d2:\u00e8:\u0005;\";F<\u00bb<\u00e2<\u00f2<\u00fa<\u0014=-=R={=\u00b6=\u0001>g>t>\u009c>\u00a9>\u000f?:?T?n?\u0092?\u009e?\u00ac?\u00ba?\u00cb?\u00d7?\u00e5?\u00f0?\u0000p\u0000\u0000\u0004\u0001\u0000\u0000\u00010\r0\u001b0&0U0\u00990\u00b10\u00d00\u00e90\u00fe0\u00031\u00161 1%1:1?1R1\\1v1\u00881\u009d1\u00d21\u00e41\u00f91\u008c2\u00992\u00a82\u00b72\u00d12\u00df2\u00ee2\b3)343A3F3Q3g3l3\u00a53\u00c93\u00f63$4r5w5\u008c5\u00925\u00995\u009f5\u00b25\u00c45\u00126$666H6Z6l6~6\u00906\u00a26\u00b46\u00d26\u00f76\u00157:7L7^7p7\u00827\u00947\u00a67\u00b87\u00ca7\u00dc7\u00ee7\u00008\u00128$868H8Z8l8\u008a8\u00bb8\u00e08\u00fe8\/9T9r9\u00a39\u00c89\u00e69\u0017:<:N:`:r:\u0084:\u0096:\u00a8:\u00ba:\u00cc:\u00de:\u00f0:\u0002;\u0013;\u001a;f;n;~;\u0085;\u0092;\u009a;\u00aa;\u00b1;\u00be;\u00c6;\u00d6;\u00dd;\u00ef;\u0007<\u0019<$<2h??\u0000\u0000\u0000\u00a0\u0000\u0000 \u0000\u0000\u0000\u00130\u00184n4~4\u00a04\u00e35x6\u00c0:\u00e9:h>\u0087>\u0000\u0000\u0000\u00b0\u0000\u00008\u0000\u0000\u0000\u00142-3e7t7\u00967\u00c67\u00e47\u00f07h9\u00829\u00f79\u00a8:N;\\;\u0081;\u008f;\u00d6=\u00fd=\u00c3>\u00dc>\u00ec>\u00f3>\u00b4?\u00cd?\u0000\u00c0\u0000\u0000\u00b8\u0000\u0000\u000010J0Z0a0m0{0\u00ee0\u00151\u00db1\u00f41\u00042\u000b2\u00cc2\u00e52I3b3r3y3\u00da3\u00f33(4e4\u00cc4\u00e84\u008f5o6S758U8\u00808\u008d8\u00b88\u00d68\u001e929\\9{9\u008f9\u009b9\u00c89\u00d59\u00fc9\t:.:7:i:|:\u00fd:\u0019;\u001e;B;K;[;\u0082;\u009e;\u00ba;\u00d6;\u00f2;\u000e<*\u001e>4>G>\u00aa>W?p?\u009f?\u00b2?\u0000\u0000\u0000\u00d0\u0000\u0000\u0084\u0000\u0000\u0000\u00050\u00180d0\u00df0\u00f22\u00fb2\u00f63\u00ea4\u001b5m5\u00986a7k7\u00957\u00b67\u00e27\u00ea7\u00f97\u00038\r8\u001e8.888J8U8_8h8w8\u00828\u00958\u00d18\u00de8\u00e38\u00ee8\u00fc8o9\u00d99.:G:^:\u00eb:\u00bd;\u00c6;\u00f6;&6>f>\u0096>\u00c6>\u00f6>\u00a1?\u00e2?\u0000\u00e0\u0000\u0000l\u0000\u0000\u0000\u00860\u00c00\u001b1o1\u00951\u00a41\u00b31\u00102\u009d273E3[3`3j3z3\u00883\u009e3\u00a33\u00ad3\u00e23\u000f4\u008c4\u00e14'5\/5D6\u00d1677?7\u009d7\u00a57\u00a39\u00bf9\u00db9 :(:\/:}:\u00db:\u00f7:>;E;Z;s;\u00a5;\u000f<;S>\u008d>\u00c7>\u0001?;?u?\u00af?\u00e9?\u0000\u0000\u0000\u0010\u0001\u0000H\u0000\u0000\u0000#0]0\u00970\u00111'1\f4\u00e24\u00156Z6\u009f6\u00838\u00079\u00b99\u00c79\u0002:\u0010:9:\u0010;~;\u008c;\u00b5;\u00f2;26>a>\u00d4>\u0002?\u0000 \u0001\u0000\\\u0000\u0000\u0000I0\u00b40\u00f6081o1\u00bd1\u00ff162\u00842\u00c62\u00fd2K3\u008d3\u00c43\u00124T4\u008b4\u00c856\u00e07K8\u008d8\u00cf8\u00069T9\u00969\u00cd9\u001b:]:\u0094:\u00e2:$;[;\u00a9;\u00eb;\"<_=\u0016>.?6?>?\u0000\u0000\u00000\u0001\u0000,\u0000\u0000\u0000o1\u00841s2\u00af2\u00da2y3\u00943B5\u00aa7\u00b17\u00cf7\u00f87\u00a58\u00c08):\u00f7:\u00f6;\u001e?\u0000@\u0001\u00004\u0000\u0000\u0000\n0-1\u00871\u00a91\u00f2172{2\u00ce2\u000e3\u001c3\u00ee4 5I5r5\u009b5\u00c45\u00ed5\u00b59\u00b8<\t>v>~>\u0000P\u0001\u00000\u0000\u0000\u0000w2\u00994\u00b44\u00c14\u00d94\u00d16\u00df6A7O7\u00b17\u00bf7!8\/8\u00918\u009f839\u008a?\u0098?\u00c1?\u00cf?\u0000`\u0001\u0000H\u0000\u0000\u0000f0\u00870r1\u00981\u00ee1x3\u00823\u008d3\u00923\u00973\u009c3\u00a13\u00a63\u00ab3\u00b53\u00c93\u00ce3\u00f43\b4\u000f4\u00144(4\/4:4I4S4X4g4q4v4\u00804\u00f3=\u0000p\u0001\u0000,\u0000\u0000\u0000{0\u00cf1\u00c62\u008e3f4l5\u00d15\u000b7X8\u00fa8):\u00ef:\u0000<\u0017>\u0096>\u00a7>\u00db>\u00e9>\u0000\u0080\u0001\u0000\u0018\u0000\u0000\u0000\u001c0\u00e31\u00fd1\u00a92\u00b82\u00d32V3\u00a5=\u0000\u0090\u0001\u0000\f\u0000\u0000\u0000\u00a03\u0000\u0000\u0000\u00a0\u0001\u0000\u0010\u0000\u0000\u0000\u0095?\u00bc?\u00d4?\u00f4?\u0000\u00b0\u0001\u0000X\u0000\u0000\u0000@0\u00aa1\u00b81\u00e24\u001d5\u00995\u00cf5\u00ef5z6\u00e66\u00f46}7\u009a7\u00d87\u00e67\u00028\u00108,8:8\u00c69\u001b:W:j:\u00bf:\u00e2:\u00fd:\u0005;\u0088;4\u00e3>\u0000\u00c0\u0001\u0000\u0084\u0000\u0000\u0000\u00a81I2\u000f3\u00ec3\u00e35\\6\u00e88\u009a;\u0015n>v>~>\u0086>\u008e>\u0096>\u009e>\u00a6>\u00ae>\u00b6>\u00be>\u00c6>\u00ce>\u00d6>\u00de>\u00e6>\u00ee>\u00f6>\u00fe>\u0006?\u000e?\u0016?\u001e?&?.?6?>?F?N?V?^?f?n?v?~?\u0086?\u008e?\u0096?\u009e?\u00a6?\u00ae?\u00b6?\u00be?\u00c6?\u00ce?\u00d6?\u00de?\u00e6?\u00ee?\u00f6?\u00fe?\u0000\u0000\u0000\u00d0\u0001\u0000\u00d0\u0000\u0000\u0000\u00060\u000e0\u00160\u001e0&0.060>0F0N0V0^0f0n0v0~0\u00860\u008e0\u00960\u009e0\u00a60\u00ae0\u00b60\u00be0\u00c60\u00ce0\u00d60\u00de0\u00e60\u00ee0\u00f60\u00fe0\u00061\u000e1\u00161\u001e1&1.161>1F1N1V1^1f1n1v1~1\u00861\u008e1\u00961\u009e1\u00a61\u00ae1\u00b61\u00be1\u00c61\u00ce1\u00d61\u00de1\u00e61\u00ee1\u00f61\u00fe1\u00062\u000e2\u00162\u001e2&2.262>2F2N2V2^2f2n2v2~2\u00862\u008e2\u00962\u009e2\u00a62\u00ae2\u00b62\u00be2\u00c62\u00ce2\u00d62\u00de2\u00e62\u00ee2\u00f62\u00fe2\u00063\u000e3\u00163\u0000\u0000\u0000\u00e0\u0001\u00004\u0001\u0000\u0000\u00000\u00040\b0\f0\u00100\u00140\u00180\u001c0 0$0(0,000@0\u00e07\u00e47\u00e87\u00ec7\u00f07\u00f47\u00f87\u00fc7\u00008 8$8(8,8084888<8@8D8H8L8P8T8X8\\8`8d8h8l8p8t8x8|8\u00808\u00848\u00888\u008c8\u00908\u00948\u00988\u009c8\u00a08\u00a48\u00a88\u00ac8\u00b08\u00b48\u00b88\u00bc8\u00c08\u00c48\u00c88\u00cc8\u00149\u00189\u001c9 9$9(9,9094989<9@9D9H9L9P9T9X9\\9`9d9h9l9p9t9x9|9\u00809\u00849\u00889\u008c9\u00909\u00949\u00989\u009c9\u00a09\u00a49\u00a89\u00ac9\u00b09\u00b49\u00b89\u00bc9\u00c09\u00c49\u00c89\u00cc9\u00d09\u00d49\u00d89\u00dc9\u00e09\u00e49\u00e89\u00ec9\u00f09\u00f49\u00f89\u00fc9\u0000:\u0004:\b:\f:\u0010:\u0014:\u0018:\u001c: :$:(:,:0:4:8:<:@:D:H:L:P:T:X:\u0000\u0000\u0000\u00f0\u0001\u0000\u001c\u0001\u0000\u0000\u008c0\u00900\u00940\u00980\u009c0\u00a00\u00a40\u00a80\u00ac0\u00b00\u00b40\u00b80\u00bc0\u00c00\u00c40\u00c80\u00cc0\u00d00\u00d40\u00d80\u00dc0\u00e00\u00e40\u00e80\u00ec0\u00f00\u00f40\u00f80\u00fc0\u00001\u00041\b1\f1\u00101\u00141\u00181\u001c1 1$1(1,1014181<1@1D1H1L1P1T1X1\\1`1d1h1l1p1t1x1|1\u00801\u00841\u00881\u008c1\u00901\u00941\u00981\u009c1\u00a01\u00a41\u00a81\u00ac1\u00b01\u00b41\u00b81\u00bc1\u00c01\u00c41\u00c81\u00cc1\u00d01\u00d41\u00d81\u00dc1\u00e01\u00e41\u00e81\u00ec1\u00f01\u00f41\u00f81\u00fc1\u00002\u00042\b2\f2\u00102\u00142\u00182\u001c2 2$2(2,2024282<2@2D2H2L2P2T2X2\\2`2d2h2l2p2t2x2|2\u00802\u00842\u00882\u008c2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u00ac2\u00b02\u0000\u0000\u0002\u0000D\u0000\u0000\u0000d1h1l1p1t1x1|1\u00801\u00841\u00881(2,2024282<2@2D2H2L2P2T2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x0042b000"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2641
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2820,
"buffer": "\u0000\u0000@\u0000",
"process_handle": "0x00000120",
"base_address": "0x7efde008"
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2643
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtSetContextThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"registers": {
"eip": 2008678852,
"esp": 1638384,
"edi": 0,
"eax": 4205515,
"ebp": 0,
"edx": 0,
"ebx": 2130567168,
"esi": 0,
"ecx": 0
},
"process_identifier": 2820
},
"time": 1599537217.11025,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2645
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtResumeThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"suspend_count": 1,
"process_identifier": 2820
},
"time": 1599537217.15625,
"tid": 2736,
"flags": {}
},
"pid": 1664,
"type": "call",
"cid": 2647
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "CreateProcessInternalW",
"return_value": 1,
"arguments": {
"thread_identifier": 1424,
"thread_handle": "0x000000a8",
"process_identifier": 1224,
"current_directory": "",
"filepath": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"track": 1,
"command_line": "-m \"C:\\Users\\cuck\\AppData\\Local\\Temp\\66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9.bin\"",
"filepath_r": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"stack_pivoted": 0,
"creation_flags": 0,
"process_handle": "0x000000ac",
"inherit_handles": 0
},
"time": 1599537217.390626,
"tid": 2952,
"flags": {
"creation_flags": ""
}
},
"pid": 2820,
"type": "call",
"cid": 97
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "CreateProcessInternalW",
"return_value": 1,
"arguments": {
"thread_identifier": 2508,
"thread_handle": "0x0000011c",
"process_identifier": 2648,
"current_directory": "",
"filepath": "",
"track": 1,
"command_line": "C:\\Users\\cuck\\AppData\\Roaming\\Install\\Host.exe",
"filepath_r": "",
"stack_pivoted": 0,
"creation_flags": 4,
"process_handle": "0x00000120",
"inherit_handles": 0
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {
"creation_flags": "CREATE_SUSPENDED"
}
},
"pid": 1224,
"type": "call",
"cid": 2615
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtGetContextThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2617
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtUnmapViewOfSection",
"return_value": 0,
"arguments": {
"process_identifier": 2648,
"region_size": 4096,
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2622
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtAllocateVirtualMemory",
"return_value": 0,
"arguments": {
"process_identifier": 2648,
"region_size": 180224,
"stack_dep_bypass": 0,
"stack_pivoted": 0,
"heap_dep_bypass": 0,
"protection": 64,
"process_handle": "0x00000120",
"allocation_type": 12288,
"base_address": "0x00400000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {
"protection": "PAGE_EXECUTE_READWRITE",
"allocation_type": "MEM_COMMIT|MEM_RESERVE"
}
},
"pid": 1224,
"type": "call",
"cid": 2624
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "MZ\u0090\u0000\u0003\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u00ff\u00ff\u0000\u0000\u00b8\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000\u0000\u0000\u000e\u001f\u00ba\u000e\u0000\u00b4\t\u00cd!\u00b8\u0001L\u00cd!This program cannot be run in DOS mode.\r\r\n$\u0000\u0000\u0000\u0000\u0000\u0000\u0000PE\u0000\u0000L\u0001\u0006\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00e0\u0000\u000e\u0003\u000b\u0001\u0002\u0019\u0000\u00c4\u0001\u0000\u0000H\u0000\u0000\u0000h\u0000\u0000\u00cb+\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u00e0\u0001\u0000\u0000\u0000@\u0000\u0000\u0010\u0000\u0000\u0000\u0002\u0000\u0000\u0004\u0000\u0000\u0000\u0001\u0000\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00c0\u0002\u0000\u0000\u0004\u0000\u0000\u00adi\u0002\u0000\u0002\u0000\u0000\u0001\u0000\u0000 \u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0000\u0000\u0010\u0000\u0000\u0000\u0000\u0080\u0002\u00001\u0000\u0000\u0000\u0000\u0090\u0002\u0000\u00e0\u0011\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u00b0\u0002\u0000\u00f4\f\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000H\u0093\u0002\u0000\u0080\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000.text\u0000\u0000\u0000,\u00c3\u0001\u0000\u0000\u0010\u0000\u0000\u0000\u00c4\u0001\u0000\u0000\u0004\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000 \u00000`.data\u0000\u0000\u0000\u00d0$\u0000\u0000\u0000\u00e0\u0001\u0000\u0000&\u0000\u0000\u0000\u00c8\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u0000`\u00c0.bss\u0000\u0000\u0000\u0000\u0084f\u0000\u0000\u0000\u0010\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0080\u0000`\u00c0.edata\u0000\u00001\u0000\u0000\u0000\u0000\u0080\u0002\u0000\u0000\u0002\u0000\u0000\u0000\u00ee\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000@.idata\u0000\u0000\u00e0\u0011\u0000\u0000\u0000\u0090\u0002\u0000\u0000\u0012\u0000\u0000\u0000\u00f0\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000\u00c0.reloc\u0000\u0000\u00f4\f\u0000\u0000\u0000\u00b0\u0002\u0000\u0000\u000e\u0000\u0000\u0000\u0002\u0002\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000@\u00000B\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00400000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2626
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"buffer": "303bccf54ab300c4712fb3658f73a557129b43bb",
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x00401000"
},
"time": 1599537244.734751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2628
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"buffer": "e61a649316d20aa1a0811bd65f181d5889789c4a",
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x0041e000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2630
},
{
"call": {
"category": "process",
"status": 0,
"stacktrace": [],
"buffer": "701d91e28959d35bc132d66e64669197b6d057fa",
"last_error": 87,
"nt_status": -1073741583,
"api": "WriteProcessMemory",
"return_value": 0,
"arguments": {
"process_identifier": 2648,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x00421000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2632
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "\u0000\u0000\u0000\u0000\u00c6J\u00c2Z\u0000\u0000\u0000\u0000(\u0080\u0002\u0000\u0001\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000(\u0080\u0002\u0000Host.exe\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x00428000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2634
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"buffer": "9898883de0f613e96df876754ccc28fc52a2b193",
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "",
"process_handle": "0x00000120",
"base_address": "0x00429000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2636
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "\u0000\u0010\u0000\u0000<\u0000\u0000\u0000\u00050\u00100\u001c0&050?0I0\u00b70\u00f30\u00fa0\u00191\u00822\u00a82E4S4\u00bf4\u009a5`7\u00b07s8b;y<\u00ef=\u00f7=\u008a>\u00aa?\u0000 \u0000\u00004\u0000\u0000\u0000\u00e02\u00ea2\u00f52\u00e23\u00ec3\u00f73\\4f4q4\u00f06\u00138_;\u0099;\u00a7=\u009a>\u00ad>\u00c0>\u00d3>\u00f9>\u001f?O?\u0000\u0000\u00000\u0000\u0000|\u0000\u0000\u0000\u00d20_1\u00d11'2\u00e63p4\u001d757J7_7o7\u00ba8\u00d28\u00e78\u00fc8\f9\u0091:\u00a9:\u00be:\u00d3:\u00e3:};\u0096;\u00ae;\u00c3;\u00c5<\u00cf<\u00e2<\u00ec<\u0001=\u000b=\u001d='=I=S=i=s=\u008b=\u0095=\u00aa=\u00b4=\u00d2=\u00dc=\u00f2=\u00fc=\u0014>\u001e>3>=>[>e>{>\u0085>\u009d>\u00a7>\u00bc>\u00c6>\u0000\u0000\u0000@\u0000\u0000\u00c8\u0000\u0000\u0000\u00a20\u00b30\u00c60\u00d60\u00f50\u00061\u00191)1H1Y1l1|1\u009b1\u00ac1\u00bf1\u00cf1\u00032\u00142'272S2d2w2\u00872\u00a62\u00b72\u00ca2\u00da2\u00f92\n3\u001d3-3R3j3\u00823\u00973\u00f23\n4\"474\u00964\u00ae4\u00c64\u00db4:5R5j55i7z7\u008d7\u009d7\u00bc7\u00cd7\u00e07\u00f07\u000f8 838C8b8s8\u00868\u00968\u00ca8\u00db8\u00ee8\u00fe8\u001a9+9>9N9m9~9\u00919\u00a19\u00c09\u00d19\u00e49\u00f49\u0019:1:I:^:}:\u0095:\u00ad:\u00c2:\u00e4:\u00fc:\u0014;);K;c;{;\u0090;\u0000P\u0000\u0000p\u0000\u0000\u0000C0\b1\u00cd1\u00922W3\u00104\u00c94\u00825;6\u00f46-9k9\u00e9:\u000e;F;\u0082;\u0018=\u001d=*=2=\u00de=\u0013>\u001c>$>+>3>>>I>U>`>k>>\u0088>\u0090>\u00ac>\u00b2>\u00dd>\u00e3>\u00fc>\u0018?\u001e?I?O?h?\u0084?\u008a?\u00b5?\u00bb?\u00d4?\u00f0?\u00f6?\u0000\u0000\u0000`\u0000\u0000\u00b4\u0000\u0000\u0000!0'0j0{0\u00860\u008f0\u00960\u00a90\u00b10\u00b80\u00c30\u00e80\u00f90\u00001\u00e61\u00ee1\u00f51\u00022\n2\u00112\u001e2&2-2:2B2I2v2\u008d2\u00a12\u00d72\u00ee2\u00053;3O3f3\u00903\u009a3\u00a43\u00b43\u00be3\u00c83\u00f63\u00004(4=4N4X4\u00804\u00954\u00de6n7\u00847\u00a17\u00be7@:\u00d2:\u00e8:\u0005;\";F<\u00bb<\u00e2<\u00f2<\u00fa<\u0014=-=R={=\u00b6=\u0001>g>t>\u009c>\u00a9>\u000f?:?T?n?\u0092?\u009e?\u00ac?\u00ba?\u00cb?\u00d7?\u00e5?\u00f0?\u0000p\u0000\u0000\u0004\u0001\u0000\u0000\u00010\r0\u001b0&0U0\u00990\u00b10\u00d00\u00e90\u00fe0\u00031\u00161 1%1:1?1R1\\1v1\u00881\u009d1\u00d21\u00e41\u00f91\u008c2\u00992\u00a82\u00b72\u00d12\u00df2\u00ee2\b3)343A3F3Q3g3l3\u00a53\u00c93\u00f63$4r5w5\u008c5\u00925\u00995\u009f5\u00b25\u00c45\u00126$666H6Z6l6~6\u00906\u00a26\u00b46\u00d26\u00f76\u00157:7L7^7p7\u00827\u00947\u00a67\u00b87\u00ca7\u00dc7\u00ee7\u00008\u00128$868H8Z8l8\u008a8\u00bb8\u00e08\u00fe8\/9T9r9\u00a39\u00c89\u00e69\u0017:<:N:`:r:\u0084:\u0096:\u00a8:\u00ba:\u00cc:\u00de:\u00f0:\u0002;\u0013;\u001a;f;n;~;\u0085;\u0092;\u009a;\u00aa;\u00b1;\u00be;\u00c6;\u00d6;\u00dd;\u00ef;\u0007<\u0019<$<2h??\u0000\u0000\u0000\u00a0\u0000\u0000 \u0000\u0000\u0000\u00130\u00184n4~4\u00a04\u00e35x6\u00c0:\u00e9:h>\u0087>\u0000\u0000\u0000\u00b0\u0000\u00008\u0000\u0000\u0000\u00142-3e7t7\u00967\u00c67\u00e47\u00f07h9\u00829\u00f79\u00a8:N;\\;\u0081;\u008f;\u00d6=\u00fd=\u00c3>\u00dc>\u00ec>\u00f3>\u00b4?\u00cd?\u0000\u00c0\u0000\u0000\u00b8\u0000\u0000\u000010J0Z0a0m0{0\u00ee0\u00151\u00db1\u00f41\u00042\u000b2\u00cc2\u00e52I3b3r3y3\u00da3\u00f33(4e4\u00cc4\u00e84\u008f5o6S758U8\u00808\u008d8\u00b88\u00d68\u001e929\\9{9\u008f9\u009b9\u00c89\u00d59\u00fc9\t:.:7:i:|:\u00fd:\u0019;\u001e;B;K;[;\u0082;\u009e;\u00ba;\u00d6;\u00f2;\u000e<*\u001e>4>G>\u00aa>W?p?\u009f?\u00b2?\u0000\u0000\u0000\u00d0\u0000\u0000\u0084\u0000\u0000\u0000\u00050\u00180d0\u00df0\u00f22\u00fb2\u00f63\u00ea4\u001b5m5\u00986a7k7\u00957\u00b67\u00e27\u00ea7\u00f97\u00038\r8\u001e8.888J8U8_8h8w8\u00828\u00958\u00d18\u00de8\u00e38\u00ee8\u00fc8o9\u00d99.:G:^:\u00eb:\u00bd;\u00c6;\u00f6;&6>f>\u0096>\u00c6>\u00f6>\u00a1?\u00e2?\u0000\u00e0\u0000\u0000l\u0000\u0000\u0000\u00860\u00c00\u001b1o1\u00951\u00a41\u00b31\u00102\u009d273E3[3`3j3z3\u00883\u009e3\u00a33\u00ad3\u00e23\u000f4\u008c4\u00e14'5\/5D6\u00d1677?7\u009d7\u00a57\u00a39\u00bf9\u00db9 :(:\/:}:\u00db:\u00f7:>;E;Z;s;\u00a5;\u000f<;S>\u008d>\u00c7>\u0001?;?u?\u00af?\u00e9?\u0000\u0000\u0000\u0010\u0001\u0000H\u0000\u0000\u0000#0]0\u00970\u00111'1\f4\u00e24\u00156Z6\u009f6\u00838\u00079\u00b99\u00c79\u0002:\u0010:9:\u0010;~;\u008c;\u00b5;\u00f2;26>a>\u00d4>\u0002?\u0000 \u0001\u0000\\\u0000\u0000\u0000I0\u00b40\u00f6081o1\u00bd1\u00ff162\u00842\u00c62\u00fd2K3\u008d3\u00c43\u00124T4\u008b4\u00c856\u00e07K8\u008d8\u00cf8\u00069T9\u00969\u00cd9\u001b:]:\u0094:\u00e2:$;[;\u00a9;\u00eb;\"<_=\u0016>.?6?>?\u0000\u0000\u00000\u0001\u0000,\u0000\u0000\u0000o1\u00841s2\u00af2\u00da2y3\u00943B5\u00aa7\u00b17\u00cf7\u00f87\u00a58\u00c08):\u00f7:\u00f6;\u001e?\u0000@\u0001\u00004\u0000\u0000\u0000\n0-1\u00871\u00a91\u00f2172{2\u00ce2\u000e3\u001c3\u00ee4 5I5r5\u009b5\u00c45\u00ed5\u00b59\u00b8<\t>v>~>\u0000P\u0001\u00000\u0000\u0000\u0000w2\u00994\u00b44\u00c14\u00d94\u00d16\u00df6A7O7\u00b17\u00bf7!8\/8\u00918\u009f839\u008a?\u0098?\u00c1?\u00cf?\u0000`\u0001\u0000H\u0000\u0000\u0000f0\u00870r1\u00981\u00ee1x3\u00823\u008d3\u00923\u00973\u009c3\u00a13\u00a63\u00ab3\u00b53\u00c93\u00ce3\u00f43\b4\u000f4\u00144(4\/4:4I4S4X4g4q4v4\u00804\u00f3=\u0000p\u0001\u0000,\u0000\u0000\u0000{0\u00cf1\u00c62\u008e3f4l5\u00d15\u000b7X8\u00fa8):\u00ef:\u0000<\u0017>\u0096>\u00a7>\u00db>\u00e9>\u0000\u0080\u0001\u0000\u0018\u0000\u0000\u0000\u001c0\u00e31\u00fd1\u00a92\u00b82\u00d32V3\u00a5=\u0000\u0090\u0001\u0000\f\u0000\u0000\u0000\u00a03\u0000\u0000\u0000\u00a0\u0001\u0000\u0010\u0000\u0000\u0000\u0095?\u00bc?\u00d4?\u00f4?\u0000\u00b0\u0001\u0000X\u0000\u0000\u0000@0\u00aa1\u00b81\u00e24\u001d5\u00995\u00cf5\u00ef5z6\u00e66\u00f46}7\u009a7\u00d87\u00e67\u00028\u00108,8:8\u00c69\u001b:W:j:\u00bf:\u00e2:\u00fd:\u0005;\u0088;4\u00e3>\u0000\u00c0\u0001\u0000\u0084\u0000\u0000\u0000\u00a81I2\u000f3\u00ec3\u00e35\\6\u00e88\u009a;\u0015n>v>~>\u0086>\u008e>\u0096>\u009e>\u00a6>\u00ae>\u00b6>\u00be>\u00c6>\u00ce>\u00d6>\u00de>\u00e6>\u00ee>\u00f6>\u00fe>\u0006?\u000e?\u0016?\u001e?&?.?6?>?F?N?V?^?f?n?v?~?\u0086?\u008e?\u0096?\u009e?\u00a6?\u00ae?\u00b6?\u00be?\u00c6?\u00ce?\u00d6?\u00de?\u00e6?\u00ee?\u00f6?\u00fe?\u0000\u0000\u0000\u00d0\u0001\u0000\u00d0\u0000\u0000\u0000\u00060\u000e0\u00160\u001e0&0.060>0F0N0V0^0f0n0v0~0\u00860\u008e0\u00960\u009e0\u00a60\u00ae0\u00b60\u00be0\u00c60\u00ce0\u00d60\u00de0\u00e60\u00ee0\u00f60\u00fe0\u00061\u000e1\u00161\u001e1&1.161>1F1N1V1^1f1n1v1~1\u00861\u008e1\u00961\u009e1\u00a61\u00ae1\u00b61\u00be1\u00c61\u00ce1\u00d61\u00de1\u00e61\u00ee1\u00f61\u00fe1\u00062\u000e2\u00162\u001e2&2.262>2F2N2V2^2f2n2v2~2\u00862\u008e2\u00962\u009e2\u00a62\u00ae2\u00b62\u00be2\u00c62\u00ce2\u00d62\u00de2\u00e62\u00ee2\u00f62\u00fe2\u00063\u000e3\u00163\u0000\u0000\u0000\u00e0\u0001\u00004\u0001\u0000\u0000\u00000\u00040\b0\f0\u00100\u00140\u00180\u001c0 0$0(0,000@0\u00e07\u00e47\u00e87\u00ec7\u00f07\u00f47\u00f87\u00fc7\u00008 8$8(8,8084888<8@8D8H8L8P8T8X8\\8`8d8h8l8p8t8x8|8\u00808\u00848\u00888\u008c8\u00908\u00948\u00988\u009c8\u00a08\u00a48\u00a88\u00ac8\u00b08\u00b48\u00b88\u00bc8\u00c08\u00c48\u00c88\u00cc8\u00149\u00189\u001c9 9$9(9,9094989<9@9D9H9L9P9T9X9\\9`9d9h9l9p9t9x9|9\u00809\u00849\u00889\u008c9\u00909\u00949\u00989\u009c9\u00a09\u00a49\u00a89\u00ac9\u00b09\u00b49\u00b89\u00bc9\u00c09\u00c49\u00c89\u00cc9\u00d09\u00d49\u00d89\u00dc9\u00e09\u00e49\u00e89\u00ec9\u00f09\u00f49\u00f89\u00fc9\u0000:\u0004:\b:\f:\u0010:\u0014:\u0018:\u001c: :$:(:,:0:4:8:<:@:D:H:L:P:T:X:\u0000\u0000\u0000\u00f0\u0001\u0000\u001c\u0001\u0000\u0000\u008c0\u00900\u00940\u00980\u009c0\u00a00\u00a40\u00a80\u00ac0\u00b00\u00b40\u00b80\u00bc0\u00c00\u00c40\u00c80\u00cc0\u00d00\u00d40\u00d80\u00dc0\u00e00\u00e40\u00e80\u00ec0\u00f00\u00f40\u00f80\u00fc0\u00001\u00041\b1\f1\u00101\u00141\u00181\u001c1 1$1(1,1014181<1@1D1H1L1P1T1X1\\1`1d1h1l1p1t1x1|1\u00801\u00841\u00881\u008c1\u00901\u00941\u00981\u009c1\u00a01\u00a41\u00a81\u00ac1\u00b01\u00b41\u00b81\u00bc1\u00c01\u00c41\u00c81\u00cc1\u00d01\u00d41\u00d81\u00dc1\u00e01\u00e41\u00e81\u00ec1\u00f01\u00f41\u00f81\u00fc1\u00002\u00042\b2\f2\u00102\u00142\u00182\u001c2 2$2(2,2024282<2@2D2H2L2P2T2X2\\2`2d2h2l2p2t2x2|2\u00802\u00842\u00882\u008c2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u00ac2\u00b02\u0000\u0000\u0002\u0000D\u0000\u0000\u0000d1h1l1p1t1x1|1\u00801\u00841\u00881(2,2024282<2@2D2H2L2P2T2\u00902\u00942\u00982\u009c2\u00a02\u00a42\u00a82\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000\u0000",
"process_handle": "0x00000120",
"base_address": "0x0042b000"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2638
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "WriteProcessMemory",
"return_value": 1,
"arguments": {
"process_identifier": 2648,
"buffer": "\u0000\u0000@\u0000",
"process_handle": "0x00000120",
"base_address": "0x7efde008"
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2640
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtSetContextThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"registers": {
"eip": 2008678852,
"esp": 1638384,
"edi": 0,
"eax": 4205515,
"ebp": 0,
"edx": 0,
"ebx": 2130567168,
"esi": 0,
"ecx": 0
},
"process_identifier": 2648
},
"time": 1599537244.749751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2642
},
{
"call": {
"category": "process",
"status": 1,
"stacktrace": [],
"api": "NtResumeThread",
"return_value": 0,
"arguments": {
"thread_handle": "0x0000011c",
"suspend_count": 1,
"process_identifier": 2648
},
"time": 1599537244.780751,
"tid": 1424,
"flags": {}
},
"pid": 1224,
"type": "call",
"cid": 2644
}
],
"references": [],
"name": "injection_runpe"
}
] Yara
The Yara rules did not detect anything in the file.
Network
{
"tls": [],
"udp": [
{
"src": "192.168.56.101",
"dst": "192.168.56.255",
"offset": 546,
"time": 3.0782198905944824,
"dport": 137,
"sport": 137
},
{
"src": "192.168.56.101",
"dst": "192.168.56.255",
"offset": 5226,
"time": 9.078585863113403,
"dport": 138,
"sport": 138
},
{
"src": "192.168.56.101",
"dst": "224.0.0.252",
"offset": 7070,
"time": 3.038472890853882,
"dport": 5355,
"sport": 51001
},
{
"src": "192.168.56.101",
"dst": "224.0.0.252",
"offset": 7398,
"time": 1.0161690711975098,
"dport": 5355,
"sport": 53595
},
{
"src": "192.168.56.101",
"dst": "224.0.0.252",
"offset": 7726,
"time": 3.0507290363311768,
"dport": 5355,
"sport": 53848
},
{
"src": "192.168.56.101",
"dst": "224.0.0.252",
"offset": 8054,
"time": 1.5175728797912598,
"dport": 5355,
"sport": 54255
},
{
"src": "192.168.56.101",
"dst": "224.0.0.252",
"offset": 8382,
"time": -0.09504199028015137,
"dport": 5355,
"sport": 55314
},
{
"src": "192.168.56.101",
"dst": "239.255.255.250",
"offset": 8710,
"time": 1.5473439693450928,
"dport": 1900,
"sport": 1900
},
{
"src": "192.168.56.101",
"dst": "239.255.255.250",
"offset": 28120,
"time": 1.0494608879089355,
"dport": 3702,
"sport": 49152
},
{
"src": "192.168.56.101",
"dst": "239.255.255.250",
"offset": 36504,
"time": 3.1252260208129883,
"dport": 1900,
"sport": 53598
}
],
"dns_servers": [],
"http": [],
"icmp": [],
"smtp": [],
"tcp": [],
"smtp_ex": [],
"mitm": [],
"hosts": [],
"pcap_sha256": "0083158a872ae3f50cba19649acb879f8b0b86f3bd62ab59d8f2aaaa923d42ee",
"dns": [],
"http_ex": [],
"domains": [],
"dead_hosts": [],
"sorted_pcap_sha256": "35a353de00f60ad57e54364c9f95fa46354ed37dc9aa1800573e22ab2c120f0f",
"irc": [],
"https_ex": []
}Screenshots
dot.exe removal instructions
The instructions below shows how to remove dot.exe with help from the FreeFixer removal tool. Basically, you install FreeFixer, scan your computer, check the dot.exe file for removal, restart your computer and scan it again to verify that dot.exe has been successfully removed. Here are the removal instructions in more detail:
- Download and install FreeFixer: http://www.freefixer.com/download.html
- Start FreeFixer and press the Start Scan button. The scan will finish in approximately five minutes.
- When the scan is finished, locate dot.exe in the scan result and tick the checkbox next to the dot.exe file. Do not check any other file for removal unless you are 100% sure you want to delete it. Tip: Press CTRL-F to open up FreeFixer's search dialog to quickly locate dot.exe in the scan result.
c:\downloads\dot.exe 
- Scroll down to the bottom of the scan result and press the Fix button. FreeFixer will now delete the dot.exe file.
- Restart your computer.
- Start FreeFixer and scan your computer again. If dot.exe still remains in the scan result, proceed with the next step. If dot.exe is gone from the scan result you're done.
- If dot.exe still remains in the scan result, check its checkbox again in the scan result and click Fix.
- Restart your computer.
- Start FreeFixer and scan your computer again. Verify that dot.exe no longer appear in the scan result.
Hashes [?]
| Property | Value |
|---|---|
| MD5 | c373d697a107993844b87f12336acd86 |
| SHA256 | 66fb5724397508ee2c960a2a1d2b394660ef6ad317cd142b98e1bce498a7bce9 |
Error Messages
These are some of the error messages that can appear related to dot.exe:
dot.exe has encountered a problem and needs to close. We are sorry for the inconvenience.
dot.exe - Application Error. The instruction at "0xXXXXXXXX" referenced memory at "0xXXXXXXXX". The memory could not be "read/written". Click on OK to terminate the program.
dot.exe has stopped working.
End Program - dot.exe. This program is not responding.
dot.exe is not a valid Win32 application.
dot.exe - Application Error. The application failed to initialize properly (0xXXXXXXXX). Click OK to terminate the application.
What will you do with dot.exe?
To help other users, please let us know what you will do with dot.exe:
Comments
Please share with the other users what you think about this file. What does this file do? Is it legitimate or something that your computer is better without? Do you know how it was installed on your system? Did you install it yourself or did it come bundled with some other software? Is it running smoothly or do you get some error message? Any information that will help to document this file is welcome. Thank you for your contributions.
I'm reading all new comments so don't hesitate to post a question about the file. If I don't have the answer perhaps another user can help you.
No comments posted yet.