API tools faq
paste
paladin316

Gozi_dd54a93ad3cca7b7c1a47848075b902e Malware JSON Report

paladin316
Jun 17th, 2019
2,404
0
Never
Add comment
Not a member of Pastebin yet? Sign Up, it unlocks many cool features!
text 121.14 KB | None | 0 0
raw download clone embed print report
  1.  
  2. [*] MalFamily: "Malicious"
  3.  
  4. [*] MalScore: 10.0
  5.  
  6. [*] File Name: "Gozi_dd54a93ad3cca7b7c1a47848075b902e.php"
  7. [*] File Size: 337830
  8. [*] File Type: "Microsoft Word 2007+"
  9. [*] SHA256: "7271e3cdbcfeaca44cb06df362c3eecce93111373307a770ea3d32ee2b5bb68e"
  10. [*] MD5: "dd54a93ad3cca7b7c1a47848075b902e"
  11. [*] SHA1: "8549ce34d116ec783e33f531722cdb879aed586d"
  12. [*] SHA512: "edde5186b60306c42109597175f5685964d268054225097fd8e7e17d1beae4996dfce894837b8a9d169eefcb404e1dca5ce7edfbe066613fb7b5cad766f82772"
  13. [*] CRC32: "35D2CFB4"
  14. [*] SSDEEP: "6144:77yiVMH+vDXtI6EDyR316TWCe5qhJuSfkJ5NXQcVL:ievLtItyRkCCekhgS8J5NXll"
  15.  
  16. [*] Process Execution: [
  17. "WINWORD.EXE",
  18. "hSpewjd.exe",
  19. "services.exe",
  20. "svchost.exe",
  21. "WmiPrvSE.exe",
  22. "iexplore.exe",
  23. "iexplore.exe",
  24. "iexplore.exe",
  25. "iexplore.exe",
  26. "iexplore.exe",
  27. "iexplore.exe",
  28. "iexplore.exe",
  29. "iexplore.exe",
  30. "iexplore.exe",
  31. "iexplore.exe",
  32. "iexplore.exe",
  33. "iexplore.exe",
  34. "iexplore.exe",
  35. "iexplore.exe",
  36. "iexplore.exe",
  37. "iexplore.exe",
  38. "iexplore.exe",
  39. "iexplore.exe",
  40. "iexplore.exe",
  41. "iexplore.exe",
  42. "iexplore.exe",
  43. "iexplore.exe",
  44. "iexplore.exe",
  45. "iexplore.exe",
  46. "iexplore.exe",
  47. "iexplore.exe",
  48. "msiexec.exe",
  49. "GoogleUpdate.exe",
  50. "taskhost.exe",
  51. "svchost.exe",
  52. "WerFault.exe",
  53. "WMIADAP.exe"
  54. ]
  55.  
  56. [*] Signatures Detected: [
  57. {
  58. "Description": "At least one process apparently crashed during execution",
  59. "Details": []
  60. },
  61. {
  62. "Description": "A process attempted to delay the analysis task.",
  63. "Details": [
  64. {
  65. "Process": "WmiPrvSE.exe tried to sleep 300 seconds, actually delayed analysis time by 0 seconds"
  66. },
  67. {
  68. "Process": "hSpewjd.exe tried to sleep 1650 seconds, actually delayed analysis time by 0 seconds"
  69. }
  70. ]
  71. },
  72. {
  73. "Description": "Attempts to connect to a dead IP:Port (15 unique times)",
  74. "Details": [
  75. {
  76. "IP": "52.109.20.1:443"
  77. },
  78. {
  79. "IP": "52.109.20.4:443"
  80. },
  81. {
  82. "IP": "204.79.197.200:80"
  83. },
  84. {
  85. "IP": "65.52.98.231:443"
  86. },
  87. {
  88. "IP": "23.223.55.43:80"
  89. },
  90. {
  91. "IP": "23.36.176.37:443"
  92. },
  93. {
  94. "IP": "172.217.0.35:443"
  95. },
  96. {
  97. "IP": "23.101.123.81:80"
  98. },
  99. {
  100. "IP": "23.223.52.170:80"
  101. },
  102. {
  103. "IP": "23.96.39.148:443"
  104. },
  105. {
  106. "IP": "47.254.82.18:80"
  107. },
  108. {
  109. "IP": "72.21.91.29:80"
  110. },
  111. {
  112. "IP": "192.35.177.64:80"
  113. },
  114. {
  115. "IP": "104.18.25.243:80"
  116. },
  117. {
  118. "IP": "23.64.189.123:443"
  119. }
  120. ]
  121. },
  122. {
  123. "Description": "At least one IP Address, Domain, or File Name was found in a crypto call",
  124. "Details": [
  125. {
  126. "ioc": "ist.glox"
  127. },
  128. {
  129. "ioc": "ontent.inf"
  130. },
  131. {
  132. "ioc": "architecture.glox"
  133. },
  134. {
  135. "ioc": "rocess.glox"
  136. },
  137. {
  138. "ioc": "iso690.xsl"
  139. },
  140. {
  141. "ioc": "ieee2006officeonline.xsl"
  142. },
  143. {
  144. "ioc": "e.gu"
  145. },
  146. {
  147. "ioc": "iso690nmerical.xsl"
  148. },
  149. {
  150. "ioc": "chevronaccent.glox"
  151. },
  152. {
  153. "ioc": "pictureorgchart.glox"
  154. },
  155. {
  156. "ioc": "mlaseventheditionofficeonline.xsl"
  157. },
  158. {
  159. "ioc": "sist02.xsl"
  160. },
  161. {
  162. "ioc": "nline.xsl"
  163. },
  164. {
  165. "ioc": "rame.glox"
  166. },
  167. {
  168. "ioc": "gosttitle.xsl"
  169. },
  170. {
  171. "ioc": "gb.xsl"
  172. },
  173. {
  174. "ioc": "ccent.glox"
  175. },
  176. {
  177. "ioc": "gostname.xsl"
  178. },
  179. {
  180. "ioc": "harvardanglia2008officeonline.xsl"
  181. },
  182. {
  183. "ioc": "ext.glox"
  184. },
  185. {
  186. "ioc": "turabian.xsl"
  187. },
  188. {
  189. "ioc": "adial.glox"
  190. },
  191. {
  192. "ioc": "quations.dotx"
  193. },
  194. {
  195. "ioc": "chicago.xsl"
  196. },
  197. {
  198. "ioc": "rings.glox"
  199. },
  200. {
  201. "ioc": "rc.glox"
  202. },
  203. {
  204. "ioc": "content.inf"
  205. },
  206. {
  207. "ioc": "arallax.thmx"
  208. },
  209. {
  210. "ioc": "rid.glox"
  211. },
  212. {
  213. "ioc": "..3b"
  214. },
  215. {
  216. "ioc": "anded.thmx"
  217. },
  218. {
  219. "ioc": "iew.thmx"
  220. },
  221. {
  222. "ioc": "set.dotx"
  223. },
  224. {
  225. "ioc": "etropolitan.thmx"
  226. },
  227. {
  228. "ioc": "ividend.thmx"
  229. },
  230. {
  231. "ioc": "rame.thmx"
  232. },
  233. {
  234. "ioc": "asis.thmx"
  235. },
  236. {
  237. "ioc": "uotable.thmx"
  238. },
  239. {
  240. "ioc": "eadlines.thmx"
  241. },
  242. {
  243. "ioc": "ype.thmx"
  244. },
  245. {
  246. "ioc": "rop.thmx"
  247. },
  248. {
  249. "ioc": "adge.thmx"
  250. },
  251. {
  252. "ioc": "roplet.thmx"
  253. },
  254. {
  255. "ioc": "erlin.thmx"
  256. },
  257. {
  258. "ioc": "ircuit.thmx"
  259. },
  260. {
  261. "ioc": "g.n9"
  262. },
  263. {
  264. "ioc": "avon.thmx"
  265. },
  266. {
  267. "ioc": "late.thmx"
  268. },
  269. {
  270. "ioc": "rail.thmx"
  271. },
  272. {
  273. "ioc": "eathered.thmx"
  274. },
  275. {
  276. "ioc": "amask.thmx"
  277. },
  278. {
  279. "ioc": "esh.thmx"
  280. },
  281. {
  282. "ioc": "vent.thmx"
  283. },
  284. {
  285. "ioc": "http://crl.globalsign.net/root-r2.crl0"
  286. }
  287. ]
  288. },
  289. {
  290. "Description": "HTTP traffic contains suspicious features which may be indicative of malware related traffic",
  291. "Details": [
  292. {
  293. "post_no_referer": "HTTP traffic contains a POST request with no referer header"
  294. },
  295. {
  296. "ip_hostname": "HTTP connection was made to an IP address rather than domain name"
  297. },
  298. {
  299. "suspicious_request": "http://api.frame303.at/index.htm"
  300. },
  301. {
  302. "suspicious_request": "http://47.254.82.18/favicon.ico"
  303. },
  304. {
  305. "suspicious_request": "http://cde.frame303.at/index.htm"
  306. },
  307. {
  308. "suspicious_request": "http://redirector.gvt1.com/edgedl/release2/chrome/APFK-8M7gy6B_75.0.3770.90/75.0.3770.90_73.0.3683.86_chrome_updater.exe"
  309. },
  310. {
  311. "suspicious_request": "http://r6---sn-a5mlrn76.gvt1.com/edgedl/release2/chrome/APFK-8M7gy6B_75.0.3770.90/75.0.3770.90_73.0.3683.86_chrome_updater.exe?cms_redirect=yes&mip=172.83.40.106&mm=28&mn=sn-a5mlrn76&ms=nvh&mt=1560750700&mv=m&pl=24&shardbypass=yes"
  312. }
  313. ]
  314. },
  315. {
  316. "Description": "Performs some HTTP requests",
  317. "Details": [
  318. {
  319. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEAi4elAbvpzaLRZNPjlRv1U%3D"
  320. },
  321. {
  322. "url": "http://ocsp.msocsp.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPC1vZt9qvn7bzY3Iidtbhla4mKQQUWIif1tycSCK3FD7%2FhIjo5oX%2F%2Bn0CE3sAAGyvV14%2FmEPDgh0AAAAAbK8%3D"
  323. },
  324. {
  325. "url": "http://apps.identrust.com/roots/dstrootcax3.p7c"
  326. },
  327. {
  328. "url": "http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab"
  329. },
  330. {
  331. "url": "http://storage.alfaeducation.mk/file/crypt_2_7000.exe"
  332. },
  333. {
  334. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTfqhLjKLEJQZPin0KCzkdAQpVYowQUsT7DaQP4v0cB1JgmGggC72NkK8MCEAPxtOFfOoLxFJZ4s9fYR1w%3D"
  335. },
  336. {
  337. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSPwl%2BrBFlJbvzLXU1bGW08VysJ2wQUj%2Bh%2B8G0yagAFI8dwl2o6kP9r6tQCEA%2BdzSc7B3UzA8k03selSwo%3D"
  338. },
  339. {
  340. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSPwl%2BrBFlJbvzLXU1bGW08VysJ2wQUj%2Bh%2B8G0yagAFI8dwl2o6kP9r6tQCEAaJg2QslT5G973OQUPxM8E%3D"
  341. },
  342. {
  343. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEDoV9Mh%2FtNM5k9Pus79K5eQ%3D"
  344. },
  345. {
  346. "url": "http://ocsp.comodoca.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBReAhtobFzTvhaRmVeJ38QUchY9AwQUu69%2BAj36pvE8hI6t7jiY7NkyMtQCEDaCXn%2B1pIGTfvbRc2u5PKY%3D"
  347. },
  348. {
  349. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEEpXWRnDaZSEY67E8B6coDU%3D"
  350. },
  351. {
  352. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSnR4FoxLLkI7vkvsUIFlZt%2BlGH3gQUWsS5eyoKo6XqcQPAYPkt9mV1DlgCEAwVvkoVuwkDyQGx1sJlMC8%3D"
  353. },
  354. {
  355. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEA8sEMlbBsCTf7jUSfg%2BhWk%3D"
  356. },
  357. {
  358. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT3xL4LQLXDRDM9P665TW442vrsUQQUReuir%2FSSy4IxLVGLp6chnfNtyA8CEAQJGBtf1btmdVNDtW%2BVUAg%3D"
  359. },
  360. {
  361. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEAiIzVJfGSRETRSlgpHeuVI%3D"
  362. },
  363. {
  364. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEH4PjD8bD0NfJXpoX0ln6s4%3D"
  365. },
  366. {
  367. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEHQnb7Tt0tUhlRVnnq4nPN8%3D"
  368. },
  369. {
  370. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSnR4FoxLLkI7vkvsUIFlZt%2BlGH3gQUWsS5eyoKo6XqcQPAYPkt9mV1DlgCEAM%2B1e2gZdG4yR38%2BSpsm9g%3D"
  371. },
  372. {
  373. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEHAHFVlJElKyLEMbtWWDIbo%3D"
  374. },
  375. {
  376. "url": "http://ocsp.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D"
  377. },
  378. {
  379. "url": "http://ocsp.usertrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBR8sWZUnKvbRO5iJhat9GV793rVlAQUrb2YejS0Jvf6xCZU7wO94CTLVBoCECdm7lbrSfOOq9dwovyE3iI%3D"
  380. },
  381. {
  382. "url": "http://th.symcd.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRsif7263KedmR2MLuYKv9%2BWQCtWAQU1A1lP3q9NMb%2BR%2BdMDcC98t4Vq3ECEBT4%2FdFn%2BSQCsVcLXcSVyBU%3D"
  383. },
  384. {
  385. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAH9o%2BtuynXIiEOLckvPvJE%3D"
  386. },
  387. {
  388. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAVG%2Fhgj9%2BGUHaOfzhTEYXM%3D"
  389. },
  390. {
  391. "url": "http://ocsp.pki.goog/gsr2/ME4wTDBKMEgwRjAJBgUrDgMCGgUABBTgXIsxbvr2lBkPpoIEVRE6gHlCnAQUm%2BIHV2ccHsBqBt5ZtJot39wZhi4CDQHjqTAc%2FHIGOD%2BaUx0%3D"
  392. },
  393. {
  394. "url": "http://www.bing.com/favicon.ico"
  395. },
  396. {
  397. "url": "http://api.frame303.at/index.htm"
  398. },
  399. {
  400. "url": "http://47.254.82.18/favicon.ico"
  401. },
  402. {
  403. "url": "http://cde.frame303.at/index.htm"
  404. },
  405. {
  406. "url": "http://redirector.gvt1.com/edgedl/release2/chrome/APFK-8M7gy6B_75.0.3770.90/75.0.3770.90_73.0.3683.86_chrome_updater.exe"
  407. },
  408. {
  409. "url": "http://r6---sn-a5mlrn76.gvt1.com/edgedl/release2/chrome/APFK-8M7gy6B_75.0.3770.90/75.0.3770.90_73.0.3683.86_chrome_updater.exe?cms_redirect=yes&mip=172.83.40.106&mm=28&mn=sn-a5mlrn76&ms=nvh&mt=1560750700&mv=m&pl=24&shardbypass=yes"
  410. }
  411. ]
  412. },
  413. {
  414. "Description": "The office file has 2 macros.",
  415. "Details": []
  416. },
  417. {
  418. "Description": "Crashed cuckoomon during analysis. Report this error to the Github repo.",
  419. "Details": [
  420. {
  421. "pid": 1100
  422. },
  423. {
  424. "message": "Exception reported at offset 0x1967e in cuckoomon itself while accessing 0x2ed5f8 from hook RtlDispatchException"
  425. },
  426. {
  427. "pid": 1100
  428. },
  429. {
  430. "message": "Exception reported at offset 0x19681 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  431. },
  432. {
  433. "pid": 1100
  434. },
  435. {
  436. "message": "Exception reported at offset 0x19681 in cuckoomon itself while accessing 0x2ed5fc from hook RtlDispatchException"
  437. },
  438. {
  439. "pid": 1100
  440. },
  441. {
  442. "message": "Exception reported at offset 0x19684 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  443. },
  444. {
  445. "pid": 1100
  446. },
  447. {
  448. "message": "Exception reported at offset 0x19684 in cuckoomon itself while accessing 0x2ed5f4 from hook RtlDispatchException"
  449. },
  450. {
  451. "pid": 1100
  452. },
  453. {
  454. "message": "Exception reported at offset 0x19687 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  455. },
  456. {
  457. "pid": 1100
  458. },
  459. {
  460. "message": "Exception reported at offset 0x19687 in cuckoomon itself while accessing 0x2ed5f0 from hook RtlDispatchException"
  461. },
  462. {
  463. "pid": 1100
  464. },
  465. {
  466. "message": "Exception reported at offset 0x19689 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  467. },
  468. {
  469. "pid": 1100
  470. },
  471. {
  472. "message": "Exception reported at offset 0x19699 in cuckoomon itself while accessing 0x2ed600 from hook RtlDispatchException"
  473. },
  474. {
  475. "pid": 1100
  476. },
  477. {
  478. "message": "Exception reported at offset 0x1969b in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  479. },
  480. {
  481. "pid": 1100
  482. },
  483. {
  484. "message": "Exception reported at offset 0x1969f in cuckoomon itself while accessing 0x2ed604 from hook RtlDispatchException"
  485. },
  486. {
  487. "pid": 1100
  488. },
  489. {
  490. "message": "Exception reported at offset 0x196a2 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  491. },
  492. {
  493. "pid": 1100
  494. },
  495. {
  496. "message": "Exception reported at offset 0x196aa in cuckoomon itself while accessing 0x2ed608 from hook RtlDispatchException"
  497. },
  498. {
  499. "pid": 1100
  500. },
  501. {
  502. "message": "Exception reported at offset 0x196ad in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  503. },
  504. {
  505. "pid": 1100
  506. },
  507. {
  508. "message": "Exception reported at offset 0x196bd in cuckoomon itself while accessing 0x2ed60c from hook RtlDispatchException"
  509. },
  510. {
  511. "pid": 1100
  512. },
  513. {
  514. "message": "Exception reported at offset 0x196c0 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  515. },
  516. {
  517. "pid": 1100
  518. },
  519. {
  520. "message": "Exception reported at offset 0x19bfc in cuckoomon itself while accessing 0x2ed5f0 from hook RtlDispatchException"
  521. },
  522. {
  523. "pid": 1100
  524. },
  525. {
  526. "message": "Exception reported at offset 0x19bfe in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  527. },
  528. {
  529. "pid": 1100
  530. },
  531. {
  532. "message": "Exception reported at offset 0x19bfe in cuckoomon itself while accessing 0x2ed5f4 from hook RtlDispatchException"
  533. },
  534. {
  535. "pid": 1100
  536. },
  537. {
  538. "message": "Exception reported at offset 0x19c01 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  539. },
  540. {
  541. "pid": 1100
  542. },
  543. {
  544. "message": "Exception reported at offset 0x19c01 in cuckoomon itself while accessing 0x2ed5f8 from hook RtlDispatchException"
  545. },
  546. {
  547. "pid": 1100
  548. },
  549. {
  550. "message": "Exception reported at offset 0x19c04 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  551. },
  552. {
  553. "pid": 1100
  554. },
  555. {
  556. "message": "Exception reported at offset 0x19c04 in cuckoomon itself while accessing 0x2ed5fc from hook RtlDispatchException"
  557. },
  558. {
  559. "pid": 1100
  560. },
  561. {
  562. "message": "Exception reported at offset 0x19c07 in cuckoomon itself while accessing 0x0 from hook RtlDispatchException"
  563. },
  564. {
  565. "pid": 1100
  566. },
  567. {
  568. "message": "Exception reported at offset 0x1967e in cuckoomon itself while accessing 0x2ed678 from hook RtlDispatchException"
  569. },
  570. {
  571. "pid": 1100
  572. },
  573. {
  574. "message": "Exception reported at offset 0x19681 in cuckoomon itself while accessing 0x2ed67c from hook RtlDispatchException"
  575. },
  576. {
  577. "pid": 1100
  578. },
  579. {
  580. "message": "Exception reported at offset 0x19684 in cuckoomon itself while accessing 0x2ed674 from hook RtlDispatchException"
  581. },
  582. {
  583. "pid": 1100
  584. },
  585. {
  586. "message": "Exception reported at offset 0x19687 in cuckoomon itself while accessing 0x2ed670 from hook RtlDispatchException"
  587. },
  588. {
  589. "pid": 1100
  590. },
  591. {
  592. "message": "Exception reported at offset 0x19699 in cuckoomon itself while accessing 0x2ed630 from hook RtlDispatchException"
  593. },
  594. {
  595. "pid": 1100
  596. },
  597. {
  598. "message": "Exception reported at offset 0x1969f in cuckoomon itself while accessing 0x2ed634 from hook RtlDispatchException"
  599. },
  600. {
  601. "pid": 1100
  602. },
  603. {
  604. "message": "Exception reported at offset 0x196aa in cuckoomon itself while accessing 0x2ed638 from hook RtlDispatchException"
  605. },
  606. {
  607. "pid": 1100
  608. },
  609. {
  610. "message": "Exception reported at offset 0x196bd in cuckoomon itself while accessing 0x2ed63c from hook RtlDispatchException"
  611. },
  612. {
  613. "pid": 1100
  614. },
  615. {
  616. "message": "Exception reported at offset 0x19bfc in cuckoomon itself while accessing 0x2ed670 from hook RtlDispatchException"
  617. },
  618. {
  619. "pid": 1100
  620. },
  621. {
  622. "message": "Exception reported at offset 0x19bfe in cuckoomon itself while accessing 0x2ed674 from hook RtlDispatchException"
  623. },
  624. {
  625. "pid": 1100
  626. },
  627. {
  628. "message": "Exception reported at offset 0x19c01 in cuckoomon itself while accessing 0x2ed678 from hook RtlDispatchException"
  629. },
  630. {
  631. "pid": 1100
  632. },
  633. {
  634. "message": "Exception reported at offset 0x19c04 in cuckoomon itself while accessing 0x2ed67c from hook RtlDispatchException"
  635. }
  636. ]
  637. },
  638. {
  639. "Description": "Attempts to repeatedly call a single API many times in order to delay analysis time",
  640. "Details": [
  641. {
  642. "Spam": "services.exe (504) called API GetSystemTimeAsFileTime 10379436 times"
  643. }
  644. ]
  645. },
  646. {
  647. "Description": "A document file initiated network communications indicative of a potential exploit or payload download",
  648. "Details": [
  649. {
  650. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x7f\\x01\\x00\\x00{\\x03\\x01]\\x07)\\xce;\\xe0\\xd3\\xb3\\xb8\\x87\\xa3\\x0e\n\\xb4\\x8e\\xe8\\x00\\xb8\\xb7(v\\xeet\\x99$\\x9c\\\\xa0\\xad\t#^\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00:\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00!\\x00\\x1f\\x00\\x00\\x1coffice15client.microsoft.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  651. },
  652. {
  653. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04n\\xafo\\xfe*,q\\xee\\x80r\\xeap\\xe8\\xf26m\\x1b\\xa6\\x1b\\x07\\x9c\\xc1\\x0c'\\xb2(g\\xd23\\x05pq\\xfap\\x91lb&\\xa1\\x84b\\xd0\\x88\\xa4`|\\x90\\x16\\x13a\\xdf\\xbf\\xa3\\x84q\\xd0\\x08;\\xf4d\\xd7\\xa8\\x11c\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1a\\x05\\x7f\\x80\\x91\\xf6\\x98\\x8c\\xc7n\\x1fc\\xc0\\xf9n\\x95\\x96\\xe8\\x87m$3\\x9d\\]u\\xc0xdv}\\x12\\xcc\\\t@,_e\\x1b?\\xe9\\xd0e*\\xeb5r"
  654. },
  655. {
  656. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01p\\xc7\\xef{\\x91y8\\xaa\\x95\\x85\\xa5\\x08\\xbd\\x92\\xfe\\xca*\\x10q\\x9b\\xb3.\\xe2\\x04\\xd6\\xe2\\xe9\\xd1\\xfb\\xdem@ul\\xfc\\x056^\\xa2\\x1ef\\x02\\x14\\xe4b\\xc88\\xe9an.x#\\xca\\xa1\\xe6\\xcd\\xb5\\xe8aq\\xaf\\xc3\\xb4tna\\xc0\\xf3\\x8fh\\xa9\\x9b\\xe8\\xbf\\x88(\\xe9-\\xf8\\xaf\\x8e\\x98\\xea\\xd4\\x89\\xff3\\x89\\x06\\xab;*`\\x11l3ctxl\\xee\\xd7\\x7f\\x85\\xcdw\\xb0\\xd9z\\xc8\\xb1\\xaa%+\\x088l\\xfci\\x84\\xd1$\\xe0.\\xf7t\\x11\\x17\\x05\\x10\\xcb\\xfeh\\xe7\\xfc\\xdd\\x94\\xb88\\x14\\x1d\\xd8\\xfc3\\x1c\\xfc\\xc2.*\\xa6c\\x9bh\\xe7\\x10~\\x8c\\xb1\\xf6m\\x92\\xf6\\xfa\\xe5\\xbc\\xf0u`p\\xde\\x99'\\x85nkd\\xc0\\xe5\\xea\\xe5]8i\\x91wv'p\\x81\\xaa\\xc1\\xce\\xb6h\\xab\\x113f\\x94\\xfc\\x0b,l\\xda\\xa0c\\x1f\\x04\\xd4\\x87\\xe4\\x8fd\\xa7\\xfd_\\xaa[\\xc5]\\xaf\\xc8z\\xba6\\xe6\\x87\\xaf\\xe1\\x1e\\xe88e'\\x96\\xb8r\\x0b\\x92^\\x08\\xc8\\xf9\\xe7o%\\xedz\\xc6\\xc6\\xb9"
  657. },
  658. {
  659. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00~\\x01\\x00\\x00z\\x03\\x01]\\x07)\\xcf\\xb1\\xf1\\xd1y\\x9d\\xc6f\\xf7\\x9a\\xaamd\\x1e\\xafj\\x0e\\x05\\xf0*\\x8b\\xf8\\x18\\x15a_\\x06\\xff\\xe0\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x009\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00 \\x00\\x1e\\x00\\x00\\x1broaming.officeapps.live.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  660. },
  661. {
  662. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00z\\x01\\x00\\x00v\\x03\\x01]\\x07)\\xcf)\\xc6\\xb1p\\xa9\\xae,6\\xc6k\"\\x04\n\\xde\\xda\\xdfl\\x94\\xf0\\x07\\x97{\\x91\\xe3zu\\xfc\\xc3\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x005\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00\\x1c\\x00\\x1a\\x00\\x00\\x17odc.officeapps.live.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  663. },
  664. {
  665. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x90\\xce\\x8ftsw\\x85\\x0b;i\\xb0\\xaf\\x15\\xda120\\x87\\xe2@\\x9a\\xa2\\x19\\x98\\x80@\\x11;\\xf5\\xeawn\\x10y\\x91\\x19\\xee\\x11\\x95_\\xb6\\x9bg\\x97\"?\\xed@=\\x17\\x05\\xba\\xbe\\xd9\\xa9\\x1d\\xb0\\xdc\\xa6\\x0cx5p\\xc5\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x0001\\x10\\xbd\\xa6\\x86`jc\\x90\\xe6\\x930\\xafda`1z^\\x00f\\xcc\\x86\\x0c\\x86\\x04\\xfd\\xb9#\\x82\\xb7vv\\x93\\x82\\x8ej\\xfd<\\xcdq\\xc0\\x9c\\xfae\\x03\n\\x0f"
  666. },
  667. {
  668. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xd8l\\xfb\\xd0\\xc5\\x15\\x82\\xb3e!:w\\x1d\\xe5\\x1f|@\\xa0l\\xa7\\xd3r\\x9e\\xee\\xa7\\xc83\\x11\\xbf]\\xd0\\xbd\\xc1&\\xa0\\x97\\xc3\\xdf\\xc9\\xd0\\xf1,.:\\xf1\\x13\\xb3\\xcal&m\\xcc\\xee\\x9c\\xe9\\xadh\\xe8\\x15yy\\xa5\\x96\\xb2\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x84\\x12/,d\\xdd\\x87yq2#\\xd4\\x7fro\\x88=b)j\\x96\\xc4\\x9a\\xb2pv\\xd9\\x9a\\x85jky\\xf9\\xaf\\xa1\\xc3\\xe8\\x84\\x0c\\xf5\\xe4\\x9b\\x08'4\\xd5\\xb7{"
  669. },
  670. {
  671. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01pxe\\xa9]_?\\xb4v,r\\x17o\\xab\\x86\\xe2\\xede1mn\\x0f&\\xe3\\x1a'-\\xab\\xea\\x91\\xa7\\xae\\x14\\xda[\\x15\\xfd\\x80\\x1b\\x9fx\\xf17\\x10?\\x95qb\\xe4w\\xf0b\\x1d\\x9d\\x9a*a\\xa1y\\xe2\\xfet)\\xcb\\xac\\xd4n\\x84\\x97z\\xb2j\\xb4\\x94\\xa1=-\\x8f\r^x\\xfa\\xbc^ \\x0b#\\x8eh[\\x1d\\x13z\\xd8\\xb4\\x1da\\xafn\\xea\\x82\\x1f\\x88\\xd4\\x0bpn#le+h\\xde\\xa2%8\\x83\\x99%\\xd5\\x19i\\xcb|\r\\xedez\\x8akh\\xab\\xb2s[\\x85\\xdc\\xc1\\x93\\xbe\\x89yg\\xafmx\\xd6\\xe9\\x86\\x90\\xd3\\xab\\xafv\\xe4?\\xa6&\\x07/\\xd9\\xd8\\xad\\xc3nt\\xec\\xda\\x8bo\\xe5\\x83\\xf3\\xaec\\x05\\x03uo\\x8f\\xa0\\xcbf\\xca\\x88}0\\x07\\x9atldbmo\\xfa\\xde\\xc8,\\xa4\\x0ff_\\x1e~\\x00q\\xd4[u\\xd2%\\x0f\\x15\\xaet(*6\\x04\\xce\\x82\\x8fzze\\xee\\x1a\\x06\\xb2!\\xfd\\xdd7\\xcb\\x8f\\xa9jq1\\xf8\\x92vx\\xdf l\\x04;\\x89\\x1d\\xa3"
  672. },
  673. {
  674. "http_request": "winword.exe_WSASend_get /mfewtzbnmeswstajbgurdgmcgguabbtbl0v27rvz7lbduom%2fnyb45spuewqu5z1zmijhwmys%2bghunoz7oruetfaceai4elabvpzalrznpjlrv1u%3d http/1.1\r\ncache-control: max-age = 89056\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: fri, 22 mar 2019 18:30:24 gmt\r\nif-"
  675. },
  676. {
  677. "http_request": "winword.exe_WSASend_get /mfqwujbqme4wtdajbgurdgmcgguabbrpc1vzt9qvn7bzy3iidtbhla4mkqquwiif1tycsck3fd7%2fhijo5ox%2f%2bn0ce3saagyvv14%2fmepdgh0aaaaabk8%3d http/1.1\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: sat, 23 mar 2019 17:46:18 gmt\r\nif-none-match: \"dd54d75d468"
  678. },
  679. {
  680. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00y\\x01\\x00\\x00u\\x03\\x01]\\x07)\\xd1xz\\xf0u\\xec\\xe8\\xc5l\\x12\\xbd\\xecd}f-\\xb6\\xe4v\\xce\\x94\\x8f+\\xb5\\x9a\\xb9mh(\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x004\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00\\x1b\\x00\\x19\\x00\\x00\\x16crm.theberriesblog.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  681. },
  682. {
  683. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x01\\x06\\x10\\x00\\x01\\x02\\x01\\x00\\x0c\\xeamll\\xdd\\xfb\\xc7\\xdfroc\\xf7[\\x1a\\xb8\\xb1\\x1dq4;\\xee\\x05\\x8e\\x94\\x18\\xd4\\xdf\\xef\\xa4\\x03\\x18b`\\xf1\\xe6\\xba\\x8f\\xaf\\xe5\\xa26\\xd0\\xe29)\\xf7#\\xad\\xa8\\xd9=/\\xcd\\x1av\"!\\x05\\x1b\\xdf\\xcej\\xfe\\xf2<\\x84\\xbc\\x1658\\xd2\\x0c\\xff\\xf4\\xed\\x97tx\\x1b\\x7fq\\x9e\\xd1\\x84\\xb8\r\\xf2\\x1c!\\x9c\\xbdzr\\x8f\\xba\\xb1\\x92\\x15\\x8b;\\x06{rd8\\xa6}i8o\\xf8\\x1c\\x9a]\\x84w\\x91\\xb1\\x80ut\\xb7h\\xc0\\x15\\xe7\\x05\\xaf\\xf8\\x92\\x05\\x8e\\xc5f\\x7f\\xfc}\\xb3\\xb6\\xf6\\xef\\x189 \\x19\\x17\\x8b\\x86\\xec\\xf7\\xf9\\x8b\\xae\nb\\xba\\xe4\\xeb@\\xdd\\xe5\\x19n1\\xf1\\xe3\\x95\\x9f\\xffi\\xb7m\\xd8v>\\xaa\\x9ab\\xf1g\\x84\\xe3{\\x01f\\xd9\\x8e\\xdc\\xce\\xba\\x82\\x14\\xa0\\xc3\\x87\\xe1wt\\xc9\\x9c\\x80\\xf8\\x03\\x18\\x82m\\xe4\\x02\\xd4\\xff\\xdd\\xa2\\xb8za\\x0f\\x0e\\x8e\\xcd90]\\xcaq\\xa2}\r}\\xb3r\\xcb\\xc2j\\xc8\\x85\\x13\\xdc\\xc9xc\\xac\\xc7\\xd2\\x80"
  684. },
  685. {
  686. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01p]/\\x8e\\x91\\xb8\\x90\\xe5\\x15y&\\xbfi\\xc5\\xc13\\xe1\\xf8\\x0f\\xe9j\\x06\\x07o\\xaf\\xecw\\xdbw\\x90ox\\x80\\x1e\\x83\\xcd\\x0c\\xa2y\\x85\\xe2 \\xd4g\\x0f\\x02\\\\xf0\\xed\\x95\\x17#\\xcc\\xbf}mf/\\xc0d\\xd4\\x8c\\x05\\xa8\\xf1\\xfeh\\xf7ls\\x158\\x1e\\x7f\\x86\\xa2\\xd9\\xd4\\xdb>\\xae\\xa3\\xb8g[3\\x7f\\xfbn\\x0b/\\x0e0\\x1b\\xf7\\xbb\\xcd)f\\x88\\x13\\x08\\xdd\\xbcn\\xdc\\xea=\\xa0\\x15\\x06\\xe4\\xae\\xdd\\xfd\\x16w\\xe8\\x91l\\xeaf%e'=`>\\xbda\\x11+\\x88#\\xa8\\xdb\\xe5\\xc0\\x02\\xb4w\\xf4de\\x04~\\x1ep\\xea\\x95\\xd5d7u\\xbbp\\xb1\\xf7\\x8ch\\xfa\\x17\\x07\\xf5\\x1f\\x10\\xdd\\xa1=\\x13\\xf4\\x94\t\\xe2\\xec>r\\xec\\x03\\xa7\\xc2\\xdd\\xe3\r\\x1b\\xc6\\x0e\\xf8\\x1d2\\x9b\\#\\xf2\\x06\\xf8\\x8enfx\\x9b\\xad\\xca5hg\\xb9c\\x15\\xcb\\xc8nbkm\\xe9\\xfb\\x06_\\x1f1\\x0b\\xe5\\xf9\\xb5|\\x8f\\xb5\\x0e4w\\xbe#5\\x97v$\\xd9}\\xa3\\x95\\x9bg\\xf8\\x1c\\x85\\xdaj\\xf1p\\xaa"
  687. },
  688. {
  689. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x02 5\\x19\\x93p\\xb3\\xf3xx\\x9de\\xdb}\\xc9\\xc0\\x84\\x17\\x06g\t\\xd6\\x9b+0c\\xa7\\xab\\xdf\\xfc\\x0e\\xf8\\xfc\\x86\\x97\\x96\\xa2k\\xab!q\\xc9\\xd4\\xfa\\x99\\x0c|\\xe0\\xc1\\x13'\\x8ed\\xe4\\xb7\\xd8v\r\\xcb\\xfe\\x8c\\x01q\\x16\\xe9\\xff\\xd3\\xec\\x14(\\x08e&)\\x1c'\\x1e\\xaa\\xcb\\xa8\\x8f\\x16\\x8b`\\x97bl\\xf9ce-\\x0f}\\x83\\xc0\\xc4lm\\xce:\"\\xac\\xde\\xf9\\xe1\\xfd\\xddx'\\x0e\\xd7)\\x81\\xcda\\x9b)~\n\rw\\xc7$\\xf3\\xb7i9g\\x7f\\x97\\xefa\\xc2ik\\xe2\\x1a\\x10\\xa4\\xc2\\xfbls\\xf4t\\x01\\xd3<\\xe8e\\xdcu[7\\xff\\x15\\xe6\\xf8\\xb1\\xfe\\x89z\\xe5\\x804zq\\x92g\\xdd\\x182\\xb9\\x97\\x13\\xc2i\\xa3\\xc1\\x8d>\\xf6\\xacq\\x0e\\xbc\\xbc?\\x87i\\xe6d\\x89\\xb0\\x8b\r\\\\x8a\\xea\r\\xd9\\xce;\\xe79\\xe6\\xa1r\\xedr$\\xaax\\xe0nl\\xba\\x04\\xd3\\x8as\\xba\\xc6\\xbay\\xf3\\xa5!\\xf2g\\xe2t\\xe4,\\x9f\\x94e\\xee\\x8d\\xfd!\\xd97\\xd3\\x19\\xc1\\x87\\x1a\\xcf\\xa1\\xac3\\xd3"
  690. },
  691. {
  692. "http_request": "winword.exe_WSASend_get /roots/dstrootcax3.p7c http/1.1\r\nconnection: keep-alive\r\naccept: */*\r\nuser-agent: microsoft-cryptoapi/6.1\r\nhost: apps.identrust.com\r\n\r\n"
  693. },
  694. {
  695. "http_request": "winword.exe_WSASend_get /msdownload/update/v3/static/trustedr/en/authrootstl.cab http/1.1\r\ncache-control: max-age = 86437\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: fri, 22 feb 2019 16:53:13 gmt\r\nif-none-match: \"80e22c19cfcad41:0\"\r\nuser-agent: microsoft-cryptoap"
  696. },
  697. {
  698. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x00\\xf0\\xb4\\xd0\\xbd\\xc7\\xf2\\xeck\\xc0h\\xf6|\\xb1\\xff\\xbal^4\\x13\\xca{\\x9c\\xb1f\\xaf\\x1e5\\xfc\n\\xa8\\x15\\x00\\xa4\r\\x98\\xca\\x87h\\x9f7}w\\xf7x\\xe4\\xd2\\xab1\\xe5raw\\xff\\xd3\\xf2\\x13\\xbf^\\x16\\xd1\\x99uq\\x12\\xc2\\x13\\xd2\\xc1.\\xe4\\x951z5\\xc8r\\xb4\\xbfg\\xbb\\x8cg\\x88{\\x1e\\xc8\\xf5\\x95\\x15\\xe5~\\xb8\\xc7\\xc5ts\\x066j\\xfaq\\xac?w5ah\\xc4\\x1c\\x99tt\\xa7\\xe6\\xc3\\xb2\\xd3\\xe7\\xe5\\xfd\\xf3l\\x851\\xc69\\xc5\\xf7\\x06\\xbd\\xb2\\xc0\\xd9\\x90\\xb6\\xadk\\xecp\\xb8+\\x19\\xe8~s\\xcc*\\x0c\\xfe\\x8a\\xb2\\x95\\xddm\\xf2\\xf9(\\x8a\\xb5\\xf8h\\x93\\xba\\x1d\\x1b\\x96\\xf0\\x98\\xb1h\rg\\xf6\\xac\\xa0\\x8c\\xb0]wo\\xf0\\xed\\xbfg#1\\x95p\\xee\\xfd\\x82d\\x8d\\x0c\\xde\\xed\\xa9\\x18\\xfa\\xc4\\xb3):\\xcc\\9\\xbc\\xf8\\x98\\x1dv\\xbd\\\\xa9\\xce=\\xaa-\\x91\\xd07\\xd4\\xa2/3\\x93b\\x03<f\\x02oj\\xe7q\\xcb\n\\x13lc\\x1d"
  699. },
  700. {
  701. "http_request": "winword.exe_WSASend_get /file/crypt_2_7000.exe http/1.1\r\nconnection: keep-alive\r\naccept: */*\r\naccept-language: en-us\r\nuser-agent: mozilla/4.0 (compatible; win32; winhttp.winhttprequest.5)\r\nhost: storage.alfaeducation.mk\r\n\r\n"
  702. },
  703. {
  704. "http_request": "winword.exe_WSASend_\\x15\\x03\\x01\\x00 \\xcb\\xbf\\xa4\\x87hh\\xfd\\x05\\xdbm,jc\\x15k\\xc4\\xbbk\\xff\\x1d\\x9fw\\xb9\\x89\\x94\\xb3\\xad\\xe9\\xc5\\xa7\\x80\\xcd"
  705. },
  706. {
  707. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00}\\x01\\x00\\x00y\\x03\\x01]\\x07)\\xdbp})\\x1a\\x13\\xfd\\xe1\"~\\xfb\\x95\\x8e\\x98\\x90\\xe6*\\xfe\\x16\\xedd<\\xf7\\xcc}\\xac\\xc6\\xad\\x9c\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x008\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00\\x1f\\x00\\x1d\\x00\\x00\\x1atemplateservice.office.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  708. },
  709. {
  710. "http_request": "winword.exe_WSASend_\\xff\\xff\\x01\\x00f\\x10\\x00\\x00ba\\x04z\\x82\\x92\\x1akw\\xd5$\\xf8\\xff\\xf27\\xc1\\xfa(x\\x9e\\xe5\\x91tv\\x83\\x81\\x0f5\\xf8\\xf8\\x99x\\x04\\xf2\\xd5pav\\x01\\x87\\xcfdh\\xa2\\xe8zi\\x9c\\xcf\\x04\\xb4<\\xc0@\\x18\\xach\\xaa\\x1es\\x07\\x9at\\x0bp\\x9e\\x9e\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xa8\\xc9k\\xe0\\x0f\\xa1^\\xa2\\xd8\\x87\\xed\\xa8m\ti\\x02\\x91f\\xf6\\x7f\\xe9\\x8f\\xaa\\x96\\x96\\xe3\\x927\\xd2\\xa6d.\\xee\\xaa\\xe8\\x18\\xf8\\x9d\\x14\\xae\\x10\\x06\\xf4\\xe8\\x175a\\x9d"
  711. },
  712. {
  713. "http_request": "winword.exe_WSASend_\\xe8\\x8cs\\x08\\xd0[s\\x08\\xe7%h.\\xc1z)s\\xd6\\xd0\\xedg\\x80\\x05\\x1b\\xca4l\\xf2g\\xdb\\x96/y\\x0e<\\xea\\x1a\\xb1\\xbc\\x13=#o\\xd4\\x1am\\xa1\\x1dq]\\x0cl\\x9f\\xe1c\\xcf\\xf1\\x07\\xa4d-\\x85\\x86\\xc6\\x91\\xf8\\x13gtg\\xac\\xce\\x02f\\xd8\\xf8*\\xba\\xdfq\\x89qrv\\xa9\\xa0\\xa1\\xf6\\xa5\\x1f+g\\xc2wq$n\t\\xccb\\xd4gn\\xdd1\\xaa\\x0f\\x87\\x9fw6t;\\xdc\\x15\\xfe\\x81\\x85\\xe6\\x87\\xcf\\xd3zy\\xba\\x17\\xff\\xda\\xe2\\x1f\\xf2\"t\\xff\\x89\\xf0v\\x1f\\x90\\xcf\\x96m\\xd1\\xfe\\x95\\xdb$\\xd4\\xf5\\x9b\\xcd\\x8al\\xed\\xda\\x8d\\x89\\x1b\\xf2\\x03b\\xb1\\x11'\\x10i\\x00\\x8f\\x17\\xb3\\xee/.$\\xaet\\xb8\\xd9 \\xb0(\\x83\\xb6\\x99\\x07\\x9bvw\\xa2\\x9dn\\xbc\\x185\\x9d\\xec\\x99\\xbax\\x91\\xa28\\x11\\x88\\xaa\\x88}\\x0e\\xe50\\xf0l3t\\x919[\\xe9\\xa8\\x99{f\\xca\\x12\\xb5a\\x80\\xae\\xe54\\x99ew\\x80\\x90z\\xff\\xaf\\xa6\\xbe\\x84\\xda\\x11u\\xee:\\x16\\x1f\\xf0\t:\\xbc\\xb5\\xab\\x94\\xf3\\xf4"
  714. },
  715. {
  716. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xce\\x93g\\xeah\\xea7\\xda\\xd2,\\xf6\\xca\\xd5\\xfb\\xcf}\\xa1\\xba\\x80>\\xf6\\xd6 \\x8cr|\\x91\\x8a\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  717. },
  718. {
  719. "http_request": "winword.exe_WSASend_\\xff\\xff\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x86\\xd5'\\x1f\\xc3\\x18\\x02%\\x9c\\x81s\\xd5|\\x05z&\\xec.\\xfe\\xfe\\xf2\\xb0\\x0e\\x8b*\\x80\\xea]\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  720. },
  721. {
  722. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x02\\xa9\\x02\\xc0\\xb1<\\xbf%\\x07\\xcf=\\xd3\\xba\\x9b\\xde\\xac\\x86n\\x93[-\\xa1\\xca\\xb7\\xa0>i\\xa2\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  723. },
  724. {
  725. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xccs\\xc4w\\x926(\tz\\x1e\\x07\\xcf\\xc9\\xa9*\\xa3f\\x80\\xd8w,]c\\xafs!\\xab\\x93\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  726. },
  727. {
  728. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x1av\\x05\\x8e\\xb8\\x11\\xd4#\\xac\\x19\\xaerb\\x1f\\xe7\\xde\\xf9\\x16\\xf5\\x85m\\x88\\xb2\\xddx\\x18\\xedb\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  729. },
  730. {
  731. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xb4\\xff\\x14ncd\\x84rx\\xd6\\x82n\\x94\\xcb\\x90g\\x98v=%ht \\xca0\\x0c\\x83\\xb1\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  732. },
  733. {
  734. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdcpt2\\xac\\x98\\xb9\\xbfj\\xb8\\xc1\\xa0\\x8b<\\xf8\\xf4\\x0e\\x85a\\xae\\xeani\\x94\\xcb\\xb3xx\\xad\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  735. },
  736. {
  737. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xbaml\\xb7\\x8c.o\\xa6\\xe6z`r\\xe2\\x02l\\x06of\\xc8f\\xfd\\xcf\\x98\\x7ffd\\x92\\x93\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  738. },
  739. {
  740. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xe2-`6*\\x12\\x14g`edl\\xbb|c^\\x8fn`\\x0c\\xdd\\x1f\\xf7sh\\xfch\\x12\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  741. },
  742. {
  743. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x81b`o6#\\xd2t#\\xca\\x87\\x86\\x8c\\xb5\\x8a\\xc6[$\\x9c\\x9fj\\xdep\\xa9\\xc6\\xa0\\x8e\\x19\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  744. },
  745. {
  746. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xa8u%]\\xd1#\\x88\\xed\\x1b\\xd3-\\x9b@m\\x130\\xcba\\xd9\\x0c\\xba\\xbeb\\x8by8\\xaa\\xf0\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  747. },
  748. {
  749. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xe6\\xae\\x99gt\\x071z\\xd9^z\\xe5et\\xa8\\x1c|g\\xba\\xe7\\xbe\\xffj|\\x88\\xc3\\xf0\\x1b\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  750. },
  751. {
  752. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x93b\\xfa\\xc6\\xa4\\xf2\\xfa.\\x86\\x88\\xfcf\\x86j\\xf6\\x92\\xb0\\x15\\x91_\\x1fj\\x82\\x7f)qt\\x0e\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  753. },
  754. {
  755. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x1a\\x92m\\x9d\\xd2\\xf2\\x81\\xe6ii\\xd6\\xb5\\xe1\\xd4\\x19\\x90c\\x16\\x1d9li\\xefm\\xddt\\x18\\xe6\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  756. },
  757. {
  758. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdctp\\x9c\\xc5\\xa8\\x0f\\xddqn\\xd6\\x90l\\x82\\x8d\\xff\\xf1rr\\xd62\\x1c\\x1b\\x13,\\xc1s\\xc3\\xc0\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  759. },
  760. {
  761. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdcp\\x92uu\\xa7\\xc9@(\\xb2\\x1c\\xba\\x87r\\xa4,\\x98\\xcd\\xc1\\xda\\x9f\\xe0kq4w\\x8a\\xf1\\x8b\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  762. },
  763. {
  764. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc:\\xef\\x82\\xcft\\xf4kv\\x0e\\xc1\\x08)\\xe5\\xf9\\xfe\\xa0\\xfa\\x18\\xc0\\x04\\xf2tl\\xaa$g\\xf3\\x95\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  765. },
  766. {
  767. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdckv2kr\\xa9\\xf5wz/\\x0b1\\xd1\\xf9r\\xd4\\xd4\\xb2\\xdf\\x8b[r3\\x9e\\xe4\\x83\\xd9\\xef\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  768. },
  769. {
  770. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xc2\\xf7\\x9e\\x89c+\\xc5\\xfb8\\x9a\\xc6l_j\\xbc\\xf7\\xfe\\x16\\x17\\xe7i\\x08;3\\xd2\\x1bh\\xe8\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  771. },
  772. {
  773. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xc2\\xfbi(h}\\xee5\\x19\\xaf\\xf1y\\xa5\\x1ew){\\xbe\\xca\\x11\\xfd\\xc2v=\\x07\\xfb\\xdak\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  774. },
  775. {
  776. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc|\\xa8\\xa84\\xa2o4\\xdd\\x90\\xf2\\xc7\\x86\\xc0\\xf9\\xd3\\x8f\\x9d\\xbf:\\xaf\\xa1\\xe5\\x7f\\i\\xdd\\xe4\\x0c\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  777. },
  778. {
  779. "http_request": "winword.exe_WSASend_\\x16\\x05\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x19[\\xd9e\\xe4\\xcf\\x81\\xf0o\\xd3\\xc80\\xf2\\x8b\\x81\\x83i\\x87\\xf6coc\\x9bh\\x8bq\\xd93\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  780. },
  781. {
  782. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x12n\\x1a:\\x00\\xb0\\xd8\\xee\\x9d\\x8cs\\xb4\\x19\\xd4i\r<\\x12\\xd3\\x92\\x98p\\xe3q\\xdeo\\xdah\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  783. },
  784. {
  785. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xa2k\\xe6\\xe5\\xb9\\xaf\\x92i\\xcdl\\x81\\x12\\xc7\\xda\\x85b\\xfb&\\xe6\\xcbp :,\\xd4\\xc3a!\\x0c:\\x82p\\xc8q3\\xaf\\x13\\x83\\xbc\\x0b\\xac^~\\xda\\xf9r\\xc24-6\\xed\\xdd<uj\\xab?\\x8e\\xf6u\\xcf\\x0f\\xff\\x14\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000t\\x8d\\x0c\\xcc\\x06\\xbb\\x99\\x1fq\\xa7]\\x92\\xa1\"\\xf6\\x98\\x00t\\x07aa!\\x99\\x0f;\\xcd\\x02\\x99z\\xcf\\xb9[\\xeea\\x1f\\xf2a\\xd1\\x1e/5\\xef\\xb2\\x86\\xf4\\x0c\\xbe\\xbd"
  786. },
  787. {
  788. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04mg\\x96\\xbb \\xdb/\\xcd\\x17\\xf2(\\x13\\xc0\\x18\\xe7\\xd0\\x1a\\x86\\xd1\\xa95j~\\x1ex\\xb7\\xbe\\xb7\\x8a\\x93\\xa2\\xf8\\xc3\\x18\\xf9\\x92i\\xa8\\xfb\\x12\\x1f\\x87@\\x92\\x1c\\xde\\xf6\\x12]\\x98\\x8c\\xe6\\x99\\xaa\\x19h\\x03\ri\\xf6$r2t\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x9d\\x90\\x0f\\xffz\\x824\\x1b\\xa0\\x16\\x03\\xcec\\x0f\\xc6\\x9d\\xb90gs\\xae\\xe6\\x8a\\xb8m8r\\xd9\n\\xba*\"<>\\x8d\\xc1\\xef,\\xad,\\xdc:\\xf8\\x1c1\\xa2\\xec!"
  789. },
  790. {
  791. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xe9\\x12\\x18\\xf9/\\x11\\x80{g\\x10\\xbd\\xa5\\x1dl\\x89\\x06\\x10'\\x11\\xf9\\x95\\tr{9\\x1b\\xaas\\xe1\\xc80\\xb6t\\x86h\\x1b\\x1d\\xb4]\\xfb\\x14s\rv4y\\xf8s\\x1f\\x86\\xdb\\x10x\\xde\\xa9\\xae\\xd7=\\x83\\xc5\\xf6#=\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000g\\xb8\\x19\\xa4\\xcea\\xbd\\x94\\xcc\\xf3\\x14au\\xc0q\\xca\\xf3\\x08[\\x8c\\xaf\\x1cn\\xe0\\x0c\\xfe\\x00\\x9bjl\\xe9\\xdd\\xa3a\\x86\\xbe\\x83\\x8e\\x88\\xf2\\xe0zl\\x85[lez"
  792. },
  793. {
  794. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04:\\xe6df\\x90\\x04qd-\\xce\\xb6s]\\xafv\\xb8a\\x91w\\x8c\\xd1\\xfc\\x18\n\\x0c\\x7f\\x12\\xc8\\x7f&\\xbd\\xa5t\\x9b\\x8b\\xb4\\x82r\\xbd=\\xac\\x1e\\xff\\xe9lb\\xce&\\xafp\\x14\t\\x14\\x84!<4\\xe5\\xb6o.\\x9e\\xa1\\xbf\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x8fz\\xad\\xb0\\xee|\\xd9\\x99mcl\\x86|?\\xc9\\x86\\xf73\\xb2\\xf7\\xcc\\x9f\\x1ch~\\xf25\\x96\\x04l-\\xbe\\xe1\\xc8i<\\x9c\\x12g\\xc7|q\\\\xbd\\xe6d\\xc5\\x8c"
  795. },
  796. {
  797. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x91\\xb6\\xa8)_\\x0e\\xfek\\xa4\\x08\\xfb\\xd6i\\xf6\\xb3`\\xaa7}ru\\x12\\xf7\\x07\\x80\\xa4\\x1b-d\\x1f\\xc6\\xb0p\\xa5\\xa6\\x8b\\xe7\\x89\\xca\\x96r)\\x80\\xcd\\xe4)\\xf2\\x19|\\x01\\x80u\\xd4\\x10,\\xcb \\xa5\\xb2\\xc5#nv8\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x0e\\x0f\\xe2\\xc4\\x00\\xc6\\xad4\\x8e\\xe2\\xeapl\\xd38\\xe5\\x91\\x90\\x1cm\\xd53\\x1c\\x92\\x9f\\xef\\xdby\\xb8oq\\xb0\\xc3ag\\x07>\\x00\\xbd\\xb2&\\xa3\"x\\x9d\\x1f\\xbb\\xc6"
  798. },
  799. {
  800. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04~[\\xd0\\x16\\xd3\\xf9g\\xa8\\x1a\\x86\\xac\\xef\\x90\\xab\rf\\xe7\\x90\\xab\\xae\\xa1\\xd3\\xd5\\x9a\\xba\\xea#\\x91\\xfazt\\xd9mw\\xfa{&x\\xeao\\x1cps\\xa82\\xc0\\xa8,\tj\\x1d\\xcb\\x87hk\\xdb\\x0c\\xc5e\\x1af\\x90\\x0e\\xda\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xc1\\x16n7\\xae\\xa0\\xa6&\\x91\\xf2\\x03\\xac\\xd0t\\xaf\\xacx\\xd59sa\\xd5f\\xd0\\xbf\\xe7g\\xa1\\x9d#u\\x9f:^vm\\x8a\\xb5\\xacq\\xe0i\\xf8\\xb9\\x1f\\x04f\\x14"
  801. },
  802. {
  803. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x00\\xb7\\xc0\\xa8\\xf2\\x85\\xb4\\xb8\n\\xcc\\x15;p\\x9d\\xce4\\x01\\xef\\xa9\\x84\\x0e\\xce\\xf6!\\x0f\\x9e\\x83\\x059\\xc3\\xbcd\\x95\\xd2\\x15f\\xa91/\\xff\\xf4\\xd5;\\xa4\\xdb\\x8b\\x97\\xb8\\x00?f\\x15\\x1d\\x9ao\\xb1\\xcc\\xbf\\x82\\xf3\\xa6\\x0c\\x8d\\xcf\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xe7\\xd6r\\xbf#\\x8bk\\xbc)\\xd5\\xd9\\xb8\\x98\\x9ac\t(=c\\x8e\\xf9\\xfc\\xa5*$\\\\x15\\xeb\\x84\\xe66\\x90ug\\xc2cs\\x98h\\xd2\\x07\\xd4\\xa0d\\5\\x1e\\xb2"
  804. },
  805. {
  806. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xe8\\xfd+:e\\xde\\xc1\\xdd\\x03g_u\\xda\\xac\\xf6\\xc9\\xc8\\xc1\\xca\\x86\\x88\\xf3\\xa7\\xa2u\\x94b\\xd5ac\\xa1p\\xa2\\x94^\\x16\\xed2~\\xc2\\x97\\xd9\\xe2~%\\xe7\\x92\\xebk\\xb8\\x18\\xeb\\xcd\\x1b\\xd731\\xd1e\\xfem^\\x98\\xd0\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000q\\xaf\\xd8\\xf22\\xf23\\xeef\\x16d\\xf8\\xf9\\x1c\\xd1k\\x81\\x94\\x15\\x0e\\xf3\\x0b\\xc7:\\x00\\x95\\x86\\x844\\xc2\r(pl\\x89<\\x87\\x91mc\\xa1\\x0fv\\x16t!\\x8a\\xea"
  807. },
  808. {
  809. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xc9\\x16%f\\xf7\\xad\\xb7=\\xb7\\x0e\\xffc\\xce\\xe8\\x98b\\xd0\\xbc5&\\xc2\\x07\\x85\\xa9e\\xcf\\xce/\\x89\\xb2\\xc9\\x06\\xe8\\xe6;z\\xdb\\x17\\x7f\\xfe\\xda\\xbd\\xca\\xb0[\\x01+\\x0b\\xd4\\x06\\xacn\\xf6\\xcf\\xfb\\xc8\\x97w*e\\xec\\xd4,f\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1dl\\xfa\\xac\\xfaz\\xfe\\x7f\\x9be\\xa1\\x8f\\xcf\\xe0(fnk\\x83\\x108\\x05\\x82\\xfa&\\x8b{\\xe56\\x16\\x9a\\x87\\x16\\xb4\\x82\\xfc_|%\\x19\\xd7 d\\xfd\\x99\\x88\\x18\\x01"
  810. },
  811. {
  812. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xff\\xf2|{\\x04\\xc8\\xcc|\\xcd{\\x02.ltz\\xb0e\t\\xd5\\xb6s\\xf4.\\x05n\\xe8\\xa4%mqt\\x97\\xf8\\xa0k\\xae\\x05gs\\x95\\x1c\\xf3\\xfdb\\xfch\\xb7l\\xf4\\x81c\\xe6\\x0b\\gs\\xdfp\\x04!_a;6\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x03+f\\xa2z\"q^\\xe1\\xee\\xc5qj\n\\xc3\\xfbu\\xacy\\xa9\\x95\\xaaz\\xc1q\\xa2\\xc4\\xae\\x1a\\xd3_g\\xe9;\\x93\\xe1\\x17<\\x00\\xbbtr\\xd5ogf,\\xb2"
  813. },
  814. {
  815. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x95\\xb7\\xa3r\\xcft\\x11\\x83\\xee\\x05u\\x9a\\x81\\xa9b\\xfb\\x80+\\x9ct\\xa2\\x1f4l\\xf5\\xa3r\\xa1c\\x1b\\x0e\\xfd\\xc2\\x1cszj]\\xa2\\xa9\\xc5\\xd1\\xcd\\xed\\xc8n\\xc2\\x80\\xe7\\xf0\\x1e\\xd3+#\\xbd8ce\\x1dy\\xa4 u\\xb1\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xeb\\xa3\\x0b2\\x0e\\xb8\\xbe\\x7f\\xdek\\x1b\\xab5\\x01\\xbe\\x05z\\xbf$\\xa9\\x86\\xb8p\\xce\\x1c\\xb2\\xfece\r\\xba\\x8cx&\\xbc\\xf5\\x1e\\x07\\xc9\\x08\\xeb\\x1evrv\\xb5e<"
  816. },
  817. {
  818. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04|\\xc5\\xd3\\x00\\xfb\\xa9\\x11\\x17\\x05\\x07l\\xf4\\xac/\\x16\\xcdt\\xd8vq\\\\x83\n\\xc4\\x9e\\xcc\\x00\\xfe\\xd6\\xb9,\\xb0t\\xcf\\x1az\\xb2\\xea\\x806\\xd2\\xa2\\xa3\\x86\\x9f\\x81\\xfb:\\xe5\\x1e\\xbf\\xd1\\xdc\\xbbw\\xa4@\\x18\\xa5\\xf6x&\\xd7\\xd1\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x12\\x17;\\x07e/\\xe2\\x81\\xf2\\xbd\\x1f\\x8dg\\x7f/\\xf3fk[\\xde\\\\xa8\\xca\\x80r\\xcb\\xb8~\\x11\\x12\\xd6\\xf8v\\x89\\xc5\\xc5\\xf8\\xe6&\\x91\\x11*\\x04\\xdf$\\x88\\xa9n"
  819. },
  820. {
  821. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x80\\x9a]\\xcc\\xc55\\xed\\xc9\\xc9\\xe2\\xa5\\x83nj\\x95\\xc3\\xa3\\xc1\\x9c\\x12\\xa5\\x1a\\x87\\f\\xde\\xa2\\xf1q\\xb98`\\x18\\x7fm`\\x8b\\xdf\\xc9\\x1c\\xabg\\xe8\\xba\\xec\\xa0\\xdb\\x07\\xda\\x9f\\x04h\\xfd\\xbd\\x8a\\x83\\x00\\x1a\\xec\\xf8\\x1a\\x96?i\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x8d\\x1fb}c\"<s\\xc9\\xc0\\xb8`\\x99\\xe9&\\x89\\xb9\\xf8:x\\x91q\\xff\\xc1\\x944\\xc2r\\xb4\\xa5\\xc4\\x16\\x1f\\x86\\x1a\\xd8x\\xca\\xba\\xad\\xe4\\x14\\x12\\x93 p\\xa9z"
  822. },
  823. {
  824. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xbe\\x00\\x8b5\\x92'\\x99m\\xa8-}&\\x04\\xef\\xcbv\\x89p\\x84\\xbe\\x05%\\x8f\\x18)e\\xca\\xae6f\\xac\\x8d\\xdbs\\x9c\\x1e\\xab>\\xc6*\\xeewb\\x0bo\\xf6\\xca\\xa4\\xbe\\xc8\\xc1\\xaf\\xae]/\\x85\\x87i\\xd9.\\xc1\\x07\\xc8\\x96\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xb0s\\x10<\\x8an\\x0f\\xc4\\xb1f\\xd4m\\xc6d\\xf3_\\xb9\\x8e_1\\xc3s\\xb80\\xcff\\xac\\xd5\\x13{\\xe7\\x16\\x10\\x0c\\xcf\\xe9\\x84\\xa0\\xcd\\x9ft\t\\xc0\\xcfrip\\xc9"
  825. },
  826. {
  827. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04mx\\xd1\\xe9\\x97\\xd34~\\xd6\\xe7\\xca_~\\x88\\x1e\\xc9\\x82<\\xfd\\x01u\\xb9\\xcfq\\x11\\x0c\\xe0\\x17\\xadeti\\xe5\\xc3\\xb1m\\xf5\\x069\\x007\\xf0\\x80z\\xa8b\\xd6n\\xfc\\x17>\\xe8\"\\x86,\\xad\\xf8@\\x13\\xfa\\xabe#\\x8e\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000ev\\xf4\\x99\\xb0z\\x1a\\x95;\\x0c\\x8b#\n7\\x9d!\\x14#\\x16\\x8a\\xda\\x8f\\x8e#\\xdd\\x9f\\x11\\x08x\\x18%\\xa1\\xdc\\x0e\\xb0a\\xd4\\x1a\\xe6\\xcc\\x9c\\xfd\\x83z\\x04\\xe4\\xcd\\xf8"
  828. },
  829. {
  830. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04f\\x17\\xd0\\xaf\\xab\\xa4\\xc2c\\x82\\xf2\\xf8\\xa8\\x14\\xd15t\\xab\\xe0\\x93\\xa7\\x11\\xbcrp\\xb1lln\\x91b3\\xaf\\t\\\\x98\\xbd\\x84\\x1f\\x08\\x9b\\x92\\x90\\xf8\\xd2\\xb4\\x87\\x92\\xd3\\xa8\\x00\\x9f\\xec\\xfcj\\x15\\xef}\\x00\\xa8m?\n\\x03\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000&\\xb4\\xce\\xa9b\\x07\\xf5\\xb6\\\\xa3v\\xca\\xd6\\xccz\\x19\\xf7\\xa9\\x82\\x822\\xec]+7\\x02-0\\xba\\xbd\\x82\\xb2\\xdb\\xd1v\\xf4\\xe7\\xd4{\\xeb\\xdbm\\xd4\\x14+$\\x975"
  831. },
  832. {
  833. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04)\\x90r\\xf15\\xb7\\x8a#\\xb8aq\\xe3\\x01\\xb5\\x8cv\\xdelxn`\\xb5\\x98\\x04\\x83\\xdf\\x91(\\x12pz\\x17i\\xf9\\x9c\\x18\\x0cy\\x91s\\xd8q\\xce\\xb1k\\x06\\x1d\\x08d\\x88\\xd9\\x80\\x8c\\x113\\xb9\\xe2\\xf9\\x91\\xab2\\x07\\xba\\xd6\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x0004db\\x86:\\xcf\r$\\xc8.fq\\x87\\x17\\\\xe3\\xeec\\x92\\x88\\x1d\\x131\\xa76\\xfe&ljp\\x93|x\\xedj\r\\x8d\\x9c\\xec\\x9c],\\x94\\x91\\xde\\xe6\\xf5h"
  834. },
  835. {
  836. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xd3l,|\\x04\\xe5z\r\\xb9a:7n\\xd8t\\x95\\xd1sx\\xe4h\\xbd\\x08}qwd\\x14n\\xe9+\t\\x0c\\xaa\\xb9\\x85\\x12z\tp|g\\xce \\xd5\\xefv1n5\\xbb\\xd8\\xe7\\xc0\\x9c%i4\n{\\x8b|\\x1a\\x90\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x90\\x90z6\\xfe\\xce%d\\xe2\\xc6\\xd8\\xde\\xde\\x86\\xb6|plr\\xc5\\xb9k\\xa7\\xe8^4\\x1a\\x04 \\x1asl5w\\x14\\xf5.\\x82\\x9f\\xec\\x07\\x1c\\xc7#\\x9e\\xc1u\\xc9"
  837. },
  838. {
  839. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xc2\\xe3prj\\x08\\xb9-\\x00\\xb6q\\x19\\xfe\\x1ay\\xb4\\xa6\\xbc\\xa5\\xb46i\\x885s\\xe3vz\\x8f\\xb1\\x07\\xbfx\\x89\\xec\\xa4\\\\x9d\\x16\\x82\\xcbq\\xed/h\\xbc\\xc8\\xce\\xc0\\x83c\\xb1\\xca\\xc2\\xf1\\x82\\xe3u\\xbf\\xe5\\x81\\x8d\\xc6`\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xf3\\x9f\\xdb\\xdd\\xef\\x0c3\r\\x0e\\xcd\\xe7\\x958\\xca\\xe3\\xae\\xda}\\x12\\x99\\xfa[\t|kg]\\x03\\xea(\\x1a\\xc0>\"\\x93w\\xac\\x9c\\xe4d\\x82\\xac\\xa2e\\x07\\xf2\\x91\\xdd"
  840. },
  841. {
  842. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x1e\\x8a\\x01\\xba3\\x03'n53\\xe2v\\x9aym1\\x9ej/>\\x9at\\x9e'\\x80\\xd97)\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  843. },
  844. {
  845. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04v\\xa8~\\x04s\\xbe\\xe2~dw\\xb4\\x9dc\\xc8\\x02\\xfd\\x8d\\xbe\\xf5\\x81\\x0c\\xcc\\xba\\x062\\xfb3\\x92<\\xceb\\xeb -0\\x97k&\\x80\\x18+\\xde\\xdcq\\xce\\x87\\xb1\\xae\\xd6;+\\x9d}\\x02c\\xa3f7|<\\xe1y}s\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x90=\\x08\\xa3\\xf7\\xd3\\\\x7f\\xd4\\xca\\x9dn\\x8b\\x13l\\xae]\\x8d|c\r\\xf9\\xca\\x1d\\xda\\x13ha\\xd5km\\xeb\\xb3\\x96\\xbdtx\\xf2\\x00c\\xcfi\\x8ebi\\x07\\xd7\\x05"
  846. },
  847. {
  848. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x042\\xb4x\\xc8zp\\x03\\xe4\\xc3\"\\x04\\x11\\x8a\\xfb\\x9e\\x8b\\xc3$-$s\\xd4\\xbe\\xb1\\x81\\xb5\\xf3\\xf7\\xc5~v\\xec~(\\xcc\\x80\\x06n\\xa3\\x98\\xc9\\xe1\\xaa]gf!\\xc6\\x04/]\\xd1\\xef4\\xfc0\\xf2\\xca\\x85\\x1a\\xac\\xfak\\x94\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x0003\\x00d\\xa5dv+ii*t\\x07@\\x92=\"t\\xea\\xc5\\x02\\xccm\\x1aj(\\x07\\xbb!g\\x9f\\xda*\\xc6@y\\xa6\\x8c\\xd6\\x07\\xa4\\x18\\xa8\\xb4\"\\xb3og\\xec"
  849. },
  850. {
  851. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x05\\xbc\\xb7\\x94,w\\xd0\\xe3_\\x03|\\xef\\x077\\xdf\\xd8\\x9c\\x8c\\xc2k\\xe4\\xbc\\x82\\x11r\\x94\"\\xa8\\xef\\x9e\\x1f}4\\xa9\\xe2\\xd7\\xbch\\x9d\\xfc\\xc4\\x85\\xda\\x11\\xca\\xe7g\\x80\\xb8g\\xf5\\x08\\xbdg\\x80\\x81j\\xaa\\xf3}@{u\\xf8\\xae<\\x9c*\\xb5o^0@\\xf9@%\\x08\\xe7\\x1b;\\xb5bf]\\\\x19gv\\xadr@\\xe9\\xef\\xfb\\xb9]\\x15\\x89dv7\\xadtl\\xec\\x1e\\x18e\\xd7x7d\\x8f~\\x1d\\x7f\\xaf\\xe7\\xf4\\x11\\x89v\\x8el}\\xff\\xc9\\xb1\\x91\\x8c\\xa8l\\xf3('1\\x01\\x8c\r\\x1e\\xc7\\xebl\\xc5\\xfd~\\x1fn\\xab\"\\xffl\\xe2\\x9b\\x81\\x00wp\\xe6\\xedn\\xd0\\x19o\\xa2f\\xa4~\\xe1#\\xaa\\xd5\\xc3\\x97\\x03\\x1f\\x8b\\x05\\xf2$\\x86\\x17\\xdd(\\xb7w5\\xc8\\x9b\\xfc\\xcc\\x11\\xc8\\xd7\t.e\\xd6\\xe4\\xad\\xda\\x02t\\xd3j\\xf1\\xaa\\x9d\\xce\\xe8q\\xe2\\x02\\xb2\\xda\\x82\\xb76\\xa7_d\\xc6\\x17g\\x9a\\x93\\x98\\xa6\\x10\\x92;\\x13:b\\x14\\xdd\\xe0\\xb0\\xa9\n\\xab\\x01\\x01`\\xf8\\xe6\\xd1\t@\\xf8%"
  852. },
  853. {
  854. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010v\\xb1x\\xa3\\x19z\\x8dl\\x95^\\xec\\x94\\x01#\ry\\xf5\\xdf\\xcey\\xb51\\xb4a\\xae\\xb6j\\x17\\xbd5o\\x11\\xc3x\\xc8\\xbfo\\x0b63\\xce\\x94\\xea%\\xf89\\x0c\\xf5\\xba\\x91d5fz$\\xe5\\x8a\\xc1k%\\xf2;\\xd7\\x04p\\xe9\\xe7!qa&8%\\x8f\\xc0\\xa4pl\\x1b\\xfdq\\x89\\xbe\\x8b\\xc1\\xe8\\xeb\\xd3\\x80\\xc33\\xaf\\xeb\\x84q\\xc0%\\x91\\x89\\xd7)\\x97\\xd4|\\xfe\\xd4o\\xf9\\xb0\\x9f\\x04-#]\\xc8b\\x95a\\xc8\\xeb\\xc9\\xb3\\xf3\\x02.\\xbeq\\xb1\\xa4\\xeb?\\xfe>\\x8d\\x8d^\\xbc\\x7f\\xa29\\x86\\x82\\xe4\\xae\\xee\\xff\\xcf\\xb8\\x1ep\\xc5\\x86\\xc6\\x12/c\\x1b\\xbc\\xd4\\xc0c\\xccg\\x06u\\xfe\\x92\\xa6\\xa4r\\x91\\x03\\xb2\\xeb\\xe9\\x0c<\"\\xebz\\x8d\\xdf\\xe8d\\xa2\\x14w\\xf5\\xde7\\xbdp\\xbag+\\xd3\\x0f\\x03 \\x02>- \\xf9ak\\x8b\\xb1(]\\xa8j\\xc5\\xe9\\xee\\x1d\\x99\\xc2\\x1b\\x16/*\\xc2\\xe1\\xda\\x17\\x11s/4\\xe4\\xca}\\x91\\xe4j<b\\xd2\\x8b\\w\\xcc\\x88\\xc7\\xcb\\x1d<\\x88\\xc1\\x15"
  855. },
  856. {
  857. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc_\\x87bm\\xf9\\xc0b\\x144c}q\\xd8\\x1c\\x18\\xcci\\xe9s\\x86\\xe5\\xd8iq`d\\x1e;\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  858. },
  859. {
  860. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04>\\x1e~?b\\xc2q\\x1c\\xe22/\\xa9\\xe1d\\x8c\\xe6\\xe4\\xca\\xc5\\xfc\\xe9/\\x08\\xb7\\xbfbf\\xf9\\xe2o\\x7f\\x7f\\xe8\\xe8?*m\ryzr\\x19\\x19\\x9ab\\xefot\\xe4 \\xff\\xf3\\x85g3\\xacr\\xa3\\xfb\\xc6\\x92\\x06)3\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xc2[[>d{zr!\\x9boi\\x05\\x9dk\\xac7]\\xa1\\xed\\x8c\\xd8e\\x8b\\xc8\\x96\\xc4a\\x06}j\\xe8\\x12\\x1e\\xff\\xcd\\x04\\x04\\xe2\\xe8\\xcbnw\\xf0\\x1a\\x1b\\x13t"
  861. },
  862. {
  863. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xb7z@\\x14r\\x18\\x0e\\xc7\\x1b\\x9d\\xef\\x85\\x19l\\x07a\"?\\x98\\x82\\xaa$\\xc6%5ho!\\x85\\xe0qd\\xc5\\xd1,cb_\\x1c\\\\xdf\\x05x\\x96\\xf2\\xf6\\x00\\xe5\\x01\\x08m\n\\x11\\xd3\\xa7\\xc065\\x00s]\\xc8wxb\\xd6\\xaa48\\xeb(\\x08\\xc6[\\xe5\\xe5\\xa4|\\xf8\\x98\\xcd\\xa3\\xbc\\xba\\xe2\\xc8\\xa0u\\x90\\x86\\xf01\\xa8]8i\\x1e@\\x82\\xb4\\xb0\\x93\\xaf\\xc2y\\x83\\xc3z+\\x9cr\\xfa\\x96\\xaf\\xc8\\x9c\\x1ddv\\xe6\\xc8\\xb3\\xe7\\x14\\xe3\\xc4uc\\xb0\\x17u\\xc7\\xe4`hpn\\xfe\\xf65d7o\\k\\x10\\x95 ?s\\xb6q\\xb4\\xfc{b\\xbe]\\x0e/`4}\\xd4\\xd990b\\xd2\\xee\\x1ea\\xd6\\xce(x\\xa9\\x91\tu\\xe7\r\\x12<\\xb7\\x07\\xeez\\xb2\\xd9\\x1cq;\\xdf\\x16\\xb5\\x17\\xf6\\x98v\\x06nhi\\xe5\\xb4\\x91\\xec\\x8b\\xaf*\\xd9\\xf4\\xcf\\x0e\\xa9@\\x8dt(\\xdd\\x9fkw\\xae\\x80s\\xc0\\xf8\\x8f\\x1e`\\xa9\\x99\\xad\\xa0\\xf3\\x1fn\\xf2\\x9dlqo\\xc5etw@\\xe2\\xe2"
  864. },
  865. {
  866. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010}n\\x85\\x93#\\xc1\\xbfhy\\x1bv\\x02x)\\x9b'\\xa47\\x8f\\x00\\xfe-#\\xdf\\xa1\\x9c\\xed\\xdclw\\x93\\x911y\\x82\\xc0\\xb5,\\xe4x,\\xd1z;\\x8fla\\xf8\\x17:\\xa9\\xfay\\xa9\\xd0w\\xc5w\nu\\xb7\\x07\\x07\\xfdai\\xe5\\xa6\\xabp\\x924%v\\x93\\xa2qsy\\x8b\\x08\\xff\\xaeyr\\x86\\xd9\\xbd\\xac\\x93\\x9e\\x11\\xa7&\\x042vp\\xac\\xb6\\xa7\\x81\\xa3\\x8aqs\\xf3\\xf7\\xbe\\x05k\\xd9\\x1ej.\\xea\\x9f\\xd7%\\xb1\"\n\\x17\\x9a\"\\x8fqk\n\\x80\\x93_x\\x1d\\x10il\\xf3\\x17\\xb5\\xcc\\xae\\x9e|\\x12d\\x1f\\xb6\\xb7\\x9d?qk\\xb7\rk\\x05u \\xdb\\x91~\\x1c\\xd9\n\\xac+\\xfd\\xe3]n\\xa3#\\xecs\\x1cbw\\xec\n\\xc77t\\xc6\\x06\\x0fz\\x93\\xa7\\xec/1\\xcf\\x112\\x0e?\\xce\\xe7c\\xabm;9\\xfaq\\xd1f\\x7f\\xe4?\\x0fj\\x0f\\xa4%*_\\xa6::\\xbb\\x99\\x1e\\x92bt\\x07\\x8bv\\xc8\\xdc@\\x7f\\xa6\\xe4\\x9e\\xd9\\x1e\\xcat\\xc1\\x14\\xa8e\\x10\\xe4\\xed/\\x8f3"
  867. },
  868. {
  869. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x98\\xc7\\xfaj\\xb1\\xfe\\x850mf]\\xa3v\\x88\\xd3\\x91i\\xcd\\xd1\\x0e9\\xa7c\\xe5\\x10\\x7f\\xadtjq:\\xd4\\xd2\\x14\\x8d\\xf9\\x04*\\x99\\xd3\\xa6kp9\\x81\\x82\\x8dl\\x0bj\\xeb\\xa7@\\x9b\\x1e\\x08wga\\xec\\x1f\\xcc*\\x06\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1c\\x9cy\\xeb\\xc4c%p\\x8c?i\\xa9l\\x08\\xaas\\x9c$^\\x1a\\x08\\x0c\\x8d\\x83\\xe4\\xadz2\\xecc\\xda\\x93_\\xfak\\xca\\x1b8\\xc9\\xab\\xe6\\xff\\x8e\\xcb\\xc6\\x9a\\xa6p"
  870. },
  871. {
  872. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x05k\\x99\\xa8\\x88\\xb2\\xd1^i\\x03l,\\xb2\\xf1%\\xd9c\\xf8d[\\xe9n\\\\xf5^\\x1a\\x98\\x02\\xd0\\x14\\xaexm\\xae|\\xa0&v\\xda#\\xf7v\\xab#*\\x8fz\\x91x\\xde\\xc5f\\x10\\xbcxhm\\xcey\\xedn\\xaac\\x81\\xae\\xf97\\x83:\\xa1\r\\xa0w}\\x8bf1=\\xfa\\xe0\\x83\\xc6(\\xc0\\xaf\\xe8+\\x02\\x10+\\xc8\\xc7\\xa9$.\\x92\\xaby4\\x02qd\\x8a\\x84\\x01\\xc1\\x9emyg\\x07p\\xca\\xcdm\\xbb\\xf4m;\\xe6\\xee\\xb2\\xe7e\\x1e\\x82e\\xb8%\\xa14\\x971v\\x05\\xf5kt}\\xb9\\xb5\\x02\\xd6n\\xe9\\xda\\xe5\\xb6\\x13\\x1e\\x8a\\x7f%\"\\xb0\\x9e\\x01p\\x13\\x95\\xcb\\xed\\xd4\\xd6=\\xb1v\\x8f\\xfe\\xdd\\xbfq\\xf5nh\\x04\\x1b)-9\\xbb\\xdb\\x17\\x06_t\\xbe\\x97st\\xfd\\x8b\\x12b;z+\\x8b;\\x18\\xa8yl&$\\xe2j\\xbd\\x15\\xe5dl\\x8d\\x9e\\xd1za\\xeb\\xbb\\x80\\x88u\\x11\\xf7\\xe9xh7\\xae&0\\x87\\xe06\\\\x1a\\x7f\\xd3\\xc3(s,\\xae\\xc6\\xd8#\\x91r\\xa5_\\x8d"
  873. },
  874. {
  875. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xa4\\xe9c\\xe3s\\x8a~b\\x84\\xe77\\x85\\x83ik\\x01\\x93\\x07`a\\xbf\\xa3\\x9e\\xa1\\xcd1\\xe6\\xd1\\xde\\xa5!\\x19\\xab\\xbd \\xfe\\xd1\\xc0\\xfb\\xdb\\x14\\x94\\xd0j\\x85\"\\x9a\\xb0m\\xbe\\x9d\\x04\\x95\\xb4\\xa6\\xfe\\x0fr\\x9bn\\xa4\\xd7?\\xa4\\xe1\\xd9\\xfe\\x10\\xfa\\x832\\x02\\x0bzr\\xb7\\xdf\\xc4a\\x15\\xe4\\x8b\\xac{\\xdf\\xb4\\xc2\\xf79t\\xe6\\x18t\\xbfn\\x99\\xca ^#\\xf1\\xe2;np+\\x8dmfb\\x10\\x88pb\\xbdq\\xe6a\\xed\\xbb\\xfc\\xb0\\xf7\\xe9y\\xbb\\x8e\\xae(\\xce\\x90^&\\x8cj\\xf4\\xc9'\\xf1h\\xe1k^g\\xd2\\x95\\xf4x\\xc9]&\\xbd`\\x18/k\\xccew\\x13\\xb8\\x1e\\xbb\\x1cm\\x1d\\x96\\x9a\\xe3$w\\xfb\\x7f\\xb55\\x9d\\xfc\\x93\\x00\\xd3\\xc5\\xa9c09\\xdd\\xed];g\\xac*^\\xc6?xk[\\x00\\xe57,\\xd4\\xf6\\xcfi\\xde}\\x1d)\\xb9\\x07\\x83\\xe3\\xd0\\x0c\\xea\\x81\\x11l4\\xf4\\x973i\\x1bg\\x8d\\x13\\x93\\x07\\x1b\\xc2\\xb1\\xbc&b1\"\\xe7\\x93\\xcae`\\xea\\x0cz\\xa1\\xa3\\x1en"
  876. },
  877. {
  878. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x1a\\x82\\x14c\\x03[\\xadi\\x8a\\xea\\xd6&g\\x07\\xd5\\xb3&h\\xdc\\xf9g\\x1f\\xeeb:\\xa5\\xa2\\xb6\\xd2~\\xa1\\xeank\\xbf7\\xfb/\\x13\\x17\\x81\\x06e$\\x96\\x92\\x91a\\x0f\\xb8\\x1e\\x05\\xae\\x15\\x8b\t$\\xc2\\x86\\xcf&\\xd2v\\xcc\\xb3\\xc6/\\xa8\\x9b\\xf4]\\x8e!,\\x0b\\x1e\\xeat$\\x7fm`\\xc1=?~\\xda<_\\x82(\\xebd\\x1e`t\\xb8\\xadf7nab\"\\x85\\xfadjh\\x92a\\xcf\\x99\\xd9\\x89\\xbd\\xed\\xbf\\xc8rd\\x90g\\x81\\x92\\xe2\\x89\"\\x1e\\xed\\xcdu|\\xb6[\\x93\\x99 \\x95pl\\x14\\xb0\\xf8bo\\x9b\\x82#\\xd0f\\xad\\x97\\x94\\xc1\\x8e\\xa0\\x1cz\\xaa\\x00\\xd8z5\\xfb\\x9c\\x18\\x1d$y\\xcf\\x8b@.\\x8b{5 \\x07\\xd4>\\xaf\\xe4\\x1b\\x17\\xb3@\\xdft\\x00h\\x12\\x894\\xe7(\\x16\r\\x1a\\xdc_\\xd2+\\xa7\\xc8\\x96a\\xcew\\x98%\\x10\\xf6\\xc0\\xd5lt\\x83\\xb6\\xfd\\x0b^i\\x88\\xb2\\xbc ,\\x17\\x88\"\\xf6\\xce\\xc7\\xe4s\\x9d:\\x96\\xadw\\xf2\\xcd\\x88\\xa0/~\\xb5\\xe5z\\xb1"
  879. },
  880. {
  881. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xce\\xc3\\xbc\\x8c\\x11\\x0f\\xd9\\x18st\\xcf\\xdb^\\xa8\\xb4\\x1f\\xfa%1@z1\\xae\\xfb\\x9ean6$3\\x10\\xd5\\xb4\\x974\\xa8b\\x16\\x80c\\x13\\xe9ii|]'\\xd1}\\xfb\\xca\nm\\x0cje\\x99\\x86\\xb6\\xd4:.td{\\x87\\xf1\\x0e\\x9af\\xaaiej\\x10\\xd73;\\xb6o)\\x07\\x16[^\\xfc@\\x13\\xdeq\\x80\\xc3\\x9d\\x0c\\x0cg\\x0emd\t\\xae\\x80m\\xf2bk\\x16\\x15\\xcd\\xedos\\xcd\\xea\\xb1o\\xd01\\xc1&\\x1d\\x90n\\xf5\\xd1\\x99\\xba\\xd6\\xd8\\xd8\t\\x1c 0\\xf0\\x00\\xe6i\\x80\\x96\"q\\x88h\\xa5\\xdc\\xcfg\\x08\\x13\\xd7\\xe9\\xb3o\\x9a\\x00b\\xb0 \\xae;x\\x02i\\x86\\x82g\\xef\\xc3~i\\x1d\\xf3mty\\xad\\x81\\x98\\xd3\\x98\\xc8\\xc8k\\x056zd\\xab\\x92\\x9d\\x901\\xbau1<\\xc8a8\\xad\\x99\\x824\\xbc\\xb5a\\x0fp\\xf5h)\\x89q\\x9d\\xcf\\x96\\xab\\xe3\\xef%\\x8b\\xde\\xaee\\xe2h\\xd4\\x18\\xd1\\x0fp\\xdfi&`\\x9e\\x8d\\x1d\\xec\t\\xcf\\xb1\\xeb\\x82\\xf9\\x1c\\xae\\xd8\\x11\\x9c"
  882. },
  883. {
  884. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x96\\xda\\xe9\\xcd1f\\x02\\xcf\\xa3j\\x1c\\x86u\\xb5\\x92~\\x88\\x14\\xc3<j_\\x02jm\\x0f\\xe5z\\x89\\xc9=\\xe6:7;g>\\xfe\\xdb\\x02\\xfd\\xa9\\x07\\xd3\\xe34\\xf6h\\xf8\\x0c\\x9c<\\xf0\\x05\\x15\\x040\\xb51\\x85ekw\\xd0\\xaek\\x14\"\\x8b;\\xf4\\xb6c\\xe7\\xc6\\x97\\xf4\\xbf,\\xe2\\xfb\\xe3qm\\x19\\x9a\\xe9\\xdb\\xd7\\x83u\\x88h\\xe0zj+\\x039w\\xfft?tg^\\x07\\xc7\\xca.\\xfb\\xd5\\xca5\\x9ft@\\xe2\\xddw\\x80\\xc4#\\x05\\xe1\\xba\\x9a\\xd1je\\xd0y\\xa1&\\x89\\xbc\\xe72|\\xc6\\xb5pdp\\x04\\x8ey\\xfa\\xf77\\x0c\\xca\\x16-s\\xb8\\x1b]\\xd0\\x18\\xeb\\xee-\\x16\\x8e\\xa4\\x0f\\x838m\\xbe\\x12\\xc1\\xc6\\x89\\x891\\xecs61y\\xd6\\x81x\\xf7\\x10!\\xd7/\\xbat\\x02p#^h\\xdd\\xe7.8\\xaci\\xdb\\x87\\x8b\\xdecn\r?(\\xday^$+h}\\x98\\x070h\\xbe\\xa74k\\xda\\x98\\xa5w\\x16{\\xc4@\\xf1t\\xfc\\xa2\\x1dt%\\\\x860\\x9e\\xdf\\xa9\\x9bu$"
  885. },
  886. {
  887. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x08\\xa8\\xee\\xca\\x01\\xc0\\xa0c\\x11\\xea\\xd1w\\xb3\\x8en\\x1b\\x14wre/\\xb2\\xa7\\xd9{\\xcbjua\\xdd\\xd2\\xa0\\x83j\\xa7\\xa0\\xdb\\x00\\x1c\\x879\\x03~\\x18\\xd1\\xa8\\xed\\x80\\xc7\\xfa\\xa03\\xe1hv\\x03\\xe1\\xbf\\x8d\\x9b\\xf0d\\xfdu\\x87\\xa2sg\\xdbb\\xb6\\xdaa;\\\\xb7\\xc0\\x84\\xb7\\x18a\\x15\\xe3\\xb4p>\\xb5\\xb3\t\\xc5\\xe0\"f\\x87\\xdb\t\\x11)\\xb8\\x8b\\xb5\\x9b\\xb5<\\x1f\\xc6\\xb3\\x8c\\x83\\xa9\\x1dxse\\xdc\\x99\\xd9\\xb12\\xa4m\\xb8\\xf4a\\xe9\\x9d\\xab\\xf2\\xe8\rz\\x94\\xd0{\\xf0'ns\\xfd\\xe5\\xd8\\xcf\\x1c\\xb7e%\\x0e@\\x01(\\xfam\\xf3\\xc7_a\\xec\\x8b\\xf9*\\x14\\xc8\\xb1i/\\xe1\\xde!|\\xf5dl\\x9cm\\x94d\\x90^.\\x85\\xdcb\\x15\\xec>\\x14\\xca\t\"\\xa3\\x83\\x04\\xfcm*\\x99\\xdb\\xf8\\x0e:\\xbd\\xc2\\xd9\\x02\\xd5\\xcf\\x94\\\\x8d/\\xa5\\xf4\\x7fh\\xc5\\x0f\\xcf\\xaaf\\x91k\\x9c\\x16\\xf92\\xe1\\xa5[8a\\x7f\\xbe\\x12\\x13_\\xea\\x8ers\\xcc'\\x0b]o\\xc8\\x80\\xd4dg\\xfcd"
  888. },
  889. {
  890. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x1b\\xe6\\xda\\x08(n\\xb1\\x17c\\x97\\x08w\\x168p[\\xc5@fl\\xae'et\\x90crb\\xef0\\xf8$\\xd6\\xbf[\\x9f\\xc2\\x9c\\xdd\\x98d-\\xee\\x12\\xd4\\x84\\xf5s^m!\\x06\\xfbwu\\x19;-\\xfc\\x8e.\\xbe(w\\xe1\\x9f1\\xda.\\xe0\\x1b\\x18f)\\xd9\\x87bz\\xba\\x1e\\xec)\\xa5r\\xee\\xb8l\\x87\\xe9[\\xa6|\\xe6!\\x08\\xcb\\xdfh\"\\x17\\xd7\\x13\\x0f\\xe9b\\xe8\\xf0\\xfc\\xac\\x05cu \\xbd`\\xd0\\x08\\x8c.y\\xcc\\xabn\\x16\\x16\\xe3u\\xc2\\x1a#\\xafg\\xd7}}\\xa7@b\\xc7\\xc6t\\x014\\xf1\".\\x01\\x97\\xd6c\\x0b\\xf3p\\xd9ad>\\xcc\\xb72\\xcc\\xb0\\xda!\\xad\\xfdz]x\\xff\\xe2\\xb1do\\x85\\xd2\\xce1\\xd6\\xfbu\\x7f]\\x8f\\xffu\\xc5 \\xbc\\x1d\\xc6<\\xce\\xb4lc\\xd5<y<\\xdd\\xf9\\xc4\\xa4k\\xffw\\xd1wbp\\xd4[\\xb8\\xe8s\\xeb\\xd1wz#\\x14c}\\xadq\\xe7\\x80w\\xc5\\x173\\xda\\x8e1ts\\xa1p\\x17\\xb3=\\xf92\\xc6\\xf5\\x9cl\\xc0z\\xd8"
  891. },
  892. {
  893. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010s\\xc0\\xbeq,\\x03j\\xd1\\x1b\\xd2\\xfe\\xde\\xe7\\xd24\\xac\\x91\\x11}\\xf3,@\\xdcm\\xb8\\xcew\\xcf\\xfe(n\\xaf\\xb4\\xf5\\xea\\x8b\\x9e\\\\x83c\\xc8\\xd7\\xcb\\xe6\\xbf-zq\\x9a\\xde\\xdfwx\\xbf\\x05g\\x93\\xd0?\\xb2\\x1d3\\x9e\\xd1!|\\x8e\\x91\\xd4j\\x03\\xd2\\x17\\xbb\\xde\\xc3\\xa5\\xafr\\xfd\\xb7\\x02-\\x00tey/~\\xde=t\\x8f(\\xdb\\xcf\\x05/\\xd4\t(|\\x1fm\\xf0\\xa4\\xdc\r$\"\\xcf\\x10.d\\xbat\\xb7\\x0b\\xdd\\xdea\\xc5\\xc5(yv+\\xe3s \\x8c\\xf2\\xa25n\\xbb@\\x86\\xabd\\x98\\xcf\\x1al^\\xcf\\xfa\\xa1\t&h\\xc7\\xe0ob\\x8e\\x04#\\xb2\\xddl\\xed\\xab~\\xf5\\xccp\\x10\\xe1\\xd8\\x12\\xcf\\x06sn\\xab\\xbd\\xad@\\x03s\\xf3\\xf8%j\\xaa\\x1f{m>\\x97\\xc7\\x9dr\\xad\\xdf\\x8e\t\\xbe\\xac\\xf8\\xdcz7\\xc6\\x8b\\xa7\\xfb\\xf6\\xb8ic^x\\xf9n\\xe2\\x82\\xe1\\xfek\\x80\\x89\\x13\\x1f\\xf4\\xff\\xfa\\x03j\\xd1\\xa3\\x88n\\xe8'\\xf2\\xbb\\xfaz\\xf0\\x\\xe3\\xd0\\x048\\xf4n%\\xb5"
  894. },
  895. {
  896. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x9b},\\xdc\\x86\\xe3l\\xd9\\xfd`:\\xafn\\xef\\xc7|\t\\x7f\\xbd*#0\\x07\\x8f+g\\xcf\\xfe\\x1c\\xb0j\\xa3\\xfa\\xef\\xd5\\x9b\\xfdk\\x9cb\\xd5\\x7f\\xac\\x9a!\\x95\\xe2t\\xa1\\xa8\\xd0bq=\\x8d\\x9f6)d\\x12\\x8bgjb~\\xac\\xfa\\x9b\\xd8\\xdb\\x95f\\x9cu\\xedi\\xf9\\xcb\\x0c\\x10\\xd4l\\x0b\\xcf3\\x0c\\xa4:\\xc6\\xc1\\x83sg\\x08au\\x9e\\x9f\\x91e.u\\xa4 \\xcf\\x83\\xccq^rj\\x8c*\\xc3\\x0f\\xb0\\xa8|\"\\xd9e\\x7fz\\x9c8\\x022\"\\xdc.>\\x04e\\x93lw}\\x9a\\xdf\\x1d\\xc0\\xb5{\\xe5\\x9dg<\\xb4\\x17{ d5\\x84\\xef\\x85\\x06\\x07\t\\xf33\\xf7~\\xa9\\xdb\\xbd\\x04y*\\xd6_\\xef\\x9a\\xed\\x12\\x7f\\x88\\xc9\\x8aa(\\x94\\x93\\x8a\\xd3\\xdf\\x0bvao\\x94 \\xd7\\xfb\\xdey\\xc7bs\\x8br\\x84\\x0b\\xc2\\x05\\xe7\\xd5^\\xc6\\xfa\\xe9\\xc1c~\\x8dd%z\\xc0\\xc8`\t \\x93\\xfd\\xceod\\xb8bd\\xc89\\xbdp\\xce\\x00`\\x12g\\x9f\\xd5}x\\x82r\\x89\\x12\\x93_'"
  897. },
  898. {
  899. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xb5\t\\xf7t\\xe4m\\x87rw\\x0b\\x96\\xc4%\\xfart\\x10\\xfem\\x97\\xa5\"\\xc8\\x1d\\xb6&moi\\x9d\\xd2\\x109(q\\x8a\\x034r\\x7f~\\xba\\x00\\xd0*\\xa9}]\\xbd\\x18u\\xe6\\xd5[\\xdf\\xa7h\\xe1@_b\\xa4\\xbb\\xe8\\x0f\\x08;\\xb7\\x02\\xe4o%i\\xdd0\\x1e\\xe1\\xdaw\\xb9\\x8f\\xf0\\xe6\\xc2\\x0f4}\\x88f,a\\x11\\xc0\\xed\rd\\xbeo:7,z\\xcb{\\x04\\x85\\x1ch^4\\xb6cv\\xa3^\\xec\\x9a\\xa5\\xb4e\\x8e3o0t\\xa8;\\xc1\\x81<)\\xdc\\xdcy\\xbf\\xe1o\\xef\\xaa\\x12\\xb6q a\\x1d<\\xf8x\\x0cg\\xbb\\xae\\x93'\\xe4\\x1d\\x18\\x7f\\xa2x\\xc5%f\\xb2-k\\xd8\\xaa6\\xbd\\xe7\\x8c\\x92'\\x10\\xbe\\xec\\x9c.\\x03]\\xeb91*}\\x14w\\xe9\\xbcz\\xcf\\x90uj\\xfc\\xbf\\x19\\xda\\x03\\x97\\x17\\xd7o(\\xf4\\x8e\\x91\\x1b\\xdf\\xaf\\xe1\\xb2p\\xa7\\xfeb\\xfay\\xe1\\xe1v/\\xdbd\\x86r\\x93d{\\xea2o\t\\x13\\xc6\\x96\\x03\\xad\\x17\\x1a\\xd5\\xe0\\xc5a*\\x8e\\xe9\\x04\\xef\\xbd"
  900. },
  901. {
  902. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x1c\\x082\\x18\\xf2u\\x00ud\\xb0\\xc0\\x1aq\\x90\\xa4\\x9ed\\x9b,\\xe9\\xc1\\x11\\xbbmj\\xe3\\x0f\\x7f\\x9b\\x87]b\\xa3w\\x98z\\xcb\t+<\\x0c\\xd8\\x1eg\\xeb\r\\x0e\\xbf\\x8b\\x1d`\\x92\\xc6h\\x11d5\\xc9\\xe6\\x02\\\\x8f\\xec\\xd7\\x1a\\xbag\\xf38n\\xee\\xb3\\xf3\\xa0f$\\x06\\xcd\\xad\rm6w\\x7fg\\x9b\\xf6r\\xb4\\xb6>\\xcdt\\x12\\xefc\\x80\\xed\\xca\\x070\\xb1\\xdd3\\x8c}\\xf34\\xad\\xdff\\x97\\xdc\\x8bh\\xc5\\x8bd\\xb0\\xc7`qr\\xaa\\xea\\x7f\\xeb\\xc7g\\x05jm\\xa9&\\xe5\\xc9\\x9es\\x01\\x97? \\x83\\xa6\\x0bz\\xb1\\x15\\xd8y\\x82|d\\xa8l\\xca\\xf4\\xe7\\x14\\x12\\xbaz\\x0f\\x02(\\x0f\\x1a\\x9e\\xda/\\x00f\\x83\\xe0\\x9ek \\xcbvlj\\xe4\\xa1\\xa7\\xa2\\x10/\\xad\\xc5?\t`\\xe3\\x16\\xb6\\xc4k\\xfb\\x16z\\xda\\xd3\\x95\\xad\\xbad\\x1f\\x1b8\\x13\\xe3x\\xbc\\xe1\\x15 \\x0e<\\xab,\\x1a*/\\xa8\\xb7\\x02\\xb7\\x14\\x15\\xb0\\xaefl~\\xf3\\xdc5m\\xcf\\xd4\\xb6l\\x7f\\xf4\\xf7|2x,\\xebo"
  903. },
  904. {
  905. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x8d\\xe9\\x1c\\x9e@\\x82\\x00\\xa6\\x98\\xf7}^}\\xf9\\x94k^\\xb9lz\\x9b\\x95\\xfan\\xc5\\x01\\xf5\\xe9l\\xd1\\xb5y\\x05\\x84\\x1d\\x92\\xa8ejt\\xban\\x123\\xc7\\xf8>\\x86\\x03\\xdc|\\xc8\\x94\\xc7\\x18\\x98\\xfc\\xee\\xa7_\\xf8p\\xb4t\t'\\xf6\\xa0\\xf5\\xe0\\xa1\\x02<t\\xaa\\xa7/-\\xde\\xe9q\\x02\\x1f\\xffc\\xec\\xe4\\xcf\\x04\\x86\\xf4\\x0f\\xbe\\xb8\\x85\\xd1\\x98\\xa2\\x9dd\\x8b\"c\\xc76\\xe0\\xbc\\xa5\\xed\\xe5\\xf6\\x1f\\xe4,\\xbd\\xdbu\\x9eo\\xc5}\t#\\xfe\\x13\\xf8\\xe4 \\xf1g\\xdfc\\x9e\\x10m\\x1b\\xbc\\xc1\\xcc\\xf0\\x00exc\\x13\"\\xe1wc\\xf9\\x8d\\xc5\\xe4\\xf4\\x85/\\x1dh\\x1f\\x94\\xe6\\xf3c\\xd9.\\xbc\\xa7:\\xd2\"$\\x93^\\xb7\\xb9\\xddg\\xe1\\xf2\\xe0\\xe5\\x9a\\x90\\xbd\\x94\\xfd\\xd43\\xb29l9\\xf8\\xb3f\\xbc\n\\xf2\\x14\\x87c\\x8c\\x96,\\xee.\\xd6\\xb2\\xd3\\x08\\xf1[\\xcbep?x\r\\xe2\\xbf\\xc8\\xdbv`\\xbf\\x03\\x0fs\\xc6\r\\xbf\\xd9\\x15f\\xa8?\\x15\\xc9\\xd0\\xda>\\x8e\\xdb\\xef\\xd8\\xe6f\\xeb.\\xef;"
  906. },
  907. {
  908. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04$\\x05\\xf5\\xb9p\\xec\\xfey\\x7f\\xdfv\\xba\\x17t\\x1b\\x8d\\xd1k\\x12\\xbb\\xcf(1\\xb1y\\x92\\x01y\\xde\\xcf~>\\xcf\\xd96j\\x16\\xcatz\\x9b,\\xd2j\\xbb\\x8e\\x1a\\x13a\\x94\\xa8/\\xe0\\xc2\\xb9\\xb8gu\\x01\\xb6\\xe9v\\x1c2\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000w\\x7f\\xa4\\x9a\\xfcl\\xdd\\x81\\xc1\\xd2\\xce~e\\x13\\xb6\\xc6\\xc3_\\xdf\\xa7!\\xc0\\x189@\\x91w\\x8b\\xae\\x1bw\\xa8t\\x19=\\xf4\\xa4\\xd7[o\\xc2\\xf1s\\xf1c\\xfbr\\xba"
  909. },
  910. {
  911. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x9f\\xf4\\xf0{\\x9ak\\x81\\xe0[\\x01\\xb0\\x00ba<7\\xe0\\x04\\xfd\\xacm\\x10o\r[\\xf7pr\t^i\\xf9\\x0b/\\x0b\\xcd^\\x80\\x0e\\xcb}\\xdd\\x92z\\x11\\x98s\\xc2\\xc1\\xb5*\\x9f\\x07\\xdcm\r\\xa0\\x00x\\xbd\\xc7\\xf8\\x0e#b!\\x15\\xb7wd\"\\xed\\xc2\\xe4\\x1f\\x99y\\x00\\xa3\\xca\\xd6\\xfa|g\\xa7\\x13\\x7f\\xee\\xc9\\\\xde\\xda\\xd8`\\xed\\xda\\xf0\\x85\\xfd\\xcek\\x86\\xdf\\xc6\\x0ee\\xa4{bf\\x9etov\\x92`\\xfb\\xc6\\xe6\\xd7\\xaf\\x7f\\xec\\xdd\\x05\\x80\\xee\\xf7k\\x17\\x01\\x80\\xfd\\xbf\\x95{\\xae\\x01\\xf8\\x07\\x85\\xaf\\x82dx\\xdfrnn\\xa9m\n\\x03\\x9ea\\x8d\\xafu\\xa4\\x85/b\\x8bb\\x00\\x1fp\\xcf.j\\xbe=\\xf2\\xbd\\xe2o\\xdem2\\x03\\xc6\\xcf\\x00'\\xa941\\x19t\\xc59\\x90q\\xa8\\xcf\\xea\\xec\\xa2\\x96l\\x87\\xf7\\xea\\xa3\\xcb\\x1b\\xb9y\\xa68.\\xf5\\x82\\xa6`\\xa6\\xf7\\x14q\rt\\x87\\x8a\\xef\\xd4lw\\x12\\xc4\\xef\\x13\\xd0\\xfes^\\xeb\\x1f\\x02\\x19\\ \\x97d\\xd3\\x93\\x1a\\xbd3\\xc2-("
  912. },
  913. {
  914. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010:b8y*\\xae})js\\xba\\xd0\\xedk\\x94\\x8eqz\\x85\\xa8\\xb3kc\\xcc\\xf5\\x00s\\x07a\\x9adi\\xa0w\\xb1\\xc5\\xd1u\\xf0\\x13\\xc0\\x7fq9\\x18\\xff\\xbe\\x17\\xfc\\xd5\\xae\\xcd\\x9c\\x01u\\xbd\\x1d\\xad\t\\xadk\\x06a\\x8f\\xe8\\x95(\\x7f\\xfd`\\x85p\\x02\\xc2\\x8b\\xc3\\x07\\xfc\\xc3\\x81\\xbf\\xd3\\xf8h\\x0e\\xbe$\\x10\\x97\\x18\\xf5\\xf3\\xbf\\xe2\\x8b\\x8b\\xb0\\xf2\\x1c\\xbb%4\\x04\\xd5\\xd0\\xb8\\x84,2\\xb4\\xeb\\x81\\x90\\x86\\x1d\\xcfg\\x81\\x0b\\xcc\\x86\\xd2\\xe5\\xf3a\\x87\\xfc\\xe3\\x1cqj\\xe5\\x1e\\xd7\\x91#\\x07\\xe2\\xb1\\xba\\xc5,\\x91\\xb5z\\x19\\xec~\\xe1\\x82\\x90~3\\x0e\\x00\\xeeo\\xa1<\\x9cc\\xbdf\\xbe\\xd8\\xf8@\\xaa~yl\\xa1\\x13r2'\\xfc\\x8f\\x99m\\xec!\\x9adj\\x96\"\\xc3\\xc2\\x9b\\xc1n%\\xb6@\\x82\\xd6\\x13\\xb2fo\\x05\\x98i\\x07\\xe8oglh\\xa7\\x88\\xa1\\xa8j y\\x81\\xde\\x1b\\x01<\\x9a>\\xc1+6\\x01\\x19\\x18\\x14\\x89\\xd7\\xbfr\\xe3[\\xcf\\xff\\xd6l\\xfdk\\xd7\\xab\\xeeggnu\\x9d"
  915. },
  916. {
  917. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04ao\\xb4=\\x91x~\\x9c\\x98i\\xb8?\\xf6\\xff$\\xc3\\xd9s\\xa3x\tv\\x01\\x04\\xe5\\x058\\xc1\\x15\\xa3_\\x06\\x83\\xf5\\xea\\x17\\xd6\\x02q\\x88\\x81\\x8f\\xb7\\x1d\\x9d\\xd6\\xbcr\\xf4\\xd6\\xd6w\\x94\\xb0g\\xb1i\\xad\\xc6\\xe6\\x15\\p\\xf7\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000e\\x01+|i\\x03\\xf4k\\xfba\\xdb\\x14\\xef\\xe4\\xd6\\xb4k<+\\xb8\\xf99\\x19\\xef@\\xa6\\\\xe5\\xdd2\\x7f\\xc1g\\x8a\\xfc\\xe7\\x8c@h\\xfd\\xd0j$\\xea\\xcc\\x89\\x00\\xb8"
  918. },
  919. {
  920. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x912\\xb5m\\x86\\x12\\xb0\\xa2\\x19\\xcb\\x97&\\x00\\x8d\\x8b^\\xdb\\xb7c-\\xb7\\x1a\\xa1\\xaf\\x89\\x95\\xfa\\xda\\x92\\xd8d\\x95\\x85\\xa4f{\\xe0\\xc9\\xf2\\x90\\xd2'\\x82\\xfe\\xdb<~\\xe29\\x91\\xe0\\xd2\\xe9\\xa9\\x86\\xd8\\xa5\\xc7\\x92\\xdc\\xf2\\xd6,\\xe1[\\xd8uc\\xfdl\\x04\\xa9>\\x1fok\\x8a&\\x06:\\xcea\\xc5\\xc6\\xd6\\xea(\\xc2\\xc5\\xb3\")\\xfch\\xccf\\x9a\\xacbd'k\\x1a.\\xcd\\x05i\\xbc\\xd6b\\x98\\x9b\\xa5\\xb1\\x11\\xc0y4\\xfd\\x8d\\xf1\\x99c\t\\x1d\\xb8\\x83h\\xa4\\x9c~\\x8c]\\xe6\\xea\n\\x9eg\\xaa_b\\xc4\\x16\\xfe\\xcf\\x95\\xdf\\x88\\xf3z7\\xa0\\xa5&\\xd1\\x02\\xc1m\\x8e\\xa3\\xa9\\x03\\xcane\\x8b\\x9bib\\xb5 \\xbc\\x0c\\xfb?w\\xac\\xc6^\\xbc>\\xa9t\\xe4\\xdc\\x9c\\xf2>\\xdd\\xba\\xcejg&\\xdb\\xfes\\x9a\\xcc\\xb9v\\x93\\xc9\\xa2\\x93(\\xcf^\\x9drx('\\xf4\\xe7\\xa6\\x8c\\xfe\\xa9\\xa3\\x06*\\xc9\\x08\\xca\\x0e\\x8d\\xa0 z\\xf6\\x12\\x90p\\xb3\\xb09\\x90h\\xb2j\\xaeh\\xc0\\x8fs\\x0e\\xcc\\xac\\x1c\\xcd"
  921. },
  922. {
  923. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xa0\\xf8^\\xfc\\xe8d\\xa5hul\"\\x02\\xcc,\\xe3\\xf1\\xde\\x84k/\\xe3\\xb0v<; \\x19u\\xc2\\x05fu\\x9fd\\xa0aq\\xaf\\xd1\\xaf\\x80\\xea\\xfb\r\\xed\\xe1\\x1a@\\x9fu5\\x00+\\xb1w\\xe2\\xf6t\\xf5\\xbc\\x85%\\xdc\\xe6\\x93~\\x19p'\\x01\\xafw\\xd1\\xbe\\xc9\\x12\\xedh\\xd3\\x86`.\\xa1\\xe0\\xd8\\xc7\\x8f\\m\\xa9\\x98\\xdb\\x7f\\x9e\\x95\t\\xddj\\xd0\\x92x\\x17\\x80i!\\x0f\\x14\\xe3\\xd2\\xae\\xee\\x06$\\x8d\\xb4\\xc0\\xebw\\xd8h>[g\"\\xfe\\xa3\\xaa\\x1a\t\\x02\\xe1\\x8cf\\x7f\\x9e/\\xe1\\x14\\x9aw\\xf4jel\\xff\\xb0\\xfe\\xd2\\x06a\\xcb\\x03r\\xe8\\xe0.\\xb8s\\xcb\\x8e\\xa1\\x01nk\n\\x8b\\x15\\xd55\\xc9r\\x04\\x16x\\xb5\\xf3\\x8bm\\xfb\\xa0\\x1e\\xcfn\\xe7eh\\x1c/\\x15\\x9fi\\xb1a~\\xa0\\xa0\\xb6\\xf6\\xa0\\xda:<3\\xeb\\x89\\x83\\x02\\x1a=3\\xd5w\\xdf\n\\x91\\x14\\xb6\\x1d\\x12\\xfd\\xda\\xfb\\x9d\\x02>\\xb35\n\\xed\\xa8=\\xef\\xc0\\xcfa\\xce\\x96^\\xf8\\x03y\\xbf\\x11\\x85\\xa2_\\xdd\\xf0\\xdf\\xf1w"
  924. },
  925. {
  926. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010a\\xe3\\xf2\\x89\\x9b#\\x15-\\x9d\\x1f\\xd6\\xe8\\xdef\\x7f\\x85u\\xea\\x00\\xb0)d\\xde\\x01%\\xed$\\x0e\\xaf\\xf5ck\\xee3\\xd3\\xaef%7\\x1dua\\xea\\xd3\\xd8x\\xfb(\\x1d7+\\xeato\\x87\\x91\\xa8\\xf1|\\xf7dk\\x04d\\xf5\\x88q$y\\x89:\\xd0r\\x96f\\xc6l1uh\\xd0u\\xe3npn\\xf4u\\xd24\\x0b\\x11#\\xd6\\xfa\\xd9\\xd5-pi;a\\xa7`\\xb7\\x81\\xfd\\x95\\x12\\xe7\\xf5\\xb0e\\xe2\\x04]\\xf2y9\\xcf\\xf1~\\xd7\\x15k\\xb8\\xd2\\xbcz/d\\xf0(\\xcc\\x03\\xba\\x84r\\x1d\n\\x12\\x9b\\x9f(a\\x18\\x81\\xe1\\xcb\\x05\\x0b\\xc1-\\x0c\\xcb\\xd8(\\x00.\\xe76\\x12\\xa7\\x9cc\\xaa{\\x16\\x90\\xe3\\x8b%!\\x84\\xf7\\xd0\\xa6\\x8exe\\xe5\\xb6\\xdc*\\xc3)n\\xd8 \\x92\\x1e\\xa74\\x9d\\xa6\\x10d@\\xc5xd\t%l\\x8a\\xedu\\x06\\xc1\\x15o\\xb9\\xdbbiw\\xd2k\\x8b\\xf4\\xf5\\xfb4\\x14l\\x8e\\xb6'a\\x91w\\xa4\\xe5\\xfa\\x07\\xd4\\xd8s\\xe8\\xbf\\xb7\\xe2a\\xc3\\x96\\xfa\\xd1\\xde\\x91\\xeal"
  927. },
  928. {
  929. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x9b\\x01\\xe0_a.\\x0cz\\x8e\\xa2\\x15l\\xb85a\\xd9o\\xc1\\xc2\\xa4\\x96_\\x17\\x03\\xe4\\x91\\xa24va7\\x9f\\xa1\\x15\\x06\\x0e\"\\xfd+\\xa4m\\xa1\\xcc\\xd2w\\x05\t3\\xddpil\\xba\\xd1\\xef\\xc5s\\x84`\\xcbp\\xe7\\xde;\\xe0\\x87\\xfc2]\\xd3\\x1e\\xc5\\x83\\xa7\\x83\\x91\\xc0ht1\\xab\\x93o\\xf7\\xf8+\\xc8\\xad\\x81t\\x0e\\x95\\x07v\\xc4\\xe9\\x99\\x874\\x8d\\x1a\\xf5\\x82ur\\xb6\\x16\\xe4\\xfc<\\xdd\\xac\\x11f\\x0f\\x89\\x99\\xf3\\xdf\\xd7:\\x83\\xcf\\x1c\\x93\\xa7bqn\\xe2\\xa7\\x95w).0\\xd5\\x84e\\xab\\xfe\\x89\nwy\\xf4\\x8e\\x91\\x93f\\x12\\xe2\t2\\x02\\xca{\\x13s\\xc0\n\\xeb\\\\xd0\\x08\\xd7\\xfal`\\xe8\\x00\\xfd\\x1a.wx\\xd7\\x8d\\xdc\\x17cs\\x17t\\xe5&q\\xb8\\xec\\x85\\xfa\\x9bqwd\\xd5\\xfb+\r\\xe3-\\x16w\\xe3a?\\xea\\x83yv9\\xd8j\\x9f\\xd0\\xac\\xc5i$\\x19\\xc99f\\x0f&r\\x1azb\\x92\\xfa\\xd8\\x98\\xdd\\x84\\x1et\\xee\\xc2t\\xa5\\xc6`u\\xdd\\xa9\\xa8\\xbd1\\x06\""
  930. },
  931. {
  932. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x07\\xa2+r\\x90\\x1eutm\\xbd\\x85\\x11\\xa4\\x95}%t\\x84\\xdd_\\xd3d\\xd31\\x8f\\x82\\xd5\\xe5\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  933. },
  934. {
  935. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdcn\\xd3s+\\xc1\\xd7\\xe7(\\x89\\x7f\\xf6\\xe7\\x06\\x9e\\xfd\\xbb\\xa6}\\x90qz\\xe6\\x9b\\xf3\\xafqyv\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  936. },
  937. {
  938. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xaaq\\xb8\\xaa\\xeb\\xfc\\xe6\\x01\\x8c\\xe8\\xa1\\x18y\\xaa\\xea=\\xa6\\xe9~\\x0b>\\xc6\\x90\\xe8\\x94&\\xc8\\xb0er{\\xec\\x94m\\xaf\\xe4\\xd5\t\\x16\\x0c\\xca\\xe6\\xe69:7\\x91\\x02\\x9d\\x97`p\\xe4`n\\x8c|f\\x04\\xba%}\\x84\\xe0/\\xcb\\xf3\\x9e\\x0e\\x9e\\x9d\\xe5\\xda$\\xb5e\\x81\\xa4\\xc3i]w/\\x83\\x97\\x9e\\x07\\xc0\\xf4g$.\\xdeed\\xf8\\xbc\\xc1\\x7f\\x9cwf\\xffl\\xb6\\x8e\\xbc/'\\xe6q\\xef{e\\x06\\x958\\xd9\\x02\\x1e\\xb1\\x183\\x89\\x8c\\x96\\xa8r\\xe9\\x89\\xb7\\\\x81\\x9bov\\xb3\\xd3\\xdbd\\xcf\\x0c\\xd1\\xd1\\x85\\xc4\\xc3\\xa2td\\xb0b\\x11\\x94,aw\\xdd\\x8c;s&\\x93\\xe1x\r\\x905\\xc1\\xdfe\\x91g\\xe7\\xf3\\x82\\xbd\\x9bvx\\xe3t\\x9e\\xd3]55\\xe0\\xe0\\xf8\\xfb\\xa7\\xa0g\\xf7\\xeb\\xd0&\\xbb!v\\x9b\\xc4\"y)\\xc1r?\\xee\\xae\\x89\\xd4v\\xbd\\xcd\\xfbe\\x8e\\x81\\xb6|\\xea$c\\xae\\x86z\\xd4\\x90\\x97c\\x8ai\"?\\xaae5d\\xac@\\xb2\"dha\\xa9\\xe4\\x7f\\x0b"
  939. },
  940. {
  941. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xc3\\xdf1\\xed\\x1e\\x9a\\x96\\x86^\\x95\\x18\\xbdp\\xefh-'wm\\x86u\\xbb9\\xaf-\\xb2c\\x12\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  942. },
  943. {
  944. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\x86x\\xfey\\xfbz\\xdf{\\x87\\x910\\x8ap\\xa8\\x0f%\\xd4+1\r[a8\\xfd+zb\\xe5\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  945. },
  946. {
  947. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xd0\\x8c6\\xe0\\xe5y\\xa1,\\x8c~\\xacy\\x04[v\\x99\\x17\\x92g\\xfd\\xcdk\\xc9e?\\xf8e\\x19\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  948. },
  949. {
  950. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xa0\\xe5\\xd5\\x1d?\\x14\\xbc\\xc1\\xc0\\xca^\\\\x87\\x92\\xba\\xc7zm3\\x01\\xbayg\\x8b\\x80<\\x93s\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  951. },
  952. {
  953. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\\\x92(\\x06\n\\xcd\\x1b\\xfb\\xda\\xef\\xc3\n\\xb7|t\\xfb\\x14\\xe2\\xca\\x13f8@\\x8b\\xa8}~\\xaf\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  954. },
  955. {
  956. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdcw\\x96v\\x16\\x8a@\\xee\\x80\\x9a\\xd2\\xd67a\\x8a\\xeb\\xbc\\xf8\\x97\\x1a\\xe2\\xb3x\\xddf\\x04\\xff>\\xf7\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  957. },
  958. {
  959. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdc\\xe67\\xe2\\xa2\\xfc\\xcc\\x16\\x90\\xa6\\xc5\\x06o\\x85\\xc9 \\x95y\\x83\\x88\\xdd#\\x9e}\\xf8v\\xe9\\xb6\\xfe\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  960. },
  961. {
  962. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xc5\\xedwl\\xa9\\x16|\\x01\\xa2\\xb3\\xac\\xfa\\xbdy:1\\xc9\\x11\\x19\\x80\\xc5.\\x05m\\xe3hjm^\\xa4\\x19_\\x1ae\\x9b\\x0c\\xfay%\\xb6c\\xe235l\\xb4i\\xab\\xa6=\\x8eh\\xeb\\x82\\xad\\x82\\x81p8=/\\x87\\x8d?\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x9e[\\xf2u\\xab\\xc0^\\x11\\x8drw#\r\\xee\\xb6\\xbeo\\x8d]\\xbav\\xc8\\x9f\\x0e\\xaa\tx\\xc7:\\xf9\\x16\\xb9\\x8e\\x02\\x0c\\xf9\\xbd>\\xb4q\\xa5u\\xbe\\xbb\\xa7%\\xbd\\x12"
  963. },
  964. {
  965. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x00\\xe3\\x99\\x10\\x95=\\x18p\\x97\\xbd\\x85\\x8d\\xff\\xce?4\\xbc9|\\xc5\\x11/(\\x13s?\\x9b\\xa2w\\xbdz\\x00\r^\\xe4]\\xc1\\xa8\\x9fp+y\\x8a\\x88\\xf5d\\x86\\xa5#c\\x9d\\xbdxa\\x93&\\x12xl$`_%\\xfe\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xc5\\x0f81\\xf8\\xad^l\\xe7\\x08\\xd6\\xe1\\xaa.\\xaa\\xc1t2e\\xb0\\x1e\\xc7\\xca\\xce\\xec\\x194\\xb0h'\\xcaq,4e\\xc3(\\x1f\\x05c\\x1b\\xa4\\x8fx\\x00;\\xda\\xe7"
  966. },
  967. {
  968. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x07\\xc4\\x10\\xf9 5\\x88[zx'\\x07\\xa1\\x14b\\xba\\x7f#\n\\xa0\\xb1\\xd7ap\\x1dl\\x7f\\xe9:\\xf6o \\xa5mwtx:j\\x16\\xe9\\xb2\\xe1\\x1a\\x19iq\\x96\\xfa.i\\xe8\\xe5\\xc7\\xd7\\xb1\\xe74\\xb1l\\xeb\\xd3\\x16j\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xfcj\\x85)\\x9d\\xfcdg\\xd9\\xf5\\x9d\\xeb\\xddj\\xa9/\\x95c\\xb0\\x96\\xe2\\xc2\\xd4\\xfd\\x02\\xf5\\xb7\\xd2q\\x05\\xd3\\xd2t\\xc6\\xce\\xb2\\x88\\x1ft\\xc3\\xa9\\xe0z\\xd0'r\\x11_"
  969. },
  970. {
  971. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdd)a\\xba\"l\\x94gq\\x18\\xa8\\xa7+\\xed\t+\\xe3\\xa3\\xea\\x9d\\xf0q\\x14\\xa0z\\xb2\\jt\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  972. },
  973. {
  974. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdd(\\xdbe\\x98)s\\xec\\x8f\\x92\\xbe\\xfa\\x19+\\x8d\\x14zq\\xab\\x03\\x17\\xa6\\x13\\x97\"\\xbd\\xed\r5\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  975. },
  976. {
  977. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdd\\x9cnjj\\xac\\xf5\\x8c\\xa1\\xd6\\x07[]7\\xdd\\x01j0b)\\xdb\\xf5\\x00\\xe8u \\xef\\xf2\\x8c\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  978. },
  979. {
  980. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x91\\xbc\\xae%\\xda8\\xbe\\x06\\x84\\x1c\\xd1\\xe7\\xcaxw\\xa3//\\x1f;n\\xfd\\x18\\x8e\\xfe\\xac!\\xc6\\x8eb\\xf8\\xa3\\xd7\\xac\\x03\nb\\xd8\\x88\\x16\\x80\\x0ba_\\x8e\\xc8+'\\xff;\\x8dd\\x06i\\xe0g\\xfc\\xdd\\xb3^z\\xf9\\xdd`\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x94bd\\xa8\\x0es\\x9dy\\x1b\\xa3\\xd3\\x1a\\xc0p\\x8a\\xd7(\"@\\xbc\\xf6\\xe5z\\xbfh\\xe8\\xa5!z57{r\\xa3\\x16}\\xbf|v\\xba7\\xbf@w\\x8a]\\xa8b"
  981. },
  982. {
  983. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x07)\\xdd[\\x88\\x0b\\xa3n\\xb6n\\xbc\\x0b|z\\xb0\\xdb\\xc9l[7\\xad2\\x16\\x98\\xda2\\xf5\\x98?\\xbe\\x0e\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  984. },
  985. {
  986. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x0106.\\xee\\x88\\x1a\\xd0\\xc1\\xdcg<&\\xc4@v\\x88\\x94\\xab\\x875\\x0e\\x9a\\xb9q8\\xe0gm\\x86\\xdc\r\\xb8\\xe9~\\x81o\\xdc\\xd3a\\x97\\xa6\\xc7\\x1e\\x83\\x8a/\\x10\\xee\\x99\\xbck\\xeaf\\xbe\\x89\\xde\\xa3:\\xb4=\\\\x8c\\x94\\x9c\\xe0\\xc4\\x88\\x90\\xe7x\\xbd\\x9c\\xe3\\xab\\x92\\xd66\\x00\\x94\\x0c\\x94\\x81\\x94\\x97'e\\x13\\xde6#\\xd9\\xd6\\xff\\xa8h\\xe7\\xee\\x88/\\xb8y\\x12\\xea\\xa5'jfz\\xa4\\xd7\\x86\\xfa\\xb1h]>\\xd7\\\\xa3\\xa7q\\xed\\x0b\\xb9\\x8b\\xef\\x9d\\xe2\\xaaq\\x87\\xcf\\xd0\\x91|(c\\x81d\\x0fw-\\x03\\x00\\xeb\\x04_\\xb8\\xb45\\x05p\\x933\\xde\\x8a\\xa4f\\x1f\\x04\\xb4q\\xfa\\x12\\x8c\\x8f\\x00gj\\x9c7\\x85\\xa4\\xbd\"\\xea\\x1e\\xfbx\\xbc'\\xb5\\x1b\\xb4\\x91t0\\xbc\\xb59\\xf3\\xfcy\\xa9\\xf6\\xc0\\xabd\\x8c\\xd1\tm\\xcc\\xda?\\xba\\x86\\xa3\\x0c\\xd1\\x82y\\xcc1\\xfa\\xed\\x0e\\xa8\\x9f`\\x82#\\x85e\\xb9\\x10\\xf6*\\xa5\\xe1g\\x9d9\\x99>\r\\xa5\\xedt\\x1c\\xfb_l\\x8d\\xae\\x9fy\\x01\\xa94\\xdfq"
  987. },
  988. {
  989. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x1c\\x13\\x9f\\xea\\xc29(y\\xc4im\\x1f\\xa5\\xc9\\x89\\xe6l\\xcch\\\\x9e\\xd3\\x96~\\x82\\xdcn+\\xba\\xfa\\x97o\\x89\\x15\\x1c\\x9d\\xf0?p\\x866\\x9fdr2\\xb2v\\x0ci\\x84\\x98\\x9f\\xf3\\xd3\\\\xce\\x8d\\xa1\\xcd\\x8e\\x12\\xcfq\\xf5\\x92\\xf8\\xb0g\\xbezob\\x0f\\x8fb\\xbe\\x04\\x835m!% \\xdb\\xcb\\xdb\\x8d\\x80\\xff\\xa7\\xa9f:\\xc1'm\\x14r\\xd2o\\xc9\\x07\\xd28u6\\x08\\xddsd\\xebeur\\x8dlx\\xa2d\\x14\\xd7#szf\\xe3j\\xb3\\xa5\\xbe\\xf5\\xe5\\xdbp\\xe7\\xd3\\xa9\\xd4;\\xe2_\\xae\\x94\\xc6p\\xf0\\x86?k\\xb6\\x0e\\x1c\\x03&b\nl\\xd9\\x07\\xe5\\xec$\\x99\\x04\\xacr\\xb4\\xd9\\xb1\\x96\\xd7f\\xe3u\\xecvw\\xf4ug\\xde\\xe63\\xa3^\\xf4\\x86w\\xf96\\xdb\\x02\\x94z\\xec\\xa2\\x8d\\xd0?\\x82\\xc3\\|\\xe2b\\xd6l\\xb0\\xc82\\xc9:k\\x08n\\x03\\xad#x\\xefk\\xf0ym\\x92\\xa4] \\xe9\\x98\\xcb\\xda\\x1e\\x8c\\x9d\\xf0\\x0f=\\x1c\\xfb6\\xdb}\\x1c\\xfd\\xe2y\\xa6\\xf6\\x17t"
  990. },
  991. {
  992. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xe2m*\\xa2\\xa8\\xa4\\xfd\\xac\\xa9r\n\\xf3'\\xdc\\xfb\\xffvx\\xa0\\x00\\x9c\\x8at\ngr;\\x8c=\r:\\xff\\xe2\\xafz\\xc3\\xa5t\\x0c\\xb8h\\x8db\\xd0\\x94\\xa7q\\xaf\\xddf\\x87'\\xdf\\xb8\\xb1\\xab\\xe5\\x16ay\\xea\\xcb\\x8a\\x83\\x10l\\xa2+\\x10\\x15\\xb9b|o\\xc6.\\xed>\\x0f\\xa9\\x94\\xb5[\\xd3\\xef\\x8an\\xf7j\\xf5\\xa9\\xe5\\x9e\\x0fcq\\xdb\\x81\\xf7\\x80z>\\x7f\\x1a\\x15w\\x8a\\xe2\\xa6\\xb5\\x1au\\xab\\xecx\\x9bw\\xf6\\xfe\\x06\\xb2\\xb3#\\x80\\x9e\\xfe\\xcei\\xaf\\xab\\xdd\\xa1<z\\x97\\x95_t\\xa7l\\x91\\x03\\x0b\\xa3z\\x80\\xd5\\xcf\\xc2ea`\\x02\\xa3\\x99\\x1fs\\x0cf\\xd3\\xd6\\xd5\\xa2\\xb6\\xcbxc\\x12f\\x7f\\xe5\\xc8\\x94\\xe8z*`\\xc9\\xd2v\\xa8u\\x0b\\xd0\\x1a|b@\\xcb5\\xa8\\xcb\\xd8a0\\x9e$\\xf6\\xfd\\x0c\\x15qb\\xe6\\xe6n&\\xb6\\x1a\\x1d\\xe0\\xe4\\x82\\x10c\\x9epmb\\xccmw\\x18a\\x9c\\x1b]`gm\\xf9y\\x86\\x87k`\\xf0&\\xf51\\xfa+6\\xcc\\x8b\\xd6\\x84\\x96*l\\x95"
  993. },
  994. {
  995. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04d\\xb1n\\x98\\xd4u\\x07y\\x8ez\\xe4 \\x9ex\\xc6[v\\xd1\\xf0\\xef\\xdb@_sd^\\xec\\xc5\\xcd\\x0b\\xf2|\\xb7\\xbf\\xc8\\xd8>=}x]\\xe3\\xf3x\\x98\\xc0\\xc8\\xefn\\xfc\\xf3\\x06\\xb3u2\\xf8\\x97\\xb9\\xe7_\\xaf\\x8a\\xa5\\x9a\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xda\\x8bl\\x99\\x10\\xa3]\\xdb3\\x10\\xdd\\xa1e\\x8c\\x03\\xdcu[\\xa3.\\xb6\\x9f\\xdb\\xf6\\x81\\xe8+\\x87i(\\x9cs\\x87kk\\xc0k\\x9c\\x11\\xcb\\x10\\x04_zz\\xb2\\x01d"
  996. },
  997. {
  998. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xe9\\xd7\\xbc\\xa2\\xff\\x9c\\xf6\\xb5t\\x97\\xd4\\xad\\x16\\xc3e\\x8c\\x87$i]k\\xb4b\\xd7\\xfa\\xad\\x9d1\\xc0\\xa1\\x95\\xb9\\xac`q\\x86\\xf3\\x83\\xaal\\x0f\\x96lu(\\xc3^i\\x8cpj\\xdf\\xa2~h\\xd0$t\\x10p\\xaf`si\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x86\\xd5z:\\x0f\\x0bo \\xa7y\\x93w\tz>\\x9a#{\\xcb\\x89\\x11\\xc8\\xabd\\x03f`e\\xfe\\xe9\\\\x92\\xe0\\x86f\\xc3\\xd7\\xac\\x87\\xc1\\xbe\\x80\\xdc\\x9a\\x18\\x99\\x96\\xd5"
  999. },
  1000. {
  1001. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x17\\xab \\xfd\\x8d\\x12\\xb8\\x88\\xd2dv\\\\xb8c\\xd3\\x97vfaw:\\x00\\xc7\\x9d\\xca\\xf5\\x962\\xb0\\xd7\\xd0~\\xf9k\\xe0n\\xc3\\x89\\xc7x\\xc6\\xf9\\x04\\xd1{\\xaaz\\x1c\\xd6ld\\xe3\\xb7\\x0e6u\\xdf\\x17\\xe4\\xa9\\xed\\x8e\\xd7~@\\xed\\xc7\\xbd)c8\\x7f8\\x0cu\\x94c\\x1b\\x91\\x88h\\x10\\x18\\x0e\\xe8i\\xfe\\xdf4\\x11\\xf3\\x15\\xa3\\xd2\\xb9\\x1dm9\\xe2\\x91p6\\xfe]\\xc9x1\\xa1\\x1cu\\xdbut\\xcb\\x80\\xab\\xbc.\\xe2\\xa6\\x0fp\\xedx7m\\x82qf\\xf4\\xcd\\x7f\\x13\\x96=\\xe3k\\xf1\\xdf\\xbe\\x83\\xdd\\x8c\\xffx\\x08\\xbe1s/\\xca<\\xe9\\xa0\\xc0\\x06\\x15\\x0c\\xc9\\x11\\xcc\\x9f\\x161\\xac\\x97h\\x1c\\xc8\\x8b-g#\\x97\\xa5(\\xa4 \\xc8;\\x81\\xa9\\x9d~\\x03f>\\xb9g'\\x97t\\x95\\x83o\\x92\\xb9\\xf5\\x8b\\xb9{\\xa9\\x15\\xaa\\x9d\\xfa\\xb4d#\\x15\\xe1a,i\\xe7\\xeb\\xcc^\\x13\\x84>\\xe1\\xe6\\xf5?\\xf5x8;ke\\xfcd\\xac\\xd3\\xecvvt1\\xea\\xd8g\\xa2:\\x0e \\xc1\\x9e,!"
  1002. },
  1003. {
  1004. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xf3\\xc2/z\\xc1h\\xa6\\xef\\xbe[\\xc1<a\\xd93\\x8e\\xf3\\xfelb+\\xff8\\x10\\xc1m\\xbf\\x16\\xb1\\xc6\\x88\\x97\\x11y\\xcf\\x8d\\xf9t?\\x04\\xa49w7o^d\\x9fa\\xaa#\\xcdl\\x8b\\x1de\\x81\\xfb\\x9c!\\xe1\\x93\\xaa\\xe3]\\xa7\\xb3gw{\\x1d\\x92@\\xa5\\xc4\\xef\\xcf\\xf2\\xcf\\xd4\\x1d\\x9d\\xc7jh\\xdd\\xfe)\\xc0\\x03\\x80\\xa1b\\xea\\x8e\\x95*\\xed,v\\xd5\\x99a\\xa0\\xf0\\xdb\\x9b\\x1a\\xab\\x95\\x8f\t\\x12\\x8a,v\\x88(\\x8e\\xa7\\xa0ief\\xfb\\x8eeu\\xd3(v&\\xf4\\xd5\\xecjgc\\xfc\\x0c\\xc4=l\\xcc\\xd8\\x11j\\x8b\\xd7\\x1c\\xa5rh\\xf4l\\xfbu\\xbe\\xa6\\xec\\xad\\x9f\\x06x\\x9c\\x9bf\\xe92\\xb0\\xbb\\xadrs\\xc9gb\\xa3\\xac$[\\x88i+\\xd4\\x15*g\\x08l\\xfe\\xdb\\xf1n\\xa7\\xac\\x93n7\\xd3<\\xc9\\xd5\\x8f\\xf2\\xfa\\xf0\\x8f5\\xad\\x1blq8j\\x13-\\xbc\\xc7b\\x90?(t\\xd6(\\x91o\\xd3r\\x1a\\x93c\\x7f\\xd8o\\xf9\\xaf\\x92\\x01?\\x00k,\\xd2\\xf3\\x06\\xc4\\x159\\x1a"
  1005. },
  1006. {
  1007. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x01\\x9e\\xe7sm%47{>\\xba\\x0e\\xb9\\xc7\\x0e\\xacag\\x89\\xe8\\xa1\\xd0\\xde,\\xb1\\xcc$q\\x82\\x06\\x8b\\x15\\x03b\\xfe\\x9c\\xa9\\x80\\x0e\nh9\\xeb$\\x86\\x8a\\x9e0\\xeaw\\!\\xd3\\xba\\xf6\n1\\xcb;|}\\xf7\\xb8w\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x11\\x7f\\xedf\\xc7\\xc0-\\xaa\\xdcz\\xfd\\xe8v\\xd3c\\xde(c ax\\x16\\x9fa_\\xfa\\xf4\\xbddi,d\\x80\\x181\\x19\\xef\\x0e\\xb57\\xefb\\xb7\\xef\\x85*q\\xa4"
  1008. },
  1009. {
  1010. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010v\\x7fc\"\\xca\\xcc\\x89\\x94\\xda\\xee\\x0b9*bp\\xd4\\xe1\\xc5\\xe5\\xf2\\xa7\\x94\\xcc\\x94\\xbe\\x86o?\\xe1\\xb7p\\xe0\\x99\\xf5u\\xa4\\xba\\xfe\\xd0&\\xbb>y\\xb4!7\\x9a\\x08i\\xf4'\\x99'\\xf2\\x96\\xc5\\x9f\\x05ixg\\x85%\\xa0\\xbb/\\xa6x9\\xd5\\xad\\x8b*#\\xf7{\\x7f\\xa1\\xc0\\xa0x\\xd1\\xa0\\x88\\xa8[\\xfc\\x0b\\xf6\\xe0y\\xaa\\xcc\\x8c~t\\x88g\\xe5s\\xfd8\\xf1<\\xab\\xc7\\xeex\\xf7)twp\\xa1)\\xe8w)\\xab\r\\xe1gvy+\\xf8\\xf2\\x8d\\x1b<}\\xf7\\xbf\\xc6\\xcb/\\xca\\xbc\\xbe\\xff\\xc0\\x88qg\\x1c\\x05\\x9b\\x128&!2~\\xd4r\\xabsm\\x0e\\x881\\xfd\\xa53o\\xe9\\x81lw\\xfe\\xcfy\\xb2\\xfb\\xb0\\xb1\\x9c\\xa0\\xdf\r\\x02\\x03\\xb6\\xa2^\\xaa\\xb1\\xca\\xf4\\xb5#z\\x95\\xc4\\x10\\xaafh\\x1e\\xeet\\xe4a\\x08e\\x1bg\\xb5>\\xc7'7\\x86\\xcc\\xa4^\\xa4s\\xb1\\xb0\\xd2\\x97(h(\\xca\\x89\\x9e\\xf8\\x90}\\xaez.dt\\x99\\x9dl\\x9a\\x89*\\x05s\\xc2\\x94\\xd5#\\xdc\\xe2\\x81"
  1011. },
  1012. {
  1013. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x96wr8yy\\x9a\\x95$\\x19q]\\xd9\\xcf\\xc7\\xa7~\\x18\\xca\\xc0\\xbd4\\xa1\\xdc\\x8a~\\xe0\\xb7\\x16\\xcf\\x8c!\\x13na\\x17ym\\xec\t\\xe9\\xd7u}\\xd6\\xeb~/\\xcb\\x05\\xe4\\x19 m\\x85\\x8c\\\\x1a\\xb6\\xe3l\\xfc\\xb8l\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x0c\\x9f\\xb8\\xc4d\\xcb\\xf9\\xa3\\x01\\x91\\xe3\\xdc}\\xf5\\x0e?\\x0f\t\\x92\\x80\\xa3\nt\\x8am\\xae\"$\\x05\\x95d0&\\xa8-\\xbf\\x00\\x97$x\\x92x\\xd5}\\x12h3c"
  1014. },
  1015. {
  1016. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x046\\xf8\\xcf\\x1d\\x92s\\x83\\xc4\\x84\\xab~\\xce\\xcd\\xc9\\xedn\\xa7\\x9b&:3\\xc2\t\\xcc\\xcf\\x0f\\xb6\\x90\\xcd\\xa0{vj\\x82\\x1c\\xe3$((\\x8d!\\xcd.&\\x1b\\xa1q4\\xb4\\x90\\x88\\xba\\xb2\\x05\\xc9\\x00\\xa2:\\xec\\xfb\\xc8\\xa0ym\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xaeh\n(\\x8f\\xb5\\x85\\x9f(\\x85h\\x7f2w\\xafu\\x8a\\xf2\\xc7\\x89qx\\xca)7?\\xaf\\x93\\x84\\xc7\\xe4\\xbehcpb\\xcf:\\xa5\\x14\\xef\\xbaw\\x03\\xba\\xaa9\\x07"
  1017. },
  1018. {
  1019. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x047\\x98;\\xd2\n\n\r\\x88\\xab\\xaf\\x86<\\xe5c\\x8c\\xb0\\xb9s4\\x1f\\xc7\\x98\\x9d[\\x06y\\xbe55\\xa9\\x9e\\x8b\\xe23f\\xe7\\x94k]\\xa6s\\x8e~y\\x91\\x9f#\\x9aq7\\x13\\xd9\\x94t\\xb8t\\\\xbb\\xc4\\xb8\\xbc{3\t\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x0c\\x88\\x83\\x08\\x05\\xea\\xdfw0\\xc9\\xb7\\xb2t\\xe1\\x12\\xd3\\x00\\xef\\xbc~q\\x9eo\\xa4<.\\xaf\\x8b2=\\xed\\xe0\\xf1\\xac\\x1c\\xec\\xb3\\xa2\\xfb~\\xb7\\x1d\\xdb\\x171\"\\xa7$"
  1020. },
  1021. {
  1022. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x1c\\x89o\\xc9-\\x12a\\xc8\\xa8\n\\xefb\\xb04\\xa3\\x95k\\xe3\\x0c\\xf6\\xd4\\xd4y\\x92\\x13\\x08\\xearz \\xf7\\x01\\xe2\\xe4|d^\\x16\\xf3\r\\xca\\xbb\\x12\\xf1\\x80n\\xbat&\\xf1mepxv\\x0c\\xc9\\xe86\\xf0\\xa6\\xe9\\x9a@\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xecsq\\xc9jh\\x9a\\xd3=\\x8e\\x99c\\xa1\\xc5yk>\\x13\\x1d\\xbf\\x13c\\xb3\\xc9\\xe8\\xb8\\xbcp8>yl\\xd8\\xbb\\xfb?2\\x89j\\xf6h\\xba\\xf7`\\xda`&\\xe6"
  1023. },
  1024. {
  1025. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04.\\x8b\\xdc\\xf2'z\\x82\\xde|\\x10\\x8b/\\x01\\xa2\\x02v\\xcbb\\x82?\\x9c\\xb5|\\xed\\x0b\\xeb\\x97\\xcc\\xc6\\xa7-\\x88\\xe1\\xbd^\\xe4\\x02xo\\x86m\\xf5em\\xec\\xba\\x00\\xb2\\x96\n+\\xd7wezx\\xce\\x04\\xd0\\xee\\xe3p\\x02h\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1fqe\\xf6\\x93\\x05\\xd4=rz\\xdb\\xe7n&\\xa8\\xa9c\\xab\\xd5\t49e\\x9d\\xa3u0\\xfaj8zcq\\x10\\xd0i$\\xf0\\xf9\\x10\\x13\\x01\\x87u\\xb6h\\x02\\xd9"
  1026. },
  1027. {
  1028. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04mh\\x95\\x04\\xe3j\\x83\\xef\\x0f\\x1a\\x81\\x1c\\xb6\\xe2z\\x84v\\xc5\\x93\\x84?\\xd2\\\\xa0\\x99\\x19`\\xd9\\xb7\\x83\\xebtw\\x1b\\xb6\\xe0\\xdd-\\x16\\xe86\\xa4\\xe5\\xbd\\xa6\\xb8r\\xa0i\\xe6\\xd5?\\xeb\\x13z7]\\xf8_\\xac\\x94w\\x1dq\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000!\\x83\\x91\\x8ae\\x16g\\xd0\\xa5z1\\x9a\\xed\\xc0\\x91\\xbd\\xf11\\x11\\x9a\\xf0\\xbd\\x9c\\xec\\xa1%\\xa7@uuw\\xdb\\xfd\\xc2\\x16\\xd2\\x07\\xedp\\xdb\\x1c%\\xf6\\xcf\\xf3\\x8f\n\\x90"
  1029. },
  1030. {
  1031. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010;\\xf1\\xd7o\\xd9\\x10\\xcc)v\\xbd^\\xc9\\x8d\\x8a\\xa8\\xf4\\xc3(\\xe31j\\xc6\\x88a\\x0b\\xc0\\x00\\x88\\xeaq\\xb3r\\xaf\\xc6|z\\x19\\xf5\\x87h^\\x17\"\\x88$\\xed`\\x95\\x85\\x07\\x17\\x0c\\xdf\\xe7c\\xf9\\x99b\\xc5\\xf3q\\x12\\xa8;\\x94\\x0bq&\\xcc\\xa1\\x80\\x82\\x83\\xbb$\\x87\\x9f\\x8356\\xc5s\\\\x98~\\xe8\\xc4[\\x047p\\x1c36m.\\xc4\\x81mt\\x92\\x85\\xc7\\xf8im\\xf9|\\x16:n\\x98#o\\x9f{e\\x92\\x92\\xf3s\\xa9\\xbe]\\xb5$\\xd9\\x9b\\x00\\x812\\xf5\\x07 \\xfe\\x05\\x87\\xcf\\xb4v\\xc8\\xb2\t\\x87\\x00\\xf7a;\\x1c\\x05\\xb3\\x8e\\x11\\xb9\\xd6\\x92y\\xdfi\\xb0\\x88\\x7ff\\xb3n\\x1f\\x05a\\x9d\\x96\\xd9\\xba\\x97\\x15(\r\\xfb\\x10\\xf5n\\x12\\x83\\xea\\xbd\\x0f\\x06\\xf0\\xe2i\\xca\\x10\\xdb\\xdd\\xc04\\x06\\xd7\\xb52\\x95\\r\"1[\nc\\x9dk\\xe2\\xd6\\xef-\\x156\\xdd\\x0e\\xd2\\x0e\\xc9n\\xc6;\\x7f\\xbb\\xfcy\\xf1\\x89\\x0fs\\x9br\\xd9\\xae\\x87\\x12\\x8bvm\\xba\\xa09\\xf2\\x7f]((\\xf5y\\xf5"
  1032. },
  1033. {
  1034. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x04\\xcc>\\x07;`\\x1d\\xb3-\\xb6h-\\xd7a\\xd9\\xa8t\\x02\\xbei\\xa3ox\\x91\\xdd\\xe4e\\xc4\\x97m\\x9bkf(\\xe8'\\x96\\x8aw\\x1c\\x85\\xd9\\x84k\\xa8\\xc0\\x9c\\xe66\\xef\\x0b\\xcd\\xfb.e\\xce\\x8cj\rk\\x84\\x16\\xd46\\xbf\\x86\\x13\\xd1\\xbd\\xc3\\xf2\\xcf[d\\x99\\x93\\x9e`)\\xe5\\xce \\x84\\x85a\\xab17\\xbd\\xa3\\xdbz\\xae\\x0e\\x07\\xd2\\xbf\\x91\\x10\\xa6h\\xed\\xf9\\x9e+\\xe9\\xb2n/i\\xb9x\\x8d\\xe0\\xfb2\\x1e~\\xf0g\\x1f\\x17'\\xd5\\x8d\\x08<*\\x1d\\xab6@\\x80vy\\xc8zm\\xf3\\x0e6n\\xbf\\xd3\\x0c\\x01\\xd6\\xa0/\\x0fg\\x89\\xe6_t\\x0fg\\xab\\xb0\\xdf\\x97\\x11\\xd6bt\\xce\\x01yr\\x14\\x0e\\x07\\xc8\\xb7\\xcb.ru\\xd8\\x0c\\xc7\\xff\\xdd\\xf0qo\\x9d=c\\xad\n\\xb0\\x05\\x83\\xa0dc\\x16.]|\\x7f\\x86r\\xdc\\x13h\\xc5\\xca\\xaaq\\xfd\\xca~\"\\xbe\\xfc\\x83\\x937\\xb0\\x03\\xf4e2\"\\xa9\\xcb\\x15\\xf1\\xf4\\x96s%)i2\\xfan\\xe7\\x98\\xfef\\xee\\xb1rgn\\x0e\\xdd\\x94"
  1035. },
  1036. {
  1037. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010:0f\\xb2/\\x02in\\(j\\x1b\\xbau\\xd6\\xaa\\x1fl!w5\\x83%\tu\\xd1.\\xdd\\x03\\xd7\\xac\\x88\\xa4\\xfd\\x8f#\\x1a\\x14\\xd4\\x115\\xfe\\xac\\x98w+\\xdd\\xd9\\xf0\\xae'\\x9f\\x93m\\x14\\xb2%\\x15p\\x9a\\xf7%\\x82\\xadidn\\xc2\\x82>\\x98\\x82\\x18\r\\xda\\x11\n=\\x8dc\\xec\\xd5~m\\xa4u8f\\xfd\\x8f6(i{ek\\xc2\\xfb\\xde\\xc6^\\xdd+\\xac~\\xc9\\x05\\xecv\\xe0\\x99qi\rs\\xb2\\xc6l\\x0c9\\x9c=_w\\xd4\\xb7\\x95\\xe6\\x8a\\xd7\\xe2q\\xd5\\xf6{\\xb0\\xf9|5\\x06\\x80!\\xfb\\x82do\\x0e3\\x86\\xbb\\xec\\xf0\\xcf\\xdb\\x84q\\xb0%\\x94q^\\xfe\"\\x01\\x98e\\xe2x;;\\xcai\\x86\\x1c\\xf44\\xf9 \\x0f\\xec\\xf5\\xdf\\x99\\xa9\\x9c\\xd6z\\xdf[\\x93\\xf0c\\xf6\\x19/s\\x19\\xbf\\xf3jo\r{ \\xed\\xd5\\xee\\xad\\xd3\\x10\\x0f\\x1e\\xd2\\x1c\\xac^\\xbc\\xfaj\\xd2m\\xe4\\xb8\\x17]<\\xee\\xe8\\x98\\xa6\\xfc\\x04\\x95\\xd1p?\\xc2\\x1e\\xe2\\x83\\x06g\\x9e\\x06\\xb0\\x11+bre\\x1b"
  1038. },
  1039. {
  1040. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x87\\x02<\\x9f\n\\x1d2r\\xf9\\xe1]kptp\\x009(\\x8dc)t\\x07c\\xa1\\xb5~<\"\\xc2\\x1bz1m\\x97\\x7f<\\xe0$hxug\\x93\\xcc%b\\xd0mi.\\xd6a\\x074\\xf0'\\x05=\\xc3\\x893\\xcb\\x17\\xa7\\xbfm\\x8bu\\x8c\\x95?mm\\x8a\\xe0g\n\\xf0\\xb6-s\\xdbk\\x9c\\xab\\xc5\\xc4l\\xf9\\xfd\\x0e\\xad\\x1c\\x00f3\\xf0\\x84ch.z\\xea:l6\\x9e@2,#\\x8d\\xe2\\xa9u`p\\xae~t\\xc2\\xcb\\x01\n\\xf0v\\x9f)\\xc3\\xd5\\x17\\xea\\x97\\xbc\\x15\\x1bxr\\xf4[\\xc3\\x9bg\\x00\\x11qo\\x93\\xe9\\x81w\\x97\\xf2\\x983\\x0c\\xf7\\x96\\xf2n6\\xc4\\xc59\\xe3?\\xc23\\x8d\\xc2\\xb3\\xda\\x88\\xf1\\xa8\\xd4\\x99\\xa8\\x15ml\\x88\\xf2\\xa6x\\xb7_\\xad\\xf7\\xadl\\x90]bn\\xb5g\\xf6}\\x97\\xffi\\xffy:\\x100\\xa4w\\xbe{\\xe8\\xf3\\xd8uwd\\x82\\xa4\\xee\\xd9\\xddj\\xed\\x86\\x19\\xf7q\\xd9t7\\xfdt\\xc9\\x05\\xd2\\x07\\xe1sp\\xda\\xeeg9\\x11\\xae\\xe0y\\x90\\x86"
  1041. },
  1042. {
  1043. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xec\\xff\\xc8\\x02\\xe5\\xd5-\\xde\\xa4\\x1d\\xb6\\xf9\\xfb\\x83$\\xc1z\\x1b:\\x81\\xdd\\x1fbe:w\\xa1\\xec4\\xb6\\xfag\\x86\\xc8\\x17\\xde\\xc7'\\xab\\x9c\\xac\n\\xf0f?p\\x99\\xb5\\x95\\xf41\\xd8\\x94\\xc3\\x9b1\\xd7\\x0c\\x12\\x1a\\x7fh<\\x8e*$\\xf3z\\xf1\\xa0\\xf5\\xdf\\xf7s4zpb\\xf8\\xe6\\x96je\\xe7\\xaby\\xa2 \\xad~\\x0el\\x14\\xcb\n\\xe9\\xe9+\\xaa\\x0b\\x1f]\\x9b\\x1f$\\xc4\\xa6\\xe9\\x89\\x9af&\\x99\\x9a\\x12\\x92\\x9bq*\\xd4\\x0e6\\x80\\xdb\\x87\\xe95^7\\x03yqpz\\x96\\x9e\\x06a\\xd9b\\xe0\\x02\\x0c\\x00r4\\xff\\x9awa\\xed\\xd3\\xc6\\xe7\\xe3\\xd2rm\\x11\\xa4\\xa7\\xae\\xc8f\\x89d\\xfb\\xbe\\xdd\\xc4\\xb0\\xa3\\x16#`\\xb0?\\x06\\x9f/\\xa2\\x12\\x87bs\\xc1\\x83\\xdc(\\xe0\\x9f~\\x9e\\x07\\x17z\\x9c\\xed\\xec\\x04\\x9b?%\"\\x9brh7\\x9ec\\xdan[\\xa8\\xeb\\x13\\xe8l\\xfe\\xbd\\xbc\\x173\\xe9\\xc8\\x08\\xfda\\x9d\\xc3\\x9c,\\x0b?\\xa4\\x7f\\xea\\xabb=\\x99h.\\x84\\x87[\\xa2\\xae\\x19\\xf4\\x03"
  1044. },
  1045. {
  1046. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010&g\\x8b\\xc7\\xdf\\x1a\\xdd\\xee5%2\\xd3\\xb4\\xb1\\xc4\\xc8\\x10\\xe9k\\xf5\\x0e\\x9b\\xb1a\\xd1\\xb4w\\xbc\\xac\\xf1\\xb1\\x98\\x87\\x10\\x92\\xd3\\xf7\\xf9\\xbal]\\x92\\x8c,^\\xf0\\xb1\\xcf\\xba\\x01\\xce>\\x04\\xbd,tt\\xbap\\xcb\\xae\\xcds\\xe8\\x89p\\xd0\\xca\\x9d+`\\xf8\\xd1\\xea\\xcd_eq\\x90/*\\x80\\x82\\x11]f\\x88\\x04\\x9b\\xa9b\\xd2;\\x9dd)p\\xbdt\\xa2:a\\x0c`>z\\xae\\x12\\x97\\xb2\\x8d\\x96\\x93\\x01\\x80\\x04\\xd0\\xfb.\\x95\\xa3\\x97\\xa4\\x11\\xaf1\\xce\\xb9a\\x06\\xa9n\\xde\\x17\\xb9\\x9d\t\\xba\\xd5\\xd3\\x15\\x94\\p\\xf1\\xf4\\x97d\\x88\\xa3d\\x18_\\xfd)e\\x0c\\x8a\\xd4\\x80\\x17$\\xfb\\xecw\\x03g\\xa8\\x87sy\\x0b\\xcc\\xe6\\x92vk\\xf6\\xbb\\x985\\x7f\\x88ljg\\xd36g\\x07\\xd1\\xef\\x97jy\\xeeg\\xc1z\\x1f\\xbdf8\\xfdb\\xa1+$\\x87\\x85\\x16x!\\xcb!e\\x10\\xd6e\\xbc\\x12\\x99\\xe1\\xe7s\\x94)\\xc2\\xce\\xf6y\\x17=c]\\xec1\\x95\\x83\\xa9\\xcf\\xb8\\x02\\xd4\\xa5f\\x83b\\x08e\\x14"
  1047. },
  1048. {
  1049. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xfb\\x08\\xfd\\xe6&\\xb4sa[\\xf3\\xd5\\xde(\\x07\\xb3\\xd3\\x85\\x9fz\\xc0\\xa8\\x8e\\xb6\\xc1\\xd7\\xcc\\xb1\\xf2\\x01\\xa3\\x1d\\x16z\\xba\\xe5a\\x1f\\xf7ia\\x07\\x8a\\xfa\\xdb\\xe7]ei\\xb9\\xa1\"\\xb2?o\\xb0 \\xdd8n%\\x94\\xcb7hvt|w\\xe1\\x0e\\xea\\xcc\\xcf\\xb6(]\\xfcm\\x7f\\x1dq+l\\x87\\xab92br\\x8c\\xa0\\x1at/z<\\x8f\\x8c\\x03\r\\xcce\\x9b\\xe3t\\xfc\\x9f\\xf5\\x0f\\xb1\\x0b\\xa0\\xc8\\xcag\\x83\\x1002#\\xa31\r\\xe7\\xcb\\xccr\\x86\\xdc\\x130t1v\\x18\\x1cg\\x10\\x9b\\x00~<\\xe9\\x94k\\xdd\\xf9n9aev\\x9fo\\xb4e@&r\\x88\\xb7\\xe4\\x14\\x88\\xe3\\x9c\\xd6e,\\x1e\\x00\\xf2\\x0cmji`\\xe9*\\xed\\xaf\\x85pi@\\xc8=\\xb2\\x88t/n\\xe5\\xb8x\\xb8\\x07\\x99tv\\xc8\\xf4\\x9f\\xa5\\xdff\\x89g\\xb1\t\\x00\\x972w\\x87\\x1b\\xcf\\xbd\\xdc\\x91\"u\\xa4x\\xa0\\xc5}\\xfab\\xc9n)\\xfa\\xb4:\\x1e\\xb8u\\xe7r@\\xef\\x99\\x04ao\\x87\\x14\\x91`\\xa5"
  1050. },
  1051. {
  1052. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010nv\\xd2\\xec-vj-u\\xbe\\x9a\\x17vh\\xd4\\xee\\x9afn\\xf5k\\x85\\xad\\xf5\tns\\x0e4\\xac+9c|;\\xa1\\x06{\\xd4\\xb7\\xac\\x94e\\xf3\\xfdt\\x11am.\\x08-\\xa6\\xce`f\\xd7\\x9b\\xc7q\\xfb\\x01\\x89\\x89\\xe2\\xc3&\\xa7\\j\\xc6\\x95l\\x02&\\xc0\\x11\\x8e\\xfa\\x1c\\xcc\\xff/\\xeb,\\xfel\\xd1>\\x93\\xf5\\x13\\xf0\\xfa@b%\\x9a\\xb7\\xd1q\\x9b\\x00^\\x17\\xb4\\xe2+\\xb7\\x96\\xe2d\\x0f\\xee\\xa4\\x0c\\xef^\\xff\\xe9\\xc5\\x12x6\\x93\\x1f\\xa6a\\xaf\\xa7g\\x90\\xf4\\xa5\\xd4=\\x882y\")s:x\\xc6\\x05r\\x18\\x18\\xb4\\xfd\\xf0\\xf6\\xc11w%\\xc6\\xf1\\x8d\\x87%xr\\xa6bn\\x9a\\xa9i}\\xd2\\x91\\xa1\\x0c\\xb2\\xa2\\xb9\\xd1\\x90\\xfa8$s\\xf8p\\xc4\\xa7r5\\xa9\\x04gr\\xb1;o\\xc4\\x8f.\t97\\xa8|\\x13\\x90\\x0c\\xae\\x8ah\\x07f\\xe4\\xfc\\xdf\\xcdt\\xda\\x8d\\xefsw\\x83\\x81\\xef\\xa79<\\x9fc\\xff\\x91 n\\x8d\r\\xb9\\xef\\x83\\xab\\xca\\xfd\\xefg\\xb7\\x90\\x86[9\\xd3"
  1053. },
  1054. {
  1055. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xf2\\xe9\\xaem\\xb1\\x02\\xee4\\xb7a\\x1e\\x08;\\xb1w\\x13(\\x077\\xafu\\x95\\x00\\x13\\xb0f\\xfce\\xa4v\\x94\\x05\\x9c3\\xf7\\xbb\\x07\\x14wo\\xc4\\xe4\\xbc\\x87\\xe5dz\\xa1$t\\x9b\\xd5\\xbd\\xa0nl\\x0f\\xe1,\\x16?y\\x11\\xaf\\xc4\\xf1,\\xca\\xb83\\x04\\x9fu\\xcd[sjx\\x96&l\\xa3\\x1e\\x05\\xdd\\x94[b\\xf8\\x9d\\xf8\\x12vq\\xa5?ws\\x01\\x91\\x96:_m\\xb8\\xaa\\xb7w\\x92\\xc6\\xe5w\\x1f\r0\\xa9y)\\xaa\\xbc\\xf4\\xde\\x96/\\xd5\\x7f\\x80`\\xf7v\\xff\\x10\\xbbu\\x92\\x8e?0\\xc9\\x1b\\x82\\x17\\xef)h\\xc0\\xeb\\x01*\\xebh\\x8d\\xd8\\x1e\\x9c}\\xe4e\\xa5p\\xf7\\xc4\\xba\\xf1f\\xc6\\x15\\xcc\\xe7\\xa2^l\\x9a\\xbf\n\\xd1\\x07n%g\"\\xdb\\x87\\x99\\xa0\\xc1\\xb6\\x13cj\\x95=\\\\xbc\\x07\\xc9\\\\x8f\\xe5}\\xb2\\x10\\xbds.\\xbb\\xa2\\xa6\\x0cj\\xf7\\xf7\\xa6\\xb6s\\x84\\xef&y\\x92\\xcet(\\xcd\\xc9x0g;\\xbf\\xc3\\xb5\\x0b\n\\xf6n\r\\xa9o\\xa4\\x1c\\x8a\\xd5\\x02\\xfd]\\xa7\\xf7\\xc8\\x1e\\x9f"
  1056. },
  1057. {
  1058. "http_request": "winword.exe_WSASend_get /pki/crl/products/microsoftrootcert.crl http/1.1\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: thu, 07 mar 2019 06:00:16 gmt\r\nuser-agent: microsoft-cryptoapi/6.1\r\nhost: crl.microsoft.com\r\n\r\n"
  1059. },
  1060. {
  1061. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x7f\\x01\\x00\\x00{\\x03\\x01]\\x07)\\xe5\\xc5\\x84\\xa0\\xcbx\\xb0\\xc9\\x19\\xdc\\x91\\xb6l\\x8f\\x0c\\x8f\\xcb\\xd3[\t\\xd0\\xfb\\xdafn{z\\xc53\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00:\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00!\\x00\\x1f\\x00\\x00\\x1cactivation.sls.microsoft.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  1062. },
  1063. {
  1064. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x01\\x06\\x10\\x00\\x01\\x02\\x01\\x00\\x86]odx\\x15\\xd7\\xb2jq\\x92\\x98\\xe3\\x16;r\\xf9\\xcbyu}\\xael\\xe2\\xd5\\xec\\xf2=\\xc0\\xa5\\xb9&k 9\\xe1\\x88\\x93\\xa6\\xe5\\xca\\xb4m\\xb24\\x8a\\x14\\xdb\\x1a*\\x8ad\\xc0\\xe7\\x1aek\\x0c\\xa8\\xfbo\\x94\\x8cub\\xfbk\\x9b\\x98i@;\\xc8\\xda\\x87\\x1a\\xd3\\xect&w\\x97f\\\\xc4>\\x1c\\x9c\\xe48o\\xc3\\xba\\xa5\\xf4\\x92\\x1a\\x03\\xe1\\xe9\\xf0\\x9db}\\xb4\\x91\\x1f_\\x1b\\x8d\\x12\\x13t\\xc7,\\xe2-\\x00\\xf2\\xf1\\xa4\\xe0\\x93&w\\x96\\x8a\\x8b\\x90\\xec\\xbav\\x9f\\x1efn\\xad\\x057\\xf1;q\\xdd`\\xf5*a\\xe8s\\xc7%\\x05\\xfb\\xc1\\xfcp\\xfa\\x98\\x96\\x02\\xc6$\\xc7\\xd61vo\\x95\\x01\\x14\\xe4*\\xd5^\\x8d\\x87\\x0c\\xc7\\xfb\\x9by\\x18\\xbc\\xdb\\xfe\\xd8\\xdb\\xf34+pw\\x1d\\xaesmz\\xa1\r\\x82daj\\xb8\\x12w\\xb5\\xe5j\\x87\\xf8\\xb7\\xbb\\x1e\\x80\\x1f\\x9e\r$\\x83o\\xdd-c\\xb1gy\\x04w}\\x10sh\\x9e\\xbe #\\xf6\\x18+\\xd6[\\x86yl"
  1065. },
  1066. {
  1067. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01` \\xbd\\xaf;:\\xac\\x84\\xa3m\\xf8^\\xfb>!\\xcd\\x8ezt\\xb4\\xe7\\x0c\\x88\\x1e\\x82(\\xb7\\xe0\\xa6^\\x19c\\xbe\\x19\\x82\\x92\\x91\\xa3\\xc0\\xbc\\x14\\x06\\x9e\\x16h\\xbf\\xe4g]4\\xbb\\x83\\x7f\\x930\\x1f\\xbd\\x8a\\x90\\x8e\\xa7\\xa2d\\xc2\\x7fu\\x94=8$b\\xe2\\x81\\xdap\\xd3\\xee\\x8a\\x9b\\x1d\\x90v\\x9a\\xc8\\x07\\x04\\x80\\xe2\\x0cw!\\xba\\xbd\\x8dc6\\xa3\\xa8\\x9f\\x05\\xaem\\xbb\\x9b\\x84\\xe5\\xab\\xb8g\\xed\\xd8r\\x10\\xf8\\x85\\xc7\\xb5\\x95\\xaci\\x9bv\\x8em\\xf7\\xf6&\\x06\\x07:2>]\\xdcw\\xcc\\x01:\\x0f\\xdf\\x93\\xae\\x9ee`#q\\xe7x\\xb7\\x95\\xa6\\x85t[\\xcep\\x8bk|\\xcea+\\x8b\\xda\\xaea]\\xcci\\xca\\x85\\x1b\\xc2n6?e\\xe1;\\x05\\xa9\\xcf\\x83\\xa3\\h\\xc3\\x04q\\xadi\\x8e$2\\x16\\x82\\x8d;\\xcan\\xac\\xc1\\x89\\x1f\\x07\r\\xac\\xea\\x18\\x17\\xc0\\xdc\\x8f\\xc0\\xac\\xf7`\\xa8s\\xce\n*^%\\x07\\x97\\x072y\\x0ca$]!?\\xcf\\xbf\\x19/\\x0b\\x9a[\\xf5\\x86_,>z\\x83\\xdb6"
  1068. },
  1069. {
  1070. "http_request": "winword.exe_WSASend_\\x17\\x03\\x019pt\\x81\\xad\\xec!\\xb0\\x9d$\\xcf\\xce\t\\xf4\\xe8\\xc8\n\\xd2\\xd4\\x9d\\xd4n\\xd7\\xe0\\xd0\\xcbe\\xad\\x86]\\x82\\xaa?\\x9f_\\xc8,\\xc2\\xf3\\xc1\\xd45+i\\x94;(\\xc8\\xdfd0#&\\xf1\\xdd8vn\\x19%\\xa2&\\x15g\\x00\\x03x\\x96v\\xcd\\x9a\\xf3\\xdf.u\\xb9\\x9f\\xa9rm\\x0cj\rl\\xcdg\ts\\x16\\xc7t\\xcb\\xb1e\\x1f\\xa2h\\xdd\\x98\\\\x01t\\x06\\xdfqw\\xa4\\x96<=,7\\x12\\xee\\xc7\\x91-\\x92\\xdbe\\xb8\\x95v\\x95f\\xc9\\x98o^\n6/%\\x95qz\\xb3x\\x0f\\xd7[\\xc0\\xf0t\\x8f\t\\x9c.\\x9d\\xa7\\x8ad\\xae\\x1b>[\\x8c\\x9a?.\\xbf\\x8c5<\n\\xae\\xe0*\\xe0\\xcdr\\xfc\\xfba=\\xd0v!_\\xf9\"\\xf9\\xeb\\xa5\\xb8\\xed\\xc8\\xe2s\\xd1\\xf6^\\xcc\\xa5\nfc\\xb8\\x06\\x82\\x01\\xda\\xbd\\xae\\xe7\\x15\\xcd6pl\\xf9\\xa2\\x93>y(\\xb8x%c\\x12\\xaf\\xc0\\xaa@\\xd0\\xffs\\x98\\x1e\\xff\\xb3\\x9c\\x83\\xb6\\xc6rr\\xf8\\xa8\\xc9\\x81i\\xe4\\x16\\x04-\\xf3\\xb3em\\xb3\\x8f"
  1071. }
  1072. ]
  1073. },
  1074. {
  1075. "Description": "Likely Malicious Office Document DL/Write EXE to disk",
  1076. "Details": [
  1077. {
  1078. "office_dl_write_exe": "winword.exe_NtWriteFile_C:\\Users\\Public\\Downloads\\hSpewjd.exe"
  1079. }
  1080. ]
  1081. },
  1082. {
  1083. "Description": "Creates a hidden or system file",
  1084. "Details": [
  1085. {
  1086. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\IETldCache\\Low"
  1087. },
  1088. {
  1089. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c92dd7.TMP"
  1090. },
  1091. {
  1092. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c7c454.TMP"
  1093. },
  1094. {
  1095. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c7e4fc.TMP"
  1096. },
  1097. {
  1098. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c801f9.TMP"
  1099. },
  1100. {
  1101. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c81572.TMP"
  1102. },
  1103. {
  1104. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1d5ce62.TMP"
  1105. },
  1106. {
  1107. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c8525c.TMP"
  1108. },
  1109. {
  1110. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c86d75.TMP"
  1111. },
  1112. {
  1113. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c8dd94.TMP"
  1114. },
  1115. {
  1116. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1c974f2.TMP"
  1117. },
  1118. {
  1119. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1cb6cf9.TMP"
  1120. },
  1121. {
  1122. "file": "C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Recent\\CustomDestinations\\28c8b86deab549a1.customDestinations-ms~RF1cb4388.TMP"
  1123. }
  1124. ]
  1125. },
  1126. {
  1127. "Description": "File has been identified by 12 Antiviruses on VirusTotal as malicious",
  1128. "Details": [
  1129. {
  1130. "Baidu": "VBA.Trojan-Downloader.Agent.dsn"
  1131. },
  1132. {
  1133. "Avast": "VBA:Downloader-BDZ [Trj]"
  1134. },
  1135. {
  1136. "NANO-Antivirus": "Trojan.Ole2.Vbs-heuristic.druvzi"
  1137. },
  1138. {
  1139. "Tencent": "Heur.Macro.Generic.Gen.a"
  1140. },
  1141. {
  1142. "SentinelOne": "DFI - Malicious OPENXML"
  1143. },
  1144. {
  1145. "Endgame": "malicious (high confidence)"
  1146. },
  1147. {
  1148. "TACHYON": "Suspicious/WOX.Obfus.Gen.1"
  1149. },
  1150. {
  1151. "Zoner": "Probably W97Obfuscated"
  1152. },
  1153. {
  1154. "Rising": "Trojan.Obfus/VBA!1.A609 (CLASSIC)"
  1155. },
  1156. {
  1157. "Fortinet": "VBA/Agent.HZITYVS!tr"
  1158. },
  1159. {
  1160. "AVG": "VBA:Downloader-BDZ [Trj]"
  1161. },
  1162. {
  1163. "Qihoo-360": "heur.macro.gen.aa"
  1164. }
  1165. ]
  1166. },
  1167. {
  1168. "Description": "Attempts to modify proxy settings",
  1169. "Details": []
  1170. },
  1171. {
  1172. "Description": "Martian Subprocess Started By Office Process",
  1173. "Details": [
  1174. {
  1175. "office_martian": "c:\\users\\public\\downloads\\hspewjd.exe"
  1176. }
  1177. ]
  1178. },
  1179. {
  1180. "Description": "The office file created a suspicious child process.",
  1181. "Details": [
  1182. {
  1183. "Processes": "WINWORD.EXE -> hSpewjd.exe"
  1184. }
  1185. ]
  1186. }
  1187. ]
  1188.  
  1189. [*] Started Service: [
  1190. "osppsvc",
  1191. "msiserver",
  1192. "gupdate",
  1193. "BITS",
  1194. "WerSvc"
  1195. ]
Advertisement
Add Comment
Please, Sign In to add comment
Public Pastes
We use cookies for various purposes including analytics. By continuing to use Pastebin, you agree to our use of cookies as described in the Cookies Policy.  OK, I Understand
Not a member of Pastebin yet?
Sign Up, it unlocks many cool features!