API tools faq
paste
paladin316

RTF_0ac08d735db699ce9ba79ea20fbd3f5d.json

paladin316
Jun 19th, 2019
2,290
0
Never
Add comment
Not a member of Pastebin yet? Sign Up, it unlocks many cool features!
text 100.55 KB | None | 0 0
raw download clone embed print report
  1.  
  2. [*] MalFamily: "Lokibot"
  3.  
  4. [*] MalScore: 10.0
  5.  
  6. [*] File Name: "RTF_0ac08d735db699ce9ba79ea20fbd3f5d.doc"
  7. [*] File Size: 16031
  8. [*] File Type: "Rich Text Format data, version 1, unknown character set"
  9. [*] SHA256: "ae2d52c010fab8c9ae7c0160bbc271ca8787d65632ed80236ea645f282057d22"
  10. [*] MD5: "0ac08d735db699ce9ba79ea20fbd3f5d"
  11. [*] SHA1: "db4e82315e878407e6083dbe2b50771fec65ef0b"
  12. [*] SHA512: "2756e9a16a61ba6d124d87fe3b122354f8dd8d95c044f08a65f16c6152d240cd2cb1e211ed1dcd69a864c539bb1937a2f427bfda3c4ef30e685f6f84a4dc9e24"
  13. [*] CRC32: "6442CDF0"
  14. [*] SSDEEP: "48:1Z6CLnzDXi5xokbzjEsTj7Zen2HwREEEEEEEEEEPZKU:yCLPSxJFH42eEEEEEEEEEEcU"
  15.  
  16. [*] Process Execution: [
  17. "WINWORD.EXE"
  18. ]
  19.  
  20. [*] Signatures Detected: [
  21. {
  22. "Description": "Attempts to connect to a dead IP:Port (8 unique times)",
  23. "Details": [
  24. {
  25. "IP": "52.109.20.4:443"
  26. },
  27. {
  28. "IP": "65.52.98.231:443"
  29. },
  30. {
  31. "IP": "23.36.176.37:443"
  32. },
  33. {
  34. "IP": "104.18.24.243:80"
  35. },
  36. {
  37. "IP": "72.21.91.29:80"
  38. },
  39. {
  40. "IP": "23.59.154.33:80"
  41. },
  42. {
  43. "IP": "184.86.204.7:443"
  44. },
  45. {
  46. "IP": "52.109.2.14:443"
  47. }
  48. ]
  49. },
  50. {
  51. "Description": "At least one IP Address, Domain, or File Name was found in a crypto call",
  52. "Details": [
  53. {
  54. "ioc": "gostname.xsl"
  55. },
  56. {
  57. "ioc": "ontent.inf"
  58. },
  59. {
  60. "ioc": "ist.glox"
  61. },
  62. {
  63. "ioc": "nline.xsl"
  64. },
  65. {
  66. "ioc": "rame.glox"
  67. },
  68. {
  69. "ioc": "ieee2006officeonline.xsl"
  70. },
  71. {
  72. "ioc": "e.gu"
  73. },
  74. {
  75. "ioc": "ext.glox"
  76. },
  77. {
  78. "ioc": "chevronaccent.glox"
  79. },
  80. {
  81. "ioc": "iso690nmerical.xsl"
  82. },
  83. {
  84. "ioc": "sist02.xsl"
  85. },
  86. {
  87. "ioc": "gosttitle.xsl"
  88. },
  89. {
  90. "ioc": "rocess.glox"
  91. },
  92. {
  93. "ioc": "gb.xsl"
  94. },
  95. {
  96. "ioc": "chicago.xsl"
  97. },
  98. {
  99. "ioc": "architecture.glox"
  100. },
  101. {
  102. "ioc": "content.inf"
  103. },
  104. {
  105. "ioc": "etropolitan.thmx"
  106. },
  107. {
  108. "ioc": "harvardanglia2008officeonline.xsl"
  109. },
  110. {
  111. "ioc": "mlaseventheditionofficeonline.xsl"
  112. },
  113. {
  114. "ioc": "turabian.xsl"
  115. },
  116. {
  117. "ioc": "rame.thmx"
  118. },
  119. {
  120. "ioc": "ccent.glox"
  121. },
  122. {
  123. "ioc": "rings.glox"
  124. },
  125. {
  126. "ioc": "anded.thmx"
  127. },
  128. {
  129. "ioc": "adial.glox"
  130. },
  131. {
  132. "ioc": "rid.glox"
  133. },
  134. {
  135. "ioc": "..3b"
  136. },
  137. {
  138. "ioc": "pictureorgchart.glox"
  139. },
  140. {
  141. "ioc": "quations.dotx"
  142. },
  143. {
  144. "ioc": "set.dotx"
  145. },
  146. {
  147. "ioc": "iso690.xsl"
  148. },
  149. {
  150. "ioc": "iew.thmx"
  151. },
  152. {
  153. "ioc": "rc.glox"
  154. },
  155. {
  156. "ioc": "asis.thmx"
  157. },
  158. {
  159. "ioc": "eadlines.thmx"
  160. },
  161. {
  162. "ioc": "ividend.thmx"
  163. },
  164. {
  165. "ioc": "erlin.thmx"
  166. },
  167. {
  168. "ioc": "rop.thmx"
  169. },
  170. {
  171. "ioc": "arallax.thmx"
  172. },
  173. {
  174. "ioc": "adge.thmx"
  175. },
  176. {
  177. "ioc": "ircuit.thmx"
  178. },
  179. {
  180. "ioc": "g.n9"
  181. },
  182. {
  183. "ioc": "uotable.thmx"
  184. },
  185. {
  186. "ioc": "ype.thmx"
  187. },
  188. {
  189. "ioc": "avon.thmx"
  190. },
  191. {
  192. "ioc": "late.thmx"
  193. },
  194. {
  195. "ioc": "roplet.thmx"
  196. },
  197. {
  198. "ioc": "vent.thmx"
  199. },
  200. {
  201. "ioc": "amask.thmx"
  202. },
  203. {
  204. "ioc": "eathered.thmx"
  205. },
  206. {
  207. "ioc": "rail.thmx"
  208. },
  209. {
  210. "ioc": "esh.thmx"
  211. }
  212. ]
  213. },
  214. {
  215. "Description": "File has been identified by 8 Antiviruses on VirusTotal as malicious",
  216. "Details": [
  217. {
  218. "CAT-QuickHeal": "Exp.RTF.Obfus.Gen"
  219. },
  220. {
  221. "Cyren": "CVE-2017-11882.C.gen!Camelot"
  222. },
  223. {
  224. "Symantec": "Exp.CVE-2017-11882!g3"
  225. },
  226. {
  227. "ESET-NOD32": "a variant of DOC/Abnormal.G"
  228. },
  229. {
  230. "DrWeb": "Exploit.Rtf.CVE2012-0158"
  231. },
  232. {
  233. "AhnLab-V3": "RTF/Malform-C.Gen"
  234. },
  235. {
  236. "TACHYON": "Trojan-Exploit/RTF.CVE-2017-11882"
  237. },
  238. {
  239. "Zoner": "Probably RTFBadVersion"
  240. }
  241. ]
  242. },
  243. {
  244. "Description": "HTTP traffic contains suspicious features which may be indicative of malware related traffic",
  245. "Details": [
  246. {
  247. "post_no_referer": "HTTP traffic contains a POST request with no referer header"
  248. },
  249. {
  250. "get_no_useragent": "HTTP traffic contains a GET request with no user-agent header"
  251. },
  252. {
  253. "http_version_old": "HTTP traffic uses version 1.0"
  254. },
  255. {
  256. "suspicious_request": "http://stadtmisr.com/f/we/blwlk.exe"
  257. },
  258. {
  259. "suspicious_request": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEDoV9Mh%2FtNM5k9Pus79K5eQ%3D"
  260. },
  261. {
  262. "suspicious_request": "http://ocsp.comodoca.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBReAhtobFzTvhaRmVeJ38QUchY9AwQUu69%2BAj36pvE8hI6t7jiY7NkyMtQCEDaCXn%2B1pIGTfvbRc2u5PKY%3D"
  263. },
  264. {
  265. "suspicious_request": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEEpXWRnDaZSEY67E8B6coDU%3D"
  266. },
  267. {
  268. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSPwl%2BrBFlJbvzLXU1bGW08VysJ2wQUj%2Bh%2B8G0yagAFI8dwl2o6kP9r6tQCEAaJg2QslT5G973OQUPxM8E%3D"
  269. },
  270. {
  271. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSnR4FoxLLkI7vkvsUIFlZt%2BlGH3gQUWsS5eyoKo6XqcQPAYPkt9mV1DlgCEAwVvkoVuwkDyQGx1sJlMC8%3D"
  272. },
  273. {
  274. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEA8sEMlbBsCTf7jUSfg%2BhWk%3D"
  275. },
  276. {
  277. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT3xL4LQLXDRDM9P665TW442vrsUQQUReuir%2FSSy4IxLVGLp6chnfNtyA8CEAQJGBtf1btmdVNDtW%2BVUAg%3D"
  278. },
  279. {
  280. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEAiIzVJfGSRETRSlgpHeuVI%3D"
  281. },
  282. {
  283. "suspicious_request": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEH4PjD8bD0NfJXpoX0ln6s4%3D"
  284. },
  285. {
  286. "suspicious_request": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEHQnb7Tt0tUhlRVnnq4nPN8%3D"
  287. },
  288. {
  289. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSnR4FoxLLkI7vkvsUIFlZt%2BlGH3gQUWsS5eyoKo6XqcQPAYPkt9mV1DlgCEAM%2B1e2gZdG4yR38%2BSpsm9g%3D"
  290. },
  291. {
  292. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTfqhLjKLEJQZPin0KCzkdAQpVYowQUsT7DaQP4v0cB1JgmGggC72NkK8MCEAPxtOFfOoLxFJZ4s9fYR1w%3D"
  293. },
  294. {
  295. "suspicious_request": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEHAHFVlJElKyLEMbtWWDIbo%3D"
  296. },
  297. {
  298. "suspicious_request": "http://ocsp.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D"
  299. },
  300. {
  301. "suspicious_request": "http://ocsp.usertrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBR8sWZUnKvbRO5iJhat9GV793rVlAQUrb2YejS0Jvf6xCZU7wO94CTLVBoCECdm7lbrSfOOq9dwovyE3iI%3D"
  302. },
  303. {
  304. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSPwl%2BrBFlJbvzLXU1bGW08VysJ2wQUj%2Bh%2B8G0yagAFI8dwl2o6kP9r6tQCEA%2BdzSc7B3UzA8k03selSwo%3D"
  305. },
  306. {
  307. "suspicious_request": "http://th.symcd.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRsif7263KedmR2MLuYKv9%2BWQCtWAQU1A1lP3q9NMb%2BR%2BdMDcC98t4Vq3ECEBT4%2FdFn%2BSQCsVcLXcSVyBU%3D"
  308. },
  309. {
  310. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAH9o%2BtuynXIiEOLckvPvJE%3D"
  311. },
  312. {
  313. "suspicious_request": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAVG%2Fhgj9%2BGUHaOfzhTEYXM%3D"
  314. },
  315. {
  316. "suspicious_request": "http://ocsp.pki.goog/gsr2/ME4wTDBKMEgwRjAJBgUrDgMCGgUABBTgXIsxbvr2lBkPpoIEVRE6gHlCnAQUm%2BIHV2ccHsBqBt5ZtJot39wZhi4CDQHjqTAc%2FHIGOD%2BaUx0%3D"
  317. },
  318. {
  319. "suspicious_request": "http://zolaelectrics.com/bt/grt/lk/blw/fre.php"
  320. },
  321. {
  322. "suspicious_request": "http://redirector.gvt1.com/edgedl/release2/chrome/ANcTHgjx95-y_74.0.3729.169/74.0.3729.169_73.0.3683.86_chrome_updater.exe"
  323. },
  324. {
  325. "suspicious_request": "http://r5---sn-a5msen7l.gvt1.com/edgedl/release2/chrome/ANcTHgjx95-y_74.0.3729.169/74.0.3729.169_73.0.3683.86_chrome_updater.exe?cms_redirect=yes&mip=172.83.40.106&mm=28&mn=sn-a5msen7l&ms=nvh&mt=1560754404&mv=m&pl=24&shardbypass=yes"
  326. }
  327. ]
  328. },
  329. {
  330. "Description": "Performs some HTTP requests",
  331. "Details": [
  332. {
  333. "url": "http://stadtmisr.com/f/we/pwe.hta"
  334. },
  335. {
  336. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEAi4elAbvpzaLRZNPjlRv1U%3D"
  337. },
  338. {
  339. "url": "http://ocsp.msocsp.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPC1vZt9qvn7bzY3Iidtbhla4mKQQUWIif1tycSCK3FD7%2FhIjo5oX%2F%2Bn0CE3sAAGyvV14%2FmEPDgh0AAAAAbK8%3D"
  340. },
  341. {
  342. "url": "http://stadtmisr.com/f/we/blwlk.exe"
  343. },
  344. {
  345. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEDoV9Mh%2FtNM5k9Pus79K5eQ%3D"
  346. },
  347. {
  348. "url": "http://ocsp.comodoca.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBReAhtobFzTvhaRmVeJ38QUchY9AwQUu69%2BAj36pvE8hI6t7jiY7NkyMtQCEDaCXn%2B1pIGTfvbRc2u5PKY%3D"
  349. },
  350. {
  351. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEEpXWRnDaZSEY67E8B6coDU%3D"
  352. },
  353. {
  354. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSPwl%2BrBFlJbvzLXU1bGW08VysJ2wQUj%2Bh%2B8G0yagAFI8dwl2o6kP9r6tQCEAaJg2QslT5G973OQUPxM8E%3D"
  355. },
  356. {
  357. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSnR4FoxLLkI7vkvsUIFlZt%2BlGH3gQUWsS5eyoKo6XqcQPAYPkt9mV1DlgCEAwVvkoVuwkDyQGx1sJlMC8%3D"
  358. },
  359. {
  360. "url": "http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab"
  361. },
  362. {
  363. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEA8sEMlbBsCTf7jUSfg%2BhWk%3D"
  364. },
  365. {
  366. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT3xL4LQLXDRDM9P665TW442vrsUQQUReuir%2FSSy4IxLVGLp6chnfNtyA8CEAQJGBtf1btmdVNDtW%2BVUAg%3D"
  367. },
  368. {
  369. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTBL0V27RVZ7LBduom%2FnYB45SPUEwQU5Z1ZMIJHWMys%2BghUNoZ7OrUETfACEAiIzVJfGSRETRSlgpHeuVI%3D"
  370. },
  371. {
  372. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEH4PjD8bD0NfJXpoX0ln6s4%3D"
  373. },
  374. {
  375. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEHQnb7Tt0tUhlRVnnq4nPN8%3D"
  376. },
  377. {
  378. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSnR4FoxLLkI7vkvsUIFlZt%2BlGH3gQUWsS5eyoKo6XqcQPAYPkt9mV1DlgCEAM%2B1e2gZdG4yR38%2BSpsm9g%3D"
  379. },
  380. {
  381. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBTfqhLjKLEJQZPin0KCzkdAQpVYowQUsT7DaQP4v0cB1JgmGggC72NkK8MCEAPxtOFfOoLxFJZ4s9fYR1w%3D"
  382. },
  383. {
  384. "url": "http://ocsp.pki.goog/GTSGIAG3/MFEwTzBNMEswSTAJBgUrDgMCGgUABBT27bBjYjKBmjX2jXWgnQJKEapsrQQUd8K4UJpndnaxLcKG0IOgfqZ%2BuksCEHAHFVlJElKyLEMbtWWDIbo%3D"
  385. },
  386. {
  387. "url": "http://ocsp.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D"
  388. },
  389. {
  390. "url": "http://ocsp.usertrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBR8sWZUnKvbRO5iJhat9GV793rVlAQUrb2YejS0Jvf6xCZU7wO94CTLVBoCECdm7lbrSfOOq9dwovyE3iI%3D"
  391. },
  392. {
  393. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSPwl%2BrBFlJbvzLXU1bGW08VysJ2wQUj%2Bh%2B8G0yagAFI8dwl2o6kP9r6tQCEA%2BdzSc7B3UzA8k03selSwo%3D"
  394. },
  395. {
  396. "url": "http://th.symcd.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRsif7263KedmR2MLuYKv9%2BWQCtWAQU1A1lP3q9NMb%2BR%2BdMDcC98t4Vq3ECEBT4%2FdFn%2BSQCsVcLXcSVyBU%3D"
  397. },
  398. {
  399. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAH9o%2BtuynXIiEOLckvPvJE%3D"
  400. },
  401. {
  402. "url": "http://ocsp.digicert.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBSAUQYBMq2awn1Rh6Doh%2FsBYgFV7gQUA95QNVbRTLtm8KPiGxvDl7I90VUCEAVG%2Fhgj9%2BGUHaOfzhTEYXM%3D"
  403. },
  404. {
  405. "url": "http://ocsp.pki.goog/gsr2/ME4wTDBKMEgwRjAJBgUrDgMCGgUABBTgXIsxbvr2lBkPpoIEVRE6gHlCnAQUm%2BIHV2ccHsBqBt5ZtJot39wZhi4CDQHjqTAc%2FHIGOD%2BaUx0%3D"
  406. },
  407. {
  408. "url": "http://zolaelectrics.com/bt/grt/lk/blw/fre.php"
  409. },
  410. {
  411. "url": "http://redirector.gvt1.com/edgedl/release2/chrome/ANcTHgjx95-y_74.0.3729.169/74.0.3729.169_73.0.3683.86_chrome_updater.exe"
  412. },
  413. {
  414. "url": "http://r5---sn-a5msen7l.gvt1.com/edgedl/release2/chrome/ANcTHgjx95-y_74.0.3729.169/74.0.3729.169_73.0.3683.86_chrome_updater.exe?cms_redirect=yes&mip=172.83.40.106&mm=28&mn=sn-a5msen7l&ms=nvh&mt=1560754404&mv=m&pl=24&shardbypass=yes"
  415. }
  416. ]
  417. },
  418. {
  419. "Description": "A document file initiated network communications indicative of a potential exploit or payload download",
  420. "Details": [
  421. {
  422. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x7f\\x01\\x00\\x00{\\x03\\x01]\\x078\\xcadc\\x87eryhh\\xa3\\xee[3gu\\xe6j\\xb5\\xad\\xd9\\xf8f\\x9e\\xca\\xff\\x82je\\xf0\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00:\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00!\\x00\\x1f\\x00\\x00\\x1coffice15client.microsoft.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  423. },
  424. {
  425. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x98\\x86 \\xa0cn\\xe3\\xd8\\x9d<\\x003c\\xe8g\\xaf\\x1e\\xf8\\xc9\\xd0\\xc1\\x15\\xfd*4\\xaee.\\xbf\\xcf\\x02a\\xe4\\x85\\xd2\\xe8_\\xbcq\\x06fi~]\\xb8d\\x1b\\xcb{\\xa4\\x0f\\xdf*\\xce\\xb5\\x13\\xbb\\xd8\\xc8\\xa5a\\xff\\xab\\xac\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000xf\"\\xfa\\xd9\\xe1\\xe3\\xa7{\t\\x12+)i\\x15\\xcad8#>\\xfb&,\\x01v\\x9d\\x98\\xd3\\xde\\x0b\\x83xu\\xb8\\xae\\x86\\x1f\\xce\\x8az\\xbff@k\\xf3\\xc4\\x95\\x84"
  426. },
  427. {
  428. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01p\\xba \\xab6kw\\xed\\xb2t\\xe7\\x07\\xcdk\\xad]gl\\xf5\\xe2t\\xf3\\x1d\\xaa7\\x8e\\xac\\xa42\\xae\\x8e\\xeay \\xe2\\xe1\\x96\\xd6x\\xab\\x18q\\x9b\\x80\\x90d\\xa5\\x10\\xe1\\xd0\\xf7]\\xab@\\x89\"!\\xba\\x92\\x98\\xe8\\xd4\\xd3\\x0c}w\\x1a\\xdc`\\x92\\x1d6>\\x8e\\xfe\\xd7-\\xe4\\xe7\\xe0\\xe3\\xfb\\xcf\\xb1~\\xe7f\\xb2\\xd3\\x83\\xd2\\xbf\\x931\\x91\\x82\\x11\\xb1\\xf6\\xcf\\x92~\\x1d\\xb0\\x91\\xec\t*\\x87\\xbd\\x01\\xf5[d\\x8dvk\\x15\\xecqi\\xedyklp\\x86\\x8ct.\\xe85\"\\x1f\\xb5\\x8db*\\xe9\\xea\\xd6\\xb29\\xac\\xbe\\xa9\\x0c\\x9c\r\\xbc\\xf7z\\x1b\\xf5}y\\x9d\\x9a\\xa8{\\x07}\\x95\\n\\xd75\\x1d\\xd8{\\xbdm|\\x01\\xe3o[\\x95\\x1f\r\\xde}\\x17*\\xa0:\\xfd\\xa0\\x0c\\x0c,\\x9f^72\\xb6\\xdc\\xf0\\xbdng\\xcd\\xe5\\xb8\\xec\\xe6v~\\xdd\\xc3\\xda6cfp\\xcd\\x95[\\xc20\\xd6\\xb9\\xa5]\\xb0\\x90\\xf6=\\xee\\x1bn\\xc7\\xd4wp.\\xcb5\\xa0~x4\\xb6g\\xf5\\x19\\xbc\\xcevk\\xee>"
  429. },
  430. {
  431. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00~\\x01\\x00\\x00z\\x03\\x01]\\x078\\xcba\\xc9\\xc2\\xf0e\\xa8\\xb4\\x9b\\x1e\\xb8\\xa4\\xb0k\\xae\\x04\\xd4\\xd1\\xb4w\\xc1\\x16\\xdc\\xb9hm\\xa6\\xaa\\xd1\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x009\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00 \\x00\\x1e\\x00\\x00\\x1broaming.officeapps.live.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  432. },
  433. {
  434. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xdde\\xae\\x88kp\\xa5t\\x14\\xf6\\xaf\\xdf4\\xc6ma\\xdf\\xee\\xcd,\\xec\\x80\\xb7q\\xf6\\xdad\\xcb\\x86\\x1d\\xcb\\xbc\\x17vf\\x80r\\x92\\xa7\\xff12\\x01y\\xc9\\x8f\\xc5\\x00p\\x9dk\\x847e8o\\x1f\\xd6\\xf7d\\x8em\\xa8$\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xdf\\xc8\\xcb?\\xddd\\x95\\xd7\\x9a\\xcd\\xb6\\x80|\\x99\\x05\\xaf\\x1c\\xe4\\x80\\x94\\xbff}rg:\\x18kz\\x03p\\xe3;ur\\xc7\\x84\"\\xe1l\\xd3\\xdb\\xe6y)9\\xc0\\xc6"
  435. },
  436. {
  437. "http_request": "winword.exe_WSASend_get /mfewtzbnmeswstajbgurdgmcgguabbtbl0v27rvz7lbduom%2fnyb45spuewqu5z1zmijhwmys%2bghunoz7oruetfaceai4elabvpzalrznpjlrv1u%3d http/1.1\r\ncache-control: max-age = 89056\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: fri, 22 mar 2019 18:30:24 gmt\r\nif-"
  438. },
  439. {
  440. "http_request": "winword.exe_WSASend_get /mfqwujbqme4wtdajbgurdgmcgguabbrpc1vzt9qvn7bzy3iidtbhla4mkqquwiif1tycsck3fd7%2fhijo5ox%2f%2bn0ce3saagyvv14%2fmepdgh0aaaaabk8%3d http/1.1\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: sat, 23 mar 2019 17:46:18 gmt\r\nif-none-match: \"dd54d75d468"
  441. },
  442. {
  443. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01pb\\x1c\\x1bt\\xbfk\\xbb\\x17%\\x98v\\x08\\x8b\\x97\\xeblj\\x86|\\x7fzc\\x9ba\\xcb\\x15kh\\xf3\\y\\xcd\\xf5\\xd3\\xd14\\xc3\\xb6\\xc1o p\\xbd\\xfat\\x07;\\xe3\\x12\\x17\\xc8r\\xdec\\x91\\xe8\\x903\\x95\\x0b\\\\x12>%\\x9f\\xe8\\xfe\\xad\\x998*\\xb2\\x8e \\x8b[\\xde\\xc3\\xfd\\xe1\\xe9z\\xb3bl]\"y\\x19{\\xb8\\xea\\x18\\x92:\nqr=\\xbc\\xb3\\xf8\\x19n\\x8e\\x19@\\xa3\\9\\xa55$\\xd1\\xe4\\x8d;z\\x0c\\xf8\\xbd\\xb6&\\x98d\\xc4\\xc6y\\x07a\\xfeo\\xd81\\x82bc\\xc8\\xd7/\\x16\\xe0j\\x1a\\xa4\nb^/\\xc5\\xe2]\\xdd\\xa9\\x0e\\x1f\\xfed\\x91\\xa8\\x92\\x8c\\x85\\xf72+\\xf2\\xfe\\xf2\\xd0\\xfdfd+r\\x87\\x9bw_\\x94\\x02r\\xe6so\\x0b^\\xcf\\xeb\\xe8\\x8cdapxfr\\x01\\x17\\x04\\xea\\x8a\\x1b\\xf8\\xf8\\xeew\\xaa\\xc4\\xa3e\\xaa\\xf4knt\\xbc\\xc7348n%\\xda\\xded\\x0co.\\x0c\\x00\\xc8\\xeea \\xb0s\\xc4|\\xb0s:c\\x10\\x1ex\\x17\\x03\\x8d\\x11\\xa6"
  444. },
  445. {
  446. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x02 @\\x8fzdpu\\xed<9u\\xb31\\xf1x\\xa0@\\xb6\\x00a\\xb8v\\xce`\\x9et\\x1a\\x9fq\\xcb\\x96\\xed{b#\\xf8\\xd3\\x94#\\xddcy\\xec\\xf6^\\x1ez\\x12\\xf3d\\x17\\xe2\\x87\\xde[fqpcnnx\\x04fj\\xf4\\x1a\\xc7\\x8c\\xa5\\xf8\\x8c\\xff=k\\x93\\xddt-\\xfe\\x82#\\x95\\xbdq\\xe5>>\\xdcsfw\t&\\x08`\\xaft\\x93q\\xecd\\x9c\\xb35\\xae\\xe5)\\x9c\\xb5\\xf2\\x9f\\xae\\x06\\xc4[\\xb1\\xe6\\xe4\\xc5\\x05\\xd5-@jg\\xe4c\\x0e\\xe1\\x19j\\x0b%\\xf6}\\xbc\\x9d\\xb5e\\x00\\x8ei\\x01\\x19\\xadx\\x9a\\xd6\\x03\\x9b\\x14u\\x82jr\\x0f\\xc2t\\xbd\\xae\\xa8\\x8f\\xdc\\xed\\x9c\\xec\nuo\\x807m\\xc1\\xfe2\\xbd\\xa9e\\xa1t>\\x93>?\\xf9\\x88);\\xacpt\\x19\\xe50\\x0f\\xf3lxru7\\xa5\\xa8&\\xb2nr\\xe1\\x05\\xa7\\x83\\x05@!\\x87n>\\xbd\\xa5pg\\x96\\xf6\\x10,;a\\xd3\\xc5\\x10\\xe3\\xe0\\xa7\\x8e\\x04\\xa1\\x9d\\xe3\\xd3\\xf9\\x90q\\xc8\\x16\\xf8\\xa3up\\xead\\xdd"
  447. },
  448. {
  449. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00z\\x01\\x00\\x00v\\x03\\x01]\\x078\\xd7\t3$!\\xaa\\x8f\\xb7\\xd4,\\x9a\\x0f\\x94\\xd4\\x88d9 d\\xb2\\xd9\\xe8\\x1a\\x9c9\\x8c\\x14`\\xac\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x005\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00\\x1c\\x00\\x1a\\x00\\x00\\x17odc.officeapps.live.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  450. },
  451. {
  452. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04i\\xf5\\xde\\xcd\\x88z\\x07\\xe1\\xccrwv\\xa7\\xfc.+\\xf7^l\\x94\\xd9\\x02\\xc2\\xb3)\\x13\\xc1\\x0b\\x07\\xe2\\x03\\x0ek\\x8b\"l\\x86\\x85\\xaa\\xf4\\x9d7\\xe4\\xd7\\xf63\\xad\\xa5\\xd6\\x88\\xfb\\x14*-\\xe4\\xd3\\xcc\\x9c\\xccc\\xe5cm\\xa0\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000n\\x9e~\\xa6\\xcde\\x0c\\xd30k\\x15\\xa0j\\xd5\\xf8*\\x9as\\xca\\xb9\\xa8_\\xe3:\\xdcz\\xe7\\xfc\\xaf\\x8ee7\\xefyy\\xf0\\xa3\\xderp\\x92\\x0b\\xe04\\x04\\xba\\x00x"
  453. },
  454. {
  455. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01p\\x13\\xc8 \\xaa\\xcd\\x97\\xa55z\\xed\\x1ai\\x17\\\\xe9'\\x15\\x89\\x86.\\xdc\\x8d\\x03\\xac\\xc9\\xc2\\xb5\\x93\\x9a\\x05)b\\x0c\\x84\\x84\\xe0f\\xb0\\xe53\\xd6&kd\\xb0\\xb3d\\xbb;\\x8edk_m\\xd1\\x05[\\x99\\x1d\\x07\\xf6n\\xd7\\x03\\x1bj\\x13/\\xde\\x84\\xf2\\xb8tj\\x90\\x95\\xcd\"\\x94\\xd6y\\xba\\xf4\\x8f\\x1c\\xd8c\\x16\\xa09\\x14\\xeb\\xa3\\xbf\\xb3\\x82\\x9dm\\x90u\\xb4]&v\\x05\nc\\xb4z\\xbeo3p\\x81h\\xfd\\xf5\\xfa\"v\\xc4\\x82f\\xca\\x15\\x1c\\\\x11\\x8c\\xa5\\xfb\\x875\\xe2\\x04\\x01\\x17f1\\xed)\\xd5\\x8d\rp\\xf4!\\x82\\x02\\x10\\x8a*i\\x10\\x14\\x05\\xdf\\xd0)\\xd06=\\xf3\\xbb\\x8d\\x0ct\\xfb\\x13\\xd8\\x823w\\x12p\\x7fb\\x83\\x82\\xb4\\,q\\xc2c\\xfcb\\xf4\\x08\\xd1wr\\x98\\xd5\\xedq\\x8be*;\\x12\\xda9]^\\x97$\\x0c\\xc2\\xec\r\\xa1\\xc5\\xed\\x85\\xc6\\x90\\x0c\\x91\\xea\t\\xd5\\xe7\\xa4{\\x9fb5$\\xa9\\xab\\xf5\\x8b\\x04\\xae\\x11\\$\\x84_c\\xcf\\xc7n\\xfc\\x0b\\xcc\\xb7\\xd4\\xe1\\xeb"
  456. },
  457. {
  458. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00}\\x01\\x00\\x00y\\x03\\x01]\\x078\\xdc*\\xad<\\x99\\xbe{<\\xc4.x*j\\xe1\\x14\\xc5d!\\xe9\\xbf\\xea\\x0e-mb\\\\xba\\xba\\x1f\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x008\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00\\x1f\\x00\\x1d\\x00\\x00\\x1atemplateservice.office.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  459. },
  460. {
  461. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xa5\\xf1\\xc5\\xdd\\x14\\x10\\xdfv\\xb46\\x08\\x9a\\xa3\\xd4\\x9a\\x7fg\\xde\\x07|\\x9b\\xac\\xeb\\xd4\\x8e\\x9f\\xae|\\xc7+*j[iz\\x07_v\\xae\\xbf0\\x1d\\xe5m@\\xdb\\xe8t\\x173\\x0b\\xfd\\x86\\xb8\\x04\\x1eb\\xe0)\\xf78\\x8a[\\xc2\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xa9ur\\x8f\\xf5z-x\\xb7\\xb1\\xd1k\\xbf` \\x13\\x0et{e\\xd7\rv\\xfa\\x1a\\x04\\x89`d1\\xf5\\x1c\\xc5\\xe6\\x0f\\xa4\\xeb0\\x12\\xb7c\\x10\\x9f\\xcab\\x89u1"
  462. },
  463. {
  464. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x01p\\xb6\\x06\\xed\\xa6\\x06\\xfeyc\\xc9\\x90\\xd5\\xc9^\\x84\\xbe\\xb8y\\x86_\\xcb\\xc1m^\\xf1\\xbd\\xc4\\xfeb\\x1b\\x83\\xf7^/\\xb2\\x86\\x954\\xc7\\\\x1b\\x92\\x0f?6\\x17\\xbf\\x89\\xed\\xcft_lg+q\\x98\\xd8\\x02t\\xd9z\\x9a\\xae\\xa7\\xd6\\xa1u!t\\xe1\\xfa\\x12y<\\xfa\\xe6-~(\\x937\\xb9\\xbf\\xbc\\x16\\xedgs\\xaa1\\xcc\\x13-0\\\\xa7\\xca\\xfec\\xc5\\xfc\\x91\\xb2'g\\xf4\\xe1sh!\\x86;\\xd40\\xe0\\x1ez\\x00\\xc4i\\x8f*\\xa5v\\xd2w\\xc6on~&\\x91\\x9f\\xb4i\\x05\\x97\\xa3\\x18\\xd9\\x04\\xd2knq\\xae(\\xf2j\n\\x80\\x13\\xa2\\xe6\\x1d\\x06p\\x04\\xdeif\\xf9\\xdb\\x1f\\xdf\\x8c\\x05\\x95\\xff\\xe4\\xe8\\xd4m\\x04\\xa1\\x94\\xe4\\xd8\\xa6\t\\xccr\\x1b\\xa4\"\\xd6\\x8e\\x19k\\x82\\x1d\\xa8\\x1f0\\x01aw\\xd2`7\\x04~\\xb8d\\xdf~\\xe2[<{\\xf7\\x03)\\xe6\\xb5?\\xb1\\xf6e\\x10h\\xa3\\xa0l\\xcd5\\xb3\\xbe\\xb8\\x9d\\xc0\\xf2/\\x8a\\xfas\\xda\\x92\\xfd\\xc4\\x91\\x05\\x86\\xad\\xdc\\xd9\\xe2]z\\xd4\\xa0"
  465. },
  466. {
  467. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xe1w\\x08\\xc9\\x11u\\xab\\xcecy\\xdf\\xf6\\x8b\\xaa\\xbb\\xbd\\x957\\xe1p\\x06\\x82h\\x8a\\x01\\xe4\\xab|\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  468. },
  469. {
  470. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xddb\\xc90,\\x1d\\xfe[d\\xe54gg\\xe8\\x1d\\x15,\\xbd0f\\xddst\\x81\\xd0\\xd5\\xb2\\x1e\\xda\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  471. },
  472. {
  473. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x03\\xad\\wq\\xf3\\xb24\\x14\\xf1\\xd7\\x009\\xa7'\\x97l\\xd7\\x9d\\xb8\\xb8\\x9d0|\\xd5\\x87\\xf0d\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  474. },
  475. {
  476. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x83\\x05q\\xa8|\\xd9\\x0e&o\\x1d\\x8f\\xb4l\\xc8\\x02\\xf3\\xbb\\xa7\\x08\\xa9\\xf7\\xc2\\xf4v\\xde (\\xb2\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  477. },
  478. {
  479. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdda%k\\xe1)\\xc5\\x05e\\x82;\\xe2\\xa5\\xe4\\x16\\xa7\\x9cl\\xb2\\x03\\xa1\\xcb\\x1e\\xcf\r\\xe4\\xa1\\x03\\x0e\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  480. },
  481. {
  482. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xeaa\\xc9\\xbcx_\\xd3r\\xaf\\x06\\xb0\\xc9\\xdaa@]\\x07`\\xc2:\\x1f\\xf5#w\\x97\\xca\\xa6\\xb5\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  483. },
  484. {
  485. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x7fd.\\x96\\x95\\x93\\x01?\\xc1v\\xb4\\x8da\\xb5bq\\x1b\\xec\\xf6\\xf7\\x1d\\xa4w\\xfb\\x82\\x83f\\xdd\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  486. },
  487. {
  488. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x1d\\x1e\\x94h\\x1b\\x01$\\xc7\\x1be\\xad0x\\xce1y\\xff\\xcf\\xe6\\x8a\\xca\\x00\\x0e\\x95<\\xf9\\x15\\xb2\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  489. },
  490. {
  491. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x88\\xcfz\t\\xadc\\x06fql\\x9em4\\x00\\xd3|>)4\\xdeav\\xe1\\xeb\\xbf3[\\xe4\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  492. },
  493. {
  494. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd/q\\xef\\xe8\\x0e\\xb2\\xa5\\x88\\xb5\nz\\xbfr,\\xa0\\x7fc\\x91e=\\x04,\\xe1\\x05c\\xfe\\xa0\\xbb\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  495. },
  496. {
  497. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xe5\\xd7\\xb0\\x8b\\xcf\\xc2o\\x12,\\x8ba\\x80]c\\x11\\x07\\xb1\\x98\\xcdm@\\xdd\\xaf0\\x08\\xbb\\x07\\xe2\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  498. },
  499. {
  500. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd+\\x0f=\\xcc\\x8ezcm\\xd4\\xe0\\x03\\\\xf8>\\xb0\\x00;\\xfe/\\xfc\\xf6''o\\x17\\xf3\\xc0j\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  501. },
  502. {
  503. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xa9v]\\xd7\\xbd\\x17s\\xaagq\\xfc\\xb1c\\x1e(c9\tyh\\]\\xe30\\xfa/\ru\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  504. },
  505. {
  506. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x99\\x1a\\xc0\\x13\\xf5\\xf9\\x99\\xce\\xe731\\x87\\xa9\\x13ya\\xfd\\xdb\n\\xbctr\\x95\\x9cme\\xfb,\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  507. },
  508. {
  509. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd^\\xf4\\x1fi\\\\xdc\\x8f\\xe6\\x9d\\xb5|\\xdb\\x8e\\xeeyk\\x8f\\xd8\\x85\\xe0\r\\xe6e\\x1e\\xf6\\xe4\\x8fh\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  510. },
  511. {
  512. "http_request": "winword.exe_WSASend_f\\x00\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xfcd\\x91\\xb5l\\xc4\\xbd1\\xa4\\x7f\\x10?\\xdb\\xe1\\x12\\x1f\\xe1s\\x08*(*f_\\xb5\\xb2s\\xfe\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  513. },
  514. {
  515. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xddf\\xb1\\xc5k\\x01n;\\xb2\\xdd+\n\\x08\\xe7\\x1c\\xd5\\xef\\x10\\x1byq\\xefrdn6\\xb5#\\xab\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  516. },
  517. {
  518. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x8c0f\\xf4\\xb6\\xa2:\\xc5\\xe2i\\xad\\xee\\x9f\\x9c\\x0e =\\x0cp9y\\xc5\\xf4(,\\xe0e\\xc2\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  519. },
  520. {
  521. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x86\\xd5\\x07&8\\x01\\xf7\\xf9\\x82\\xe4i\\xe1z\\xc7`\\xee%34s@\"\\xb1{\\xa5k\"\\xae\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  522. },
  523. {
  524. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\x14\\x87p\\xfc\\xf6\\xa8]>\\x14.u\\xf2!%[\t/\\x17\\xae\\xa36\\xb0\\xdfi0\\x0ew\\xb0\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  525. },
  526. {
  527. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xfd\\xc8\\xe3\\x9c\\x89/\\xef\\xbf\\x12\\x0c5.wot\\xc9>\\xe4\\xf9\\xa5\\xcbuz j\\x10\\xf0\\xf2\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  528. },
  529. {
  530. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd[\\xb3%<vt\\x0f9\\x81\\xcfzn\\xf7\\xc4\\x97z;\\xfdd\\xc9h\\xa2r\\x80h\\xf5\\xc3\\x1c\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  531. },
  532. {
  533. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xe1\\xaf/i\\xcf\\xe1;\\x8b\\xd9}rb\\xfb\\x95\\x14\\xa3aoj\\xa1\\xe8\\xdb\\x02;\\xf4\\x05\\x80\\x9fm\\xec\\xcc\\x90|&\\xba=\\xef\\x1d\\\\x99q\\xf1\\x19h)\r\\xf0\\x817\\xd0\\xf1\\xd6\\xa4\\xc2s\\xff=/yv\\xe9\\xf4\\xb10\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x15[7\\x13\\xcf\\x8ft\\xb4\\x85\\x14=n\\xb7\\x0co\\x7f\\xe5\\xbd\\xbdfn\\x96\\xc0\\xd0\\xdc\\xbd\\xd9\\xc9e\\xdd\\x84\\xbb\\xcf\\xae[\\x9d\n\\xf30\\xfc\\x163\\x94\\x93:\\xd5s\\x8f"
  534. },
  535. {
  536. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x92\\x13\\xeat\\x05\\x9f\\xf5\\xe4\\x1c\\xf8ck#\\x9eh0f\\xdb\\xc1l\\xda'a\\x88\"\\x9egn\\xb4\\x87\\xa8t\\x0e\\xd6\\x98\\xc8\\x85\\xb5\\xaa\\xa6\\xea\\xd4\\xcc39\\x07\\x87]{\\x1c\\xedp\\xc8\\xff\\xb0\\x1ee\\x9c\\x0b\\xc5!vok\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x9a>\\x97\\x11\\x82\\x8b\\xf1\\xbfu&\\x8abc9c\\xf0\\xd0\\xe6b\\xb7\"\t\\xe5\\xc6\\x96\\xc1\\xa3k\\xe4\\xd1^v\\xab\\x95\\xc7\\xef\\xd7 \\xf6ojt?\\x02h\\xd9\\x8f\\xd7"
  537. },
  538. {
  539. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xe7\\xdbg\\xf9\\xc4\\xa3\\x93\\xe1\\x98\\x976:\\x08\\xb2\\x95\\xca\\x1b\\xcb\\xbd\\x80v\\xfe2\\xe9twb\\xdba\\xd7\t\\xbb\\xce<y\\xc6\\xdc\\xea\\xa8\\xeb\\xae\\xfb\\xea\\xdd\\xe7w\\xa5o\\xc4\\xfa\\x90h\\xad\\x99 \\x06]\\x97m!\\x9c\\xc8\\xa2\\x12\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000g\\xe5\\xd3\\x02\\x9f!\\x0c|\\x87\\xa5\\x1fq\\xd4\\xea\\xeb\\x11i-\\xac\\x92\\xdc\\x8e;!q\\xf1\\xe9\\xa3\\xc0\\x96\\x82o\\xbe\\xdbl\\x94x\\xba\\xa5(g\\x8fze\\xe3\\xf2l\\x9c"
  540. },
  541. {
  542. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xbc\\xbb$d;|\\x04^la\\xe1\\xc9|n\\xe5\\xf9\\xbd\\x18.\\xef\\x15\\x8a_z\\x83w\\x95|\\x16\\x17\\xef\\xe3\\xfd/\\x05\\x16\\xeb;\\xab\\xd2\\xa1@\\xd8\\x9d6\\xc6\\xdc\\xc3*l\\xc8\\xb7a\\x9b\\xb7\\x9f\\xe6+fr:\\x8bn\\xd6\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1a\\xce\\xba'\\x90lh5\\xd5\\xfa.\\xc00\\xc5!{\\x1f\\xfa\"d,`\\x15\\xcd\\x02\\xefx\\xc8\\x1c\\x8d\\xc3\\xbe\\xb0\\xf7d\\xef,\\xc6\\xaf\\x07\\xfb\\xc00&\\xa6\\xe3-\\xcb"
  543. },
  544. {
  545. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xbc\\xfa\\x11\\xa6i{\\x8f\\x00t\\xf6s\\xd2\\xed\\xce\\x12\\xca2f\\xb5\\x8b\\x14\\xdf\\xc8qh\\xf6rh`\\xbers\\x8a\\x1egg#\\xa4\\xf1s#%6c\\xae\\xec\\x1c@b-\\xb5no\\xa5\\x83qz\\xb5\\xeb\\xc3\\xffl\\xb1\\xf5\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1e\\xdb\\xd8ys\\x00\\xa7\\xec\\xd2\\x96r\\xff\\x97=\\x1e\\xf2\\x10g8:\\x9b\\x82\\xb9\\xf4)\\xb4a\\xdf\\x94{m\\x00\\xd3\\x98\\xda\\xa2g%b_\\xde\\xc4]\\x0f)\\xfe.\\xc7"
  546. },
  547. {
  548. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x0f\\x99\\xf6\\xe4\\xfb\\x8f\\xa9\\xcdr\\xea\\xbe\\x9bv\\xd4\\x81\\xb5\\xe2\\xdb\\xc9\\x04_\\xd4\\xea\\xfdd\\x88$]\\xd0\\x85\\xd3@\\xd6\\x9d\\x155\\x8b\\xcc\\xe7\\x9ai[\n9x\\x8b\\x05i\\x7f\\xe1}y\\xc7\\xc3\\xeae l?\\xda\\x0fg\\xf9x\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x07\\x95_\\x94k-~`\\xc8\\xc2,\\x13\\xae\\xfd\\xcc'\\x99\\xd6\\xd6na\\x87g\\xa0\\x08\\xd6\\x11\\xe3n\\x1d\\x9d\\xe3\\xd5\\x1b\\x7f$\\x1c\\xce\\x9ach\\xaa\\xa9\\xe85yy\\xfc"
  549. },
  550. {
  551. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xc4de\\xffp<\\xe5\\x88$\\x9e\\xbf\\x9b\\x00\\xe7\\x9b \\xf8\\xfbg!\\x9f\\xdc^\\xcf\\xa2\\xc7\\xc3\\x82#\\xe5\\xa9x\\x11j\\x97\\x8a\\x07\\xdd\\x9f\\xed\"c\\x8b\\x18\\x83~i\\x94\\x80c\\x0f-\\x9f\\xaapgw\\xab_\\x94\\x89\\xf1g\\x87\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000*t\\xf0\\x9a&\\x18\\x00\\x82r\\x89z\\xe6\\xc8\\xdd\\x17b&\\xee\\x188p[t\\xe1\\xdf\\x03g\\xb9,\\xacrs_\\xff\\xe6i75\\xb2\\x1f\\xb9bf\rg\\xfd\\x1f\\xf3"
  552. },
  553. {
  554. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xd4v \\x0c\\x04!\\xa4%\\xefah\\x80\\xec\\x9a\\xe0:\\x1c\\xd6\\x06\\xd5\\x10}&>\\x901#\\x9d\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  555. },
  556. {
  557. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xc2\\xd3\\xf4^\ru\\x82\\x02\\xa4\\x0f\\x11\\xda\\xfd\\xf83m%hl\\xae\\xcaa\\xc4\\xbb\\x01{\\x02r\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  558. },
  559. {
  560. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x89\\xb0\\xadxj\\x1d\\xd2\\xe0\\x9d\\xae>s\\x03uu9\\x860wv\\x9ben/\\x8e\\xc8\\xa4\\x95\\xaf\\x17\\xc2(s\\xca\\x94bx&\\x8c\\xe5\\xb9_\\x00\\x9f\\xf0\\xd1\\xaafc\\xaa\\xe2\\xa5\\xce\\xe6wq\\x1d\\xd5(\\xb0\\xe4\\xe5&\\x13\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000lj\\xcctm\\x86}\\xd7!t\\x1df$\\xdc\\xcb\\x82\\xdfm \\xb1j%\\xef\\xfc$r\\x82\\x10pt\\x0b|\\x96\\xa9\\x93`};\\x04\\xc3@\\xf9\\xed2$d9\\x06"
  561. },
  562. {
  563. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\nc\\xf4d\\xe6\\x97\\x02f\\x8eu\\x16\\x02a\\\\xe0\\xec\\x9f9\\xb0o$\\xd1\\xa4\\x9dg\\x1a\\xf6z\\xf8\\xc3\\xe0~\\x8b\\xb2!*\\xb3\\xe0\\x18=\\x8d\\x86\\x80\\xaad\\x1a\\xc8\\xe3\\x99\\xd6\\xd4+\\x938\\xba\\x14\\xd6\\x9fr\\xdf\\x96n:\\xc9\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000n\\x82\\xbe,\\x07\\xe0]o\\xe7-\\xe1\\xb1\\xad\\x18\\x85\\xd6\\xd0\\xd8[\\xe3\\xcd\\x87p\\x80?\\xc69\\xe2\\xfdt\\xb1j\\xa4\\xd7\\xcb\\xbfs\\xf3\\xe2\\x8e\\x97\\x18\\xe2\\xca\\xa7\\xdet\\xb8"
  564. },
  565. {
  566. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x92g\\x9a\\x05\\xdf\\x10\\xac\\xf2\\xf7\\xeem\\\\xdbon90\\x07\\x92\\xe9\\xa0s\\xa7\\xc5\\xb9\\x19\\x9b'\\xc3\\x99\\xe4\\xd0\\xdf\\xda\\xb7k\\xba\\x9e\\xed\\xd3\\xf4\\x19\\xe8l\\x8d7\\x98\\x9f\\xf3'\\xc8\\xe3\\x8b\\x12\\x16\\x14\\xb7\\x835\\x11p\\x18 \\xfd\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x0008%q\\xadk=\\x10\\x95\\xd4\\xb9\\x8c[\\xe9\\x0bf^\\xd0\\xbd\\xcb\\x8ba\\x9f)png\\x05\\x93)\\x1d\\xd9wt_v.\\x00\\x1c\\xaf\\xfd\\xec\\x82\\x85\\xb0\\xb2\\x02\\x8e\\x9d"
  567. },
  568. {
  569. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xa4(t\\x00\\xc3lc\\xc0\\xa3\\xea\\x1c\\x01j\\xab\\x85\\xdd\\x08\\x00\\xafh?\\xe1w\\xbe\\xf7_q\\xb4k\\x14\n\\x0b6\\x92\\xdb\\xfb\\xe4\\x10\\xda)\\xad\\xfa\\x16g\\xd2\\xa8\\xe8\\x07\\xd8\\x97\\xa7\\x8f\\xe7\\xce\\xb9\\xf4\\xeb\\xa4\\xf3s\"t\\xb6\\xb8\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000j\\xaf\\x9e\\xc1\\xf8t\\xb5\\xf8\\xac\\xcaw7vbq\\x97\\x9czgm.\\xb2\\x87\\xe0\\xd7\\x92]\\x99\\x929x$v\\xf1\\x02l\\xcd\\x1c\\xf1\\xfc\\x15qvi\\x08~v\\xf4"
  570. },
  571. {
  572. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04/4\\xae\\xce\\x16\\xcd\\x01\\xe3\\x97\\xc3\\xf8=\\xf8\\xfa\\xa1n\\xf5\\xad\\xd5s\\x1f\\xb1\\xd2\\xda\\x01@\\x99\\xfc\\xe1!\\xb5\\xd5\\xa9`(+\\xbb'\\xf6\\xa9\\xe9\\xd8\\x0e\\xef!\\xa3\\xc5\\x88e\\x9cl\\x10#\\x8a{\\xce\\xcb\\xe1x\\xca\\x10\\xca\\x07\\xfe\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000)\\x02\\xbc5\\xb8\t\\x94\\xbag\\x04\\xfa\\x94\\xc5er&)$l\\xab\\x9b\\xb6\\xf6\\xc7\\xb3d6\\xb3\\xf7\\x86\\xa5st!\\xe9\\x15\\x1a^\\xb4ba\\xe2\\xe5\\x7f\\xf7\\xcf\\x15k"
  573. },
  574. {
  575. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04:5\\xb3}\\xf1<|)o\\xf7\\xc3y\\xe6<gl4s\n\\xd4=\\x85q\\xaa\\x04\\xb4\\xf7g\\x9a\\xd2t\\x15\\x8f\\xa4\\x98\\xd7^\\xddt4\\x99\\xf4\\xb9jd\\x97c*e{\\xa38\\x8db\\xa1\\xdf\\xdfa\t\\xda\\x04\\x0bvs\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000u\\xb0&xl\\xd9\\xfc\\x10\\x88\\xa7\\xda\"i\\x13\\xb7\\x1b\\xcf\\x82\\x89\\xd0m\\xc69\\xf1\\xb1\\xdd\\xc4\\xcf\\xcf\\x9e\\xf9\\x7f\\x02\\xffl\\xd9\\xbe\\xdcx\\xc6\\xe9y\\xa6c\r\\x1c`\\xe5"
  576. },
  577. {
  578. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x9e\\xf8pi\\xa8\\xb7\\xe2f=\\xc1\\xbb\\xd7\\xdfr\\x11\\x00\\x0b>\\xc56\\xc1\"nb\\x9b\\xf0\\xd5\\\\xa6\\x9a\t\\xad\\xbbjz\\x9b\\xc8\\x8d6\\x1diktm\\xc0\\x9dr\\x07\\x81\\xf0m\\x13m\\xab&g\\xe9\\xf4\\xf6\\xf7\\xd2\\xfbd'\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000ls'\\x8a\\x1c\\x87\\xee\\x86\\xfel\\x02u\\xdc\\x9c\\x02\\xd2\\x00v\\xbc;<\\xf7_\\x7f\\xcd[^\\+\\x8dt\\xc4\\x86\\\\xc5\\xb8p;\r\\xfd\\xd4\\x9d\\xd7ru\"y\\x92"
  579. },
  580. {
  581. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04z3\\xce4\\xce\\x99o\\xad\\xf7\\x8f\\x03|\\xb9\\x98kh\\x84\\xba0\\x8b7`\\x00o\\x8bx*\\xee/\\x18\\xc8\\xef\\xd6\\xb2\\x94r\\x12t5\\xd9\\xb2{|\\xf5\\xc0v\\xd2\\x89\\x9e\\xe9\\xb0\\xc2\\xdfg;s\\xbd~\\x0c\\xc6\\x017\\x1f\\xf1\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x19k\\xc7\\xa4\\xc1\\x9c\\x91\\xba\\x166\\x85\\xd9\\\\xb8\\x85\\xa9\\x81\\x00\\x8d\\xf7\\xc3\\xc1=\\xaf\\x88\\x05q\\xf1n\\xa6\\x11?\\x0c+\\xeb\\xf4d\\xef\\xd9r`up\\x8f,\\x13\\x823"
  582. },
  583. {
  584. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x08\\xce\\xf5`\\xd6@l\\xe0]\\xa0\\xd4\\x82\\xc9\\xad\\x18\\xb9op\\x95h\\xf7cf\\xf3\\xc1\\xa5\\xdf\\xc6z\\x87\\x82i\\xa4\\x02u\\xa5@\\xc8\\xc0\\xea\\x99$\\xa9+\\x11(7\\xf7\\x13\\x91\\xd8\\x1b\\xcd\\x87c\\x85^\\x0fw\"\\xaba[\\x1d\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x0004\\xf2\\xab\\x91mt\\xa2\\xb4w\\xa9\\x1e\\xd0\\x15\\x93\\x98*\\xa2\\x11\\xd9o\\x8d\\xe4\\xb89\\xabu\\xce\\x04\\xe65\\x97\\xd6\\x0fy\\xf87(\\xd0dd\\xaaaz\\xecsv\\xab\\x02"
  585. },
  586. {
  587. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x07\\x12@%\\x7fkn1?\\xe859\\x07=\\xf4\rp85ym\\xc3\\xad\\x9c\\xfd\\xe0x\\xe4a\\xaa\\xda\\x90pg\\xe8\\x86\\xd3\\x99\\xd2\\xcd\\\\xe5s\\x9c\\xd2\\x1f8\\xce\\x87\\x04\\xa1\\x80\\xf8\\x8d\\xbd\\xd9$!\\xb0o/;\\x85.\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x0007\\x02z\\xdd\\xbd**\\x8a77\\x9b\\xce2p\\xf3\\x01u\\xdauho:b\\xad~,\\xc9j\\xd0r\\xc7\\xe0\\xe3\\xc8\\xff\\xec\\xc5(,jm\\xbf8\\xffbq\\xe5\\x94"
  588. },
  589. {
  590. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04(x&\\xbeb%\\x07\\xe3ih\\\\xe2;yj\\x10\\x17\\xdc\\xb2\\xf2\\x93e\\xbc\\x83[\\xb3d@\\x1a=\\xc2jz\\xb3\\xecv5{b\\x84\\xc3\\x18d\\xb8d\\xadx7,\\xbby\\x08\\x94\\xa1\\xcd\\xb5\\x10$1\nzm\\x05\\xea\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xda\\x10\\xc8'\\xdc(\\x8f\\xf07\\xa3\\xea\\x00\\xfa\\xa6\\xdeq\\xf9&l\\x16\\x914\\xfbot]9?\\x81\\xa59\\xae4uck\\xbc\\x1fge\\xc5n&\\xf0m_\\xc5\\x11"
  591. },
  592. {
  593. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xfb\\xb0\"\\x16\\x9dd\\x12\\xab\\xfe\\x8ed\\x85\\xa5\\xc1\\xcf\\x9b\\x91\\xd6\\x85ylr\\xbc\\xe8\\x84!\"*v\\x82\\x1euur\\x8c\\xa87!\\xe9\\xcf\\xd6j\\xb1\\x10\\x01a\\xc5\\x89\\xfa\\xf7j/\\x95{}\\xf3j\\x1b\\xabgt\\xfbd\\xf1\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000vo\\x03\\xda\\x84{\\xff\\xe3x\\fh|w\\x9b\\xa5z\\xe8\\x1f\\x01\\xd0'a\\xe6\\xd3\\x9a4\\xed@e\\xaay\\xbd\\xcdx`\\x1ah\\xa2\\xedu\\x03t\\x0cg(^\\x18"
  594. },
  595. {
  596. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x16\\x0c0'6v\\xad\\?\\xad\\x87\\xbc\\xac\\x19\\xda\\xff0j\\x8f\\xa2|g1t\n\\xc0\\xca\\x03\\x03\\xb8ye\\x8309\\x86a\\x9d\\xf2\\xbe\\xf1+\\xed\\xd5\\x90\\xfb\\x85c\\x8a9\\xff\\xdb\\xfe^\\xbf\\xd3m\\xf8\\xd0\\x86\\xb1p\\xd5\\x8e`\\xb1\\xab\\xa3\\xc4\\xc7wy@lp/\\x1a\\xcd\\xb2\\xa9\\x19o\\xa5q\\x93\\xd0\\xcf_o\\xacn\\xa6j\\xac[\\x9e\\xca\\xf2\\xadnjf\\xe7\\xa0\\xd5(\\x9cy\\xb5\\x9a\\xaet\\xb9\\xbf0;\\x97\\xbcn\\xb7l\\xb0\\xe0\\xcd\\xa8\\xf9\\x15\\xd8\\xc2g\\xfb\\xd1\\x08,m\\x07\\xcal\ti\\x13\\x1d?\\xe5\\xd6\\xf9\\xa7\\xf4\\xc0\\xed\\xdcs;t\\xeb2\\xfe\\xc0\\xbe\\x94\\x04p\\xc9\\x0c\\xbc\\xees4^,ol\\x92\\x02n\\x02z\\xf0\\xbb\\xa9[\\xfa\\x1c\\xed\\xdd\\xafz\\xcf\\xd42lgg\\xb2\\x94\\xde\\x9a\\xadre*\\xb7d\\xf3\\xb4\\x82\\xc9~\\xdd\\xbc.n\\xe0\\xc5\\x03\\x11\\x07\r\\x1aqi*3\\xc6\\x8b\\xdbyw\\x9b\\xce \\xd6\\xb2\\x117\\x17!~f\\xe1~{\\xdf\\xae\\xc4!\\x8d#\\x9c\\xfc\\x8a"
  597. },
  598. {
  599. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xb9,olo\\xdbq\\xffv,i\\x0f?\\xdbb%\\xd0,:\\xe27\\x88\\xac\\x90t$\\x8eqf\\x16\\xa7\\xd9\\xeat\\x89\\x10)\\xcb\\x14\\x91\\xcdcn\\x80l|\\x90\\xaf\\x94\\x15\\xf4\\xe2t\\xd1\\xc6\\xd4\\x93\\x9d\\x859g#\\xecd\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000#\\x1b\\x80\\xf3\\x1f\\xe5gl\\xd77\\xa9\\xac\\x1d\\x9c\\x08oi\\xce\\xc9\\xed\\x02h\\x13x\\x8b\\xc9\\xe8\\x13)%<\\xff\\xfc\\x88\\x91\\xc6\\xb2x\\xca\\xe8\\xbd\\x05\\xe2\\xd2\\x02\\xdd\\x1cx"
  600. },
  601. {
  602. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xe5\\xff\\xe0!7\\x86<\\x8a\\xad\\xb0\\xe9\\xf2e\\xf4\\xcf\\x1d\\x98_\\xd1<\\xf1t\\xfb5g\r\\xc5\\xf6\\x17ms\\xa3\\xf1z\\xdc\\xa7ek\\xf38\\x1b\\xe2\\xf8a\\xd5eja\\x13w\\x9c\\xe9(nms\\xa8}\\x01l;g6\\x16+\\x92\\xc2\\xba\\x91!m;\\x8c2\\xb9o\\xd7\\xa8\\xa8\\x1e)b\\xcf&\\xc6a\\xc9l\\x9b\\x80y\\xf7\\xc5\\xc9\\x15u:\\x98\\x1e\\x80\\x8c\\xed\\xcd\\xb8\\x15@\\xca\\xca\\x98\\x95~\\x96\\xec^\\xbf\\x18\\xae\\xad\\xd1!\\x9f\\xc2\\xa3\\xce\\x8c\\x91>\\xa0!r\\x0cw\\x8c\\xa1w\\x85\\x9d\\x14\\xdd1z\\x8b\\xa7\\x95\\xdfu\\x17\\xdc\\xa9a\\xb67\\x10\\xa3\\xa1\\xe9\\x86k\\x92\\x162\\x0e\\xa6\\xc7\\x05\\xc6\\x84\\xac\\x1dp].\\x11_g\\x7f\\xc4u\\xad\\xc5w,\\x0f\\x94\\xbd\\x12\\xc8\\x88:v\\x06\\xe0]\\xcbc\\x19\\xebu\\\\xe5\\xec2\\xf0g$\\x90\\xb4d\\x1ap\\x1f\\x11\\xfdq\\x8a\\x98j\\xee\\x9e\\xe6\\xf9v;\\x7f\\x9d\\xb0y\\xf8\\xa6\\x1d.\\x8dqi3\\xf9\\xfd\\xe6\\xd1\\x00:xq\\x00i\\xba\\x95h\\x87y\\xf1"
  603. },
  604. {
  605. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xddhn<\\xaa\\x93ys\\xa8\\xb2\\x83\\xab\\x89\\xbf4 \\x0fk\\x93j\\x17\\x98\\xbd\\\\xc6\\x94\\x06q>\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  606. },
  607. {
  608. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\"\\x1a\\xc5\\xe2\\x00\\xffq\\x85\\xcb\\xa7h\\xd7\\x8b\\xec\\xaee\\x80\\xbfwk>\\xa0\\x1a[\\xbe\\xfe\\xe2\\x7f\\xb1\\xa7j\\xd0f\\x01\\xa7\\xcei\\xf8h\\xd88t)\\x80\\xa7\t\\xc5 \\xdf\\xfd\\xf4p\\x9ast\\x15^m7\\xc2k\\xd3(v\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x15o\\x99\\xa36\\xde\\x8c\\xe6\\xaf\\xd3r~;\\xf4\\x8e\\xa5\\xba\\xc4_\\x90@\\xd22\\x18\\xc7\\x97k9\\xb7\\xe1o\\xbc4\\xbek\\xb3<4+]\\xcf7\\xf11\\xe8!\\xf3="
  609. },
  610. {
  611. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x046k\\xf9n\\xa7\\xc6\\xa8\\xcer\\xd9\\x1a\\xb4s\\xa8\\xa3\\xe6\\xff0\\x88\\x03ym\\x0b\\xfb\\xadw\\xaf\"t\\xa8\\xf4\\xc5?\\xb6\\x81]\\xb2\\x870\\xca.:\\x87\\x15[\\xd5\\xa3\\xd7\\x99\\xac\\xf8\\x8b,\\xd4\\xf8\\xed\\x7f^\\xc9\\xc1>\\xf95y\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000*j\\xfa.z\\x1fyy\\x8c\\xcd\\xd9\\xf7\\xc2\\xed}:\\xbe\\xd2\\xd5\\xf3\\x12%\\xbb\\xefk\\xdc\\xdby\\xb3$\\x11\\x94fqc2_\\xec?\\xc9-\\x9a\\x07\\xc1\\x91\\xb1h\\xeb"
  612. },
  613. {
  614. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010^\\x8f\\xe7\\x99\\xe4:\\xb5\\x00\\xe6\\xf7w\\xd7\\xde\\xb3\\xc3\\xabq\\x81a\\xbd\\xf6\\xd7\\xa1\\x8bd|\\x1ce\\xcc\\xf4h\\xf3\\x05d\\x0cp:o.\\xe8\\xad\\x1b4\\xf9\\l\\x86\\xa1\\xec\\xfd\\xbe,-\\xf7\\x00@\\xe4\\xb1\\xb8\\xb3\\xaf\\xf7\\x00\\xef\\xfe\\x8f\\xe6rz\\xab\\xe7\\x923\\xbes\\xfc\\xc9\\xc0\\xe9(\\xc9\\xe1\\xec4\\xc8\\x90\\xc2\\xa9q\\xe4\\xc7\\xa0*\\x92}\rxabmo\\xc6\"/\r\\xa3*\\xbd\\xdc%\\xbe\\xf1\\xda\\xbc\\xbe\\x19\\xe2\\xa0\\x89\\xcfc\\xc5\\xb6\\xde\\xd4\\xd5c\\xac\\xbe\\xf4p\\xc4\\xc1\\xc7\\xe8\\xd0\\xb6.4\\x94n\\xb1]\\xa8\\xdf\\x96}\\x95\\xed\\xc9\\x86q\\x15\\x81\\xc7\\xfa+\\xad\\xf5no\\xb2\\xd2\\xf0h\\xcaq\\xab\\xb3w\\x87\\xa5]\\xed\\x03:d\\xcc\\x14\\x93.j\\x98${*n\\x90too\\xa1\\x18\\xa5\\x84z\\xc78\\xb9\\xfbi\\x1c\\x84pu\\xcf\\x93\\xf9\\x97e\\xd2\\xc8\\xd8\\xf07 d`n\\xc0\\xef\\x7f0;\\xd0/\\xcd~c\\x04\\x0e\\x97\\xf35\\xa0?w\\x94\\x8b\\xa0\\x90\\xb8\\xabl\\x81*c\\xb7s\\x82:"
  615. },
  616. {
  617. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xd0\\x828\\xa5\"-\\x12\\xfd?'\\xd3\\x18e\\x1amzd\\x1e\\xbcs\\xd8:\\xd1\\x9c\\xea\\x9d\\xd5\n?\\xfa\\xbc\\xfaa\\xc6\\xb1\\xee0\t'\\xc1\\xe4rw\\xc6\\xd1k+\\xbd\\xd65*jzr\\x99\\x00\\xee\\xc4\\xed\\xe2z\\x0f:\\x98\\xeb\\xe9\nskme\\x13;\\x0c'\\x14\\xc1\\xceuj\\xaf\\x15\\xee\\x8d\\xe4vh+\\xa6c5{tm\\x90\\xde\\x00\\xe6r\\xac{\\xd7\\xd0\\xe7a\\xd4\\x1d\\xe4\\x10\\x92\\xc6h\\x04\\x11<\\x1e6\\x90ep\\xaf9\\x98\\x0c\\xb9p\\xd4\\xf5}\\xc3\\xdb[\\x81(\\xefq\\x92\\xac=_\\x8cv$\\x1b\\x8a//\\x08e\\x7f\\xab\r?\\xde\\xa7wyd\\x97j\\x86\\xab\\x9e\\x82\\xd4\\xdf\\x90\\xea\\x1a\\xf6\\xaeun\\xc4\\x94\\xa8\\x04\\x922\\x9f\\xbe\\x94\\x14\\x01\\xfbn\\x84\\xe7\\x9b\\xab0\\xa0\\xb9\\x95\\x150d\\x88e\\x9c\\xca/`\\xb8_\\xd0|\\x010\\xe7\\x90=\\x06\\x8f\\x1d\\x13\\xeb\\x16\\xd7i\\x1b\\xd3\\x10a\\xf9df\\x14\\x8b\\x13\\x14\\xf0\\xb8\\xf3\\xcd\\x7f'r9\\xa1qn\\x85\\xc76\\x0c?*b\\xfci"
  618. },
  619. {
  620. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xfe\\xef]\\x8c\ni}\\xe2s\\x0f\\xc0\\xe8\\xf1\\xace]\\xb3\\xcbg\\x1a\\xcb-42\\xc4m\\xa3\\xde&\\xd8b\\xa3\\x1b\\x05\\xd1\\x91\\xd4!\\xfe\\x08\\xcc\\xb8\\xa6\\xc2\\xb9\\xe6\\x19\\xe4\\x152\\x1bno\\xd1\\xe2\\xc8\\x12\\xae\\x02\\xde\\x19so3\\xad\\xac;\\x15\\xd5\\x8e\\xc5{\\x8d,\\xd7\\x96\\xbd\\xe7\\xa6x\\x03u\\xd3\\xc52\\x846\\xf2e\\x98\\xd5\\xab\\x8c\\xe2\\xb3\\xf9\\x02\\xe7m\\xaf\\xc21v\\xbf\\xc4\\xaf\\xc8+\\x821\"\\x06a\\xdfr\\x00\\xa6\\xec\\xeeis\\xf1*\\xcdn{'\\xc7t\\xf1\\xde\\xec7\\xb2\\x04\\xbd\\x17\\xaa:\"\\xde\\x0e\\xa1\\xd6\\xa8\\xd9\\xd5\\xf9>f\\xfa\\x89\\xdc\\x93\\x9b^\\xda\\xa3 \\x98kc\\xd0\\x01\\x1cl\\x8a\\xc4.\\xeb\\x02\\xbe\\x0f\\xbb\\xf1?)b5p\\xebq\\xf1\\x90\\xfd\\xed\\x05fc\\x83p\\xdf\\xdcf\\xb9\\x85x\\x95\\x8c\\xc7\\x9d\\xdcr\\x8b+4\\x0f\\x90\\x89jg\\xa1\\x95\\x19\\x99\\xc1\\x13kaz\\xda\\x92\\x89\\x92~cl\\xfbi\\xbf8\\xa2j\\x0ei\\xb2\\x0b\\xa3s\\xc4\\xe4\\xda\\xb8\\x02$\\xf9b \\xf0\\x8c\\x11"
  621. },
  622. {
  623. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xffo\\x05\\x96\\xf1\\x15$\\xc3\\xd2\\xeb!\\x14@\\xe0\\xa7e\\x06)b\\xaeshzkwj\\xda\\xfb\\xbf\\xf1\\x924\\x14\\xa3\\xa9c\\x9f.%\\x9d\\xcf\\xb7\\xbd\\xe8\\xaef\\xc4\\xea]\\x96\\x85\\xfd\\x0b\\xca\\xff\\xfc\\xd3\\xd5a\\xe2t\\xf3u\\xd5\\x10\\xcc_\\xfc\\xd7\\xe1\\xffcf\\x1c\\xa7\\x05ybq\\x97n\\xd2l\\xb9a7)\\x8c\\x16\\x8f\\xceaj\\xa7\\xdd\\xb9s\\xec\\xec\\x83cgo\\x938\\x1cf\\x98\\xbeku2h\\x05g\\x85s5\\xe2yv\\x15\\xdb\\xc6<\\xaa\\xea\\x9d\\xe7\\xc2\t\\xfd\\xfez\\xce>\\x0e4\\xdf)\\x84\\xdf\rg\\xda\\xb8kn&\\x17\\xcfj\\x86+ q\\xe9:3\\xf7\\x9f\\xfe$\\xcf\\xb6{\\x1c\\x8f\\xf3\\x9d\\x9dp\\xeet\\xfdlpms\\xe3\\x801r0\\x13\tl\\x87\\x83\\xf07@\\xfa^l\\xfe='\t\\x03\\x0f?+_\\xa8\\xd3?\\xafq\\x9e\\xe9\\xe5\\xb7\\xd0\\xea\\xdf\\x10\\x9c\\xa3h\\xf5\\xff%\\x9d\\x9a\\xf7\\xdfej\\x1c\\x07\\xc1{k\\x1e\\xbc\\x8d\\xe3\\xf3\\x1b\\xaf05n\\x1dvu\\xdbo\\xa6\\xa4"
  624. },
  625. {
  626. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xcd\\xa3\\x9e\\xe9?x\\xd9\\x8f\\xd1ub\\xc1d\\x88d\\x18\\xce\\x8d\\x18d\\xd5\\xb2\\xa7\\x86\\x05\\x94\\xaei.=\\x82\\x97:\\x05:\\xeb\\xba \\xa0e\\xc1\\xe5l\\x19'\\xbc\\x19|\\xfc\\xe1$\\x12\\xf6\\x13\\xf2\\xfc\\xecke[\\xe9{\\xea\\x1c\\x01l,k\\xa6\\xe3\\x18\\xe1\\xa29\\x99e\\x00*\\x10si\\x1bh 8\\x9f\\xda\\xc5\\xc1\\x17\\x0c\\xecrt\\x0fw\\x82\\x08\\x01\\xd7t=f\\x1f+\\x1aj\\xa5a`\\x8ai\\xe0\\xc0}h\\x02\\xeb\\x96\\xff\\xc8f|\\xa0w\\xef\\xcf%\\x03?\\xce\\xde\\x86\\x91pj.q\\xe0\\xaf+\\x90\\xa0\\x96\\xf2\\xcc\\xc1]\\xe1]g\\x01oj\\x1c\\x94\\xc8\\xc8k\\xef\\x14yp\\xee^]e\\x1d\\x07? \\\\xf9\\x8d\\xa36\\xba\\xa6\\x14\\xa0\\xe6,i\\xc4\\xb9.\\x8d\\x92\\xda\\xb5\\x012\\xe5\\xca3\\xf1\\xfc\\x10\\xdc\\x15\\xb4\\x1dycr\\xa4\\xc03m\\x1d\\xe2\\x00\r\\x7f\\x855*sc\t\\xe2\\x16 \\xa5zz+\\x07h\\xcb\\x94t\\xd8\\xc3\\x8b\\x97\\xee\\xf7\\xfc7)\\xf3:l\\xc8\\x93}\\xdaf\\xaf\\x90"
  627. },
  628. {
  629. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xd4i\\xb7\\xdfg\\x18\\x98\\xe5a\\xef\\xf3\\xf9\\x08d\\xe0i\\xf0l\\x08\\xe7\\x0b\\xd3:e\\x9f\\x85\\xad \\xfc\\x89\\x80\\xa1\\xf5\\xd5#\\x1a\\x0bu\\xb1\\xec$liw:\\x7f\\xe1\\xd8t\\xda}\\xb3\\xb1s\\xb8\\x19n\\x1d\\x90\\x97i\\x003\\x8d\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x96\\x1c\\x9b\\xbc\\x00\\xf7\\xbc\\x91\\xdc\\xa7k\\xfd\\x87z\\x8b\\xe8\\xc63\\7\\xac\\xc09q\\x02\\x1di\\x8a=\\x95`\\xdak\\xca/[zr\\x94\\xff-\\xc0\\x7f,\\xd2\\xf3\\x12n"
  630. },
  631. {
  632. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04u6\\x04\\xac\\xf1\\x9c\\x07w\\xca>\\xc1jvx\\xe2\\xda\\x87\\xc1\\xf4\\xf2\\x02b\\xba\\xa7\\xa1\\x1a\\xed\\xe6\\xb0\\x8bk0\\xa8\\x96b\\xa4=\\xe3\\x9e\\xdbt\\xda\\xfa\\xf2\\x05\\x13\\xc2{@\\x0b\\xd1\\x14\\xf9v\\xd0r\\xf7\\x92\\x1c\\x13l5\\xfe!\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x86\\xfbv\\xca\\xb0z\\xea\\x81\\xe2\\x16\\xe6\\xa4tw\\x9e\\b\\xfc$\\xad\\xe8w$c\\xff\\xb7\\xa1?\\xed\\xd7\\xab\\x14\\xbbw\\xec[lf\\x92\\xd9\\x05\\xdddo\\xc0],\\xdc"
  633. },
  634. {
  635. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xdd\\x87a#s}\\x9e\\xc0\\xe2u\\xb0\\x1cju\\x92\\xdd\\xf9\\xb6o\\xb7]\\x01\\xa8z\\x9bb\\xf5\\xe7\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  636. },
  637. {
  638. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xc8\\x10\\xa8h\r]|\\x9d\\xc8=\\xb2\\xd7\\xdf\\xb2%::\\x0e\\x92\\xab\\xd4\\x0e\\xe8a\\x91\\xf8<\\x9br_1o\\x9ah\\x92\\xf7\\xebu\\x16\\x04\\xb0\\xabk\\xd8) j\\xb2\\xc85kuh\\(\\x15m\\xc6\\x96\\x85\\xf2\\x9f\\x16\\xf7l\\x880}/\\xe9nd\\x98\\x19np]>'\\x93\\x92\"\\xcf\\x9aap\\x00t\\x9el/\\x90\\x12\\xcd\\xbbm\\xaf6\\xd3h\\xb1\\x03;k\\x9em\\x8d\\xbe\\x98\\x19}z\\xad\\xbdf-\\x0cx\\xc4\\xc8\\x006\\x96j\\x19gj&u\\x14\\x00\\xccr\\xf8\\xa1\\x16\\xc5\\x95l\\x9el\\x07\\xfe\\xed\\xbb&\\xe1\\x8fl:\\xa3\\xb1\\xea\\x0bj\\xca\\x05\\xce\\x91\\x02\\xc9e7\\x03\\xc7&\\xfa\\xb8\\xb1w-\\x96\\x0b\\xe0\\x9b\\xb1;\\x14\\xfcu\\x93k#\\xa1\\x0f\\x92\\xc8wg\\x05\\x9a\\xb2\\x8e\\xa0\\xaa\\xec\\x9d\\x80\\x88\\xf5\\xd4\\xf0fq\\xbc\\xf2\\xed\\x7fo\\xae\\x19\\x1b\\x11\\xa2]\\x86\\x83\\xbf\\xd8}\\x042\\xb5$\\x96\\xca\\x1b\\xe4{\\xb7r4\\x14\\xe8\\xf3pn\\xbf\\xd0j\\x94e$\\xbae\\xaf\\xb0\\x87j?0"
  639. },
  640. {
  641. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x0101,xr(\\xba}\\x8fbj\\xa3<``\\x05\\x93\\xab\\xa8\\xdbv\\xbd\\x8e!\\xc4#\\xba\\xa5 \\x10\\xd5a\\x9d\\xca\\x10\\x87\\xaf\\xe2u~z\\x95\\xfa\\xe8\\x07%\\x91\\xebw\\x7f\\x8c\\xfe\\xa80\\x18\\x86~\\xf2\\x18\\xc39wz\\xeb\\x0ca\\xa1\\xff5 }?\\x86o[\\x17\\xf7\\x03\\xea\\xaa7:9\\x94y\\xba\\xfa\\x12:.z\\x0cu\\xa8,\\xb1\\xa5c\\xa4\\xfe\\x0b\\xb5z`\\x90\\xb3\\xfaw!\\x1e\\xf5\\xa4nq\\xbds\\x85\\xda\\xaf\\xea4k$}r\\x97m\\x10\\x93\\x8e\\xd5\\xd9\\x88d\\xc09\\x8ahdgj\\xda\\xd9h\\xado1\\x9b\\x00-(b\\xd0\\x85;s^$\\xe6m\\x14\\xfe\\x83`\\xc3\\xfb\\xaf9\\xa7c\\x0c\\xd2@\\x9d\\xdf\r`\\xfc\\xd8\\xc7\\xc7\\x92\\xc2\\xe2\\xd2g\\x9c\\xd8\\xbb\\xf1`#\\x18\\xb4\\xe2\\xc2d\\xf2\\xc3\\x1e\\xd7\\x01-\\xc1\\xa3\\xed\\xfa\\x86\\xf1wk%q\\xbe@\\xc2\\xcf\\xed\\x1bl\\x05p\\xe4\\x7fn\\xce_-;\\xcc\\xe9\\xb6l\\x84a\\xf0\\xa7h\\xaf\\x14\\xday\\xd5\\xb0\\x17u0t&\\xaf\\x16\\xba"
  642. },
  643. {
  644. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xc7\\xe7\\xe6d\\xeb\\x08\\xf7\\xfe\\x16\\xd6t\\xce(\\x98\\x00\\xce\\x17\\xc1\\xe8\\xd4\\xbb\\x1c\\xc7s\\x80\\xcfv\\xf4f\\xa3\\x1e\\x03g\\xa4\\xce\\x99l~\\x03i$\\xbdq\\x85\\xe1\\xc4\\xd8\\xa2\\xf0\\xeb\\x84\\x86\\x8c\\xf4\\xd7\\x0f9\\xa1\\x1a\\x00\\xff\\xc1c\\xd36\\xb3\\x83\\x1db\\xda\\x8f\\xad\\xd7\\xbf\\xe8eky\\x90\\x97\\xe7_\\xb8?:\\xf2\\x90}\\x9b_\\x168#/g\\xf4d\\xe7}$\\x7f\\x16\\xf1?\\x18\\x1e\\xa1c\\xb7\\xfb\\xccotr8\\xf2\\x87v%\\x9f\\x0b\\x98h\\x06\\xfd\\x19\\x8c\\xf4)\\x93\\xcc=\\x1d\\x8d\\x10fy\\xc5\\x8e\\x984\\xa65\\xa2\\xb0\\x82q\\xe9\\x87\\x80\\x1b\\x9a\\xbf5m\\xdd\\xb9\\x0c\\xae\\xd9r4\\x8b\\xb0/\\x14\\xc6\\xae\\x96\\xad{+\\x1f\\x9ay\\\\xeb\\x7f\\xdc\\xc0\\x1cm\\x7f\\xf2f\\xa1\\x9c\\xc3:\\xb6@\\x90\\xb7\r\\xde\\xc6\\x0c\\x10\\xedh#\\xb3\\xd0\\x1d\\xba\\xf8\\xe6\\xbe)\\x04p\"\\xe0\\.tk\\x14^[\\x00c)z\\xa4\\xa2f\\xb9\\x91~\\x86<\\xfa\\x0e\\xf9\\x84\\xcf\\x07\\xef\\x1es\\x80d\\xfa\\x04\\x9a\\x1do6\\x86i"
  645. },
  646. {
  647. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x0100\\xaaq\\x8a\\x9f\\x03\\xa8rh\\xa8k\\xd8\\xb0i[a\\xede\\x9a+\n{n\\xf4\\xae\\x00\\xe6\\xf9\\xaeg\\xe7z\\xdf\\x8c\\xd0\\x88\\xf9\\x05\\x9da\\xca\\xe9e\\x03\\xd3+k\\xb6\\xe6\\xe1\\xe5\\xd8t\\xa0\\x02%\\xef\\x1a\\x08\\x8bt\\xbfs\\xb8\\xaf\\x9e\\x98\\x99i\\x1c\\xf2x\\x86\\x10\\xca`\\xca1\\xb7r?\\x1b\\x19\\x9a\\x89\\xb9\\x176?\\xf7\\xab-|\\x05\\xfd\\x8a1q\\xec\\xf0\\x88\\xc2\\x86[!\\xba\\x83th*\\x83b\\x150v\\xeb\\x8fs\\xc2\\xc34\\xd1\\x98\\xab\\x88hu\\x9fo`\\x08\\xccxk%\"\\x84o%\\x08l\\xb6\\x95\\xc9\n\\x1e\\xb8\\xee\\xe7_\\x9dh:\\xc2e\\x8b\\\\xd6\\xf8\\xf1\\x86\\xdd\\x04\\xfc\\xce#\\xf8\\xcbh\\x9f\\xb3g>#\\xd4\\x8e+\\xc0\\xdc1\\x00\\xc8\\x8d\\x15\\xd5.\\xd2\\xca\r9k\\xbb\\x15\r\\x82mt\\xeco\\xd7z\\xdd\\xabd_t\\xe6\\xd3\\x04\\xce\\xact\\xc7,g8\\xbas@/\\x9a\\xa7(\\xd0\\xb4\\x14\\xc0\\xa3\\x98\\x8c\\xb3(p;\\xcb\\xb6\\x1f\\xe4{\\y$q\\xa9\\xb5\\xa5\\xc5nd%t"
  648. },
  649. {
  650. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xbee\\x1a\\xa7\\xaa\\xf97\\xd8\\x1fx\\x1e+\\xb8?\\x01q\\xd2d\tz\\xc1\\xc6\\x0f\\xa5\\xfd\\xbf.\\xfb}\\xde\\xde\\xf4\\x0e\\x1b\\xde[\\xd4/ \\xa9\\xcf\\xafqsfu\\x9bt\\x883\\x15f\\x99\\xab\\xfd\\x83\\x8e}\\x9fpnb\\xf6\\xd2\\xc1\\xce:\\xfba\\x00\\xc8\\x19\\xbf\"!\\x1a,\\x15\\x12\\x9d\\x992t\\xd4\\x8b\\xa7a\\xb9\\xbc\\x15)\\xb7r4j\\x08\\xf0\\x11\\x01\\x08&g\\x8f.(\\xea\\x1c\"\\x0c\\x8b&u\\xe1i\\xc7\\x9b\\xf4qc\\xe8\\xb7\\xd7\\x83\\xc8{3\\xd9\\x0e\\xd8x\\x9f\\xbf\\xe1;\\xcb\\xbej3\\xd7\\xc5\\xa3\\xc9\\x17\\xa7\\xf5o\\xcbtk\\xd7\\x8d7\\xbdk\\x98\\xc6q\\xe48$a\\xf8]\tg\\xc7\\xec8\\x19\\x07\\xa7\\x18#\\xa8\\xe5l\\xf5\\x97\\xef7jd\\x1d\\xc2\\x04\\x88\ng\\x05\\x84\\xe7\\x17\\xa4\\x02\\xe8:\\x9eo\\xf7\\xfe\\xd5?\\xcb\\xfc$\\x05\\xb6]<\\xe2cx+\\xbd5\\xdf#+\\x03i\\xd2nb5\\xe9\\xfa\\xe0i\\xf9ig\\x8c\\xa8\\x06\\x0bo\\x8e\\xa7\\xbe\\xf7o\\xe9\\xb7\\xb3s\\xa4\\x82:!#\\xc4"
  651. },
  652. {
  653. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xdd5a'\\xb8\\xc0\\x90;\\xda\\x9a\\x87\\xc5\\x12\\xcc?\\xaco\\xaa\\xda\\x1d\\x94f4\r\\x9d\\x86\\x1d\\xc06\\x94\\xb6\\xfe\\x12\\xa8[\\xb9w\\x04h\\x17\\x8f#\\xf9\\xce:{\\xba8\\x19\\xde~\\x1f\\xac/\\xa1lc\\x90\\xdb\\xb7\\xa3\\x94j~\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xa6@\\x1a\n\\xac;\\xef\\xff\\x08il\\xf1\"\\xcd\\x8a\\x0ca~zl<m\\xd8h3\\x8b\\xbe\\xe6n\\xaab\\xb5\\xa6d\\xdd\\x01\\xcc\\x13\\x9a\\x12\\xd5\\x835\\xf3\\x9b\\x191\\xe6"
  654. },
  655. {
  656. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xb9s\\x90\\xec\\xa3\\x9f\\xd4\\xe4\\xafg<\\xaef,\\x12\\xaa\\xd3\\x1e\\xa5\\xc4\\xfc@\\x13g1u,>\\xca\\x08\\xff\\xba\\xfc\\xa2\\xb3\\xf0\\x9c\\x9f\\xe2~\\xd8\\xcfn\\xbet\\x9dw\\x8b\\xdf\\x96\\xcf\\x92\\xd6\\xc12\\x18\\xf0c(\\x07\\xdbc\\xe90\\xab\\xda\\xb8_\\x0b\\x1f\\x18;\\xa3\\xc2\\xd6\\xf04\\xeb\\xeb\\xdbq\\x9axv\\x0e\\x99\\xees\n\\xa8\\xef\\xf5\\x85\\x17s>$.d\\xfdupy\\x0b\\xb1&\\x14\\x9e\\x00b\\x08\\xd5{6\\xc5\\xda\\x8cs%\\xcca\\x1f\\xc8\\x12@\\xd8|\\x12\\xd9ya\\xbb\\x85\\xaba\\xa4o\\xea\\xc5\\x06l\\x87w\\x0fr\\xd6\\xa8m\\xd3|\\x13\\xed\\xc6nv\\xd9b;\\x86u\\xaa\\x9ei@\\xeb\\x9a\\xbb\\xf6\\x13\\x00`\\x0c\\x9b67\\x98g\\x9b6lc,\\xbb\\xff&e\\x9f\np_}rh\\xfa\\xfe\\xb2\\xbf>\\x08mz\\x1f\\xe0d\\xfa,\\xd7\\x95\\x8byu\\xc1\\xf0\\x89\\xb7\\x94\\xc6\t\\x95ym\\xc0\\xa7['cx_\\x89\\x11\\xd1{h\\x86\\xcdl{\\xa1\\xa2\\xb2\\x13\\xcay\\x96\\xa1\\xf2\\x9a\\x1b\\x16lf"
  657. },
  658. {
  659. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010g\\xbd\\x0e>\\xb3&\\xc9\\xe8>\\x85\\x0c\\x0f\\xe3\\xcc\\^\\xef\\x05\\x03\\x92\\xf3\\xe3c\\xf4\n\\xdd\\xc9\\xa5\\xe8r\\xb8z\\xa5\\xa5\\xbb\\x13<\\x03\"\\xf2\\x17t_\\xacif\\xd1\\x00^\\xbf\\xe5~\\x83k\\xcb\\xb4\\x1e\\x91:\\x1e\\x81g:\\x0e,w\\x9c3\\xb4*\\xca,\\x08{\\xb3\\xa7'\\xe5\\xf5_\\l\\x8c\\x99e\\x89r\\xb9\\x87pd1\\xbd\\xe3\\xd9q=\\xc3r\\xdb}\\xa20\\xe8(\\xf3%\\xb8i\\x19\\x80ckv\\xb0\\xf8\\x15\\xbc\\xb8\\xa0\\xda\\x9f\\x83\\x17q\\x83bf\\xc0\\xd9\\xe7\\x06\\x8f\\xb5\\xc99\\x17\\xb3\\x96\\xd4=\\x84z\\xe7u\\x87\\x95\\x96\\x00\\xeb\\x94\\xc0~\\x83\\xe9\\x07\\xda\\xc0\\x8eg@\\x01z\\xe14l\\xdcs\\x8f\\x83\\x8c\\x9a\\x86\\xf1\\xcd\\xe2\\xb3\\xb2\\xec\\x13u\r~\\x82u\\x9e\\xdej\\x1e\\x91\\x84>\\x91e\\x8f))th\\xa7\\x05)\\x08\\xf7\\x01\\xa7\\xb8-y\\x8b\\xfd\\x10t=\\x82\\xf5,~\\xd5\\xfd\\xdd\\x02y1h\\x8e\\x91!\\xe7~\\x16}\\x19rx\\xff\\xd3\\xa0\\x00\\xfd\\xfc\\x19\\xd8\\xe8\\xe4\\xd9\\xbb\to\\xc8\\xec"
  660. },
  661. {
  662. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xc0\\x12\\x0f\\xf2*d\\xc1\rl\\x7f \\xfes\\x0f\\xb7n\\xc1\\x95\\xc9\\x95\\xf8\\xd2d-\\xf5\\xfcx\\xa6v\\x00\\xa3\\x87\\xcd(\\x14\\x04\\xd5,\\xca}o\\xd4m\\xa7pb6w\\xff\\xb5\\x1d\\xd7\\xe5\\xb2\\xab\\xaf\\xee\\xc3\\xdd\\xaeklf\"\\x9e\\xe82c\\xd5gn\\xb4\n\\xca\\x99\\x89p\\x8e\\x7fa\\x8c'x'\\xfd\\xb4\\xce[\\x80rby\\xdd\\xdbzj\\x1a3._\\x13\\x1e\\xab\\x93\\x07\\x84,\\x9a\\xd8ldo\\x03yd\\xd8\\x81\\x85`\\x1fx\\x90\\xea\\xd3\\xe7\\xfa\\xae\\xa5\\x91x\\x02\\x91bw\\xbfo6\\x89\\xe4\\xe2\\xb2\\xaa\\xc9\\x8d\\xae\\xf6\\xb0\\x8e\\x89f\\xc9\\xa8\\x84\\x11\\xc6\\xe4\\xcf0\\xe7\\xf62]^\\x84\\x85`\\xaf0\\x16e\\xb5$drh\\xf0\\xd2\\xd4\\xefc\\x96\\xd5\\x05\\xe8r9\\x0f\\x92\\x9e\\xc9\\xed\\x8a\\xb0\\xf4\n\\xe2)hmm)^\\xdcq\\xf0\\xb8\\xd9\\x92\\xcc\\x9b0o\\xa4>\\xd8*#\\x94\\xab\\x19\\x17\\xf9\\x0cd\\xdde0\\xf9g\\x1ee\\xcc\\xd02p\\xef\\xd9\\xad\\x12\\x8a`\\xff\\xcd\\x99\\x8el\\xfe\\x10\\xcc\\xf2\\xb1"
  663. },
  664. {
  665. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xa1\\x94_\\xaa1\\xebl\\xa4\\xa01=~\\xd9\\xecc\\xbdg\\xa2\\xa5\\xee\\xeb\\xaa\\xddj\\x85v\\xe3\\xcb\\xf1\\xc2\\xf0\\xdc\\x82x\n\t\\xb4\\xa7t0t?\\xb9-\\xbb\\xc1\\xa5uibw\\xe9\\xf9\\x08u\\xa6\\xf6\\xae\\xb3\\xffvqi\\xe1\\xfdkc\\xab4\\x85\\xf5\\xe6\\x06p2\\xf7\\x8d^j\\x9fu\\x18\\xa1\\xcb\\xc8+\\xba\\xff\\x148\\xc6t\\x8c\\x7f\\x9bwvv\\x0eq&\\xc1od\\xb6\\x9d\\xd6q\t\\x89\n\\x11\\xcep\\x80;w\\xa3\\xaa|\\x80\\xe5\\x0f\\xa5\\x05bu\\x8f \\xcb>\t\\xd0\\x8du\\x12\\x9c\\xed1\\xeb\\xad\\xff\\x8b\\x90c\\xd9\\x9c\\xbfqo~\\xb5\\xb5)\\xd8d\\+\\x0e#\\x92a(e~\\xbe\\x15c\\xbf\\x80\n\\x03k\\xaf\\xeal.\\xf2g\\xa6@i\\x82\\xb9}\\xa2-\\xed\\xd9df\\x1fk\\xb3\\xba=\\xcb\\xa9x\\x8e7\\xd2o\\xd8\\x08\\xe5\\x11pgor\\xca\\xf5;v\\xe5\\x8e/\\x94\\x7f\\xea\\xcd\\xa3\\xfe\\x87\\x9by\\xe1\\xff*\\xf3\\x9e\\x1eef\\xb9\\xee\\xbd\\x1a\\xf6\\x10\\x83w\\xca\\xce\\xdcyk\\xe7%\\x1d"
  666. },
  667. {
  668. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xcc\\x1d\\xe0kd\\xb68<[\\xf6\\xdfy.\\xb1\\x155\\xcf<\\xc8k\\xcd\\xfdnp\\xd1\\x00\\xb3\\xce\\xcd\\xb7\\xe5%\\xf7\n\\x01\\x05e\\x1dxa\\x9a\\x148 v\\x06\"hpf\\xcf\\xf3\\xe8\\x14\\x01>3\\xc4\\x86\\x05.\\xb03\\x1f\\xee\\xc9u\\xd0\\xb4b\\xd2&,3v^\\xf7^\\x91\\xc5)\\xc8\\xd5\\x87\\xa6'\\xf3\\xf2\\x8d\\xb1\\xd1\\xef\\xa7\\x0f\\x88s}\\x96<\\xc3~\\x96\\xff\\x91\\xfd\\x8e\\xb7<$\\x81\\xb0\\x8e\\xf9\\xeb\\x16\\xa4\\xd5\\xec\\xe0lzd\\xa3\\x99|-\\x0f\\x17\\xe0\\xba\\x03\\x14\\x12\\xa4w\\xe1\tmj\\x94j\\x8a6\\xe2+\\xb9\\xb2\\x11\\xae+\\xbb.b\\xfe\\x96\\x08\\x97\\xe5`.k(r\\x10\\xaf,\\xbe\\xbfw\\xc3d\\xd9\\xf0\\xb4\\x9a\\xd5kiu\\xed\\xde\\xcec+\\xa6\\x89\\xafe*\\\\x97\\x94\\xef.q`\\x8e\\xb3\\xec\\xa1\\xaf\\xd7\\xa3\\xe9\\xeb\\xd4\\xbc\\x1dy=\\xf3'd.\\x8c\\xd5b\\x8a\\xb5\\x01{\\xb8\\x7fw(\\xd8\\xe6\\xe7\\xa0\\xa0\\x1edv\\xf8a\\xaf\\xdf\\xf6\\xcbx\\xc4d{9\\xdd\\x9f\\x19\\xc3\\xa8\\xe6\\x96"
  669. },
  670. {
  671. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010n\\xa6\\x9d\\x1d\\x02\\xc2\\x7fg\\x82\\xfbf\\x8b<'jl\\xe6\\x1f~\\\"\\x9alr\\x12\\x8f\\x17\\x95enmr\\x01\\x9f\\xee\\xac\\xff\\xbd(\\x9e\\xa1\\xdd\\x95\\x1af%\\xda[\\xa6\\xd9\\xa6c\\xe4+\\xbf\\x06^\\x96f\\xa5#u\\x92\\xb2\\xa8\\x16\\x1cbx\\xdf\\xb8\\xb2*n\\xc8#\\xb2\\x8b9-p^wo\\x93\\x05\\x07\\xdb\\x91e\\x93^i\\x0e&\\x83e\\x02rs\\xc0\\x05\\xff\\x92\\xd7\\x06@\\xec\\x1b\\xa3;t#w\\xf4\\x15\\x0e\\xe2\\x18\\xea)/w\\xa8\\xfali\\xbf\\xa4,v\\xfenn8q\\xb9^\\x0c\\x1a\\xd8\\xce\\xec\\x03=)\\xbc\\xee\\xd6d\\xa2z\\x93v\t~\\xda\\xb7\\x0c<\\x80\\xe5\\xb1\\x86\\xe6c3\\xf0\\xb2\\x89\\xf7y7\\xa7\\x13ri\\x90\\xd0\\xf8_\\x057\\xee_\\xd4\\xa0d\\x0c\\r5\\xbe\\x8f4\\x7f\\xab,nc\\x14\\xb9\\xc1\\xcc\\x18y\\xedj~\\xa5q\\xcb \\xef\\xd3\\x03}\\xeb\\xe9=cj\\xde\\xb5t\\x06j\\xa7\\x1f\\xd1\\xecc\\x0b\\xb3\\xcd;(w\\xbd\"\\x8d\\xe6\t\\x19\\x85\\x89chl\\x8c\\xd0"
  672. },
  673. {
  674. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xcb\\xc2\\xc0y\\xbb\\xf6v\\xcdsf5\\x11\\x14{a3j\\xc6bt\\x85\\x02\\xa9z\\x81\\xbb4n\\x97\\x0c#\\x8eb\\xef\\x06\\xc1\n^j\\x19\\xf2\\x1b\\x8a|\\xcd\\x8d\\xc7\\xcf\\xa2\\x9ay\\xbb/\\x93\\xac\\xf1\\xb6\\xd4\\x82^\\x0c,\\xf2\\xec]#8\\x0b\\xe75\\x92\\x87\\x18\\xe7\\xa7y\\xaf\t,c\n\\xe0hk\\xb9\\x8cu\\x0e%\\x8c\\xd8\\x92\\xf6|\\x14\\xe5}\\xfa\\x9b\\x8a\\x1b\\x8d\\x9a\\x05\\xf25\\xe1\\xbe\\x90\\x07\\x96\\x97\\xf0(\\x04\\xec\\xec\\xac\\xbc\\xc7fh\\xdb\\xe9\\x8b\\xae4g>`\\xb2q\\xb3[b\\xcb\\x93r\\x91)\\xa4\\xb4\\xec2\\xbe\\xce\\x12\\x88\\x06,eq\\xa1}1\\xda\\x9eg\\xb9\\xb9\\xf3\\xda\\xa6\\x9b\\xd5\\x1c\\xe1koh\\x9fqkdg\\xb5^~\\xf4b\\x96\\xcf\\xd0\\xbb45a\\xa7\\x11\\x96\\xe5\\x889\\xf6i\\x86n\\xa2\\xac\\xa9\\x11\\xfbc\\xff4\\xb2\\x18\\x7fd'z\\x16\\xd5*\\xa64t\\x8a\\x96uc\\x80y\\x14\\x87\\x08\\x87\\xd3pn)\\x98\\x8e\\xba\\xd2\\xbb15\\xb6\\x0f&\\x04z,\\x00\\xff\\x82c3\\xa9|"
  675. },
  676. {
  677. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010{\\x92a'\\xd7\\x1d\nixi\te\\x84\\xb8\\xf7m\\xecw\\xba\\xd4\\xea$\\xe5\\xdav\\x9f~we\\x83\\xaf)\\xfe\\x91]\\x0f\\xd6w\\x13\\xae7\\x91\\x15ta\\xaa\\x05m/\\x17d\\x8d\\x89\\x1eva\\xe3\\x9c\\x81\\x96\\x1a,\\xd3c\\x80a\\x08)\\xd5&\\x04\\xc2\\x99\\xac\\xe6\\xcb\\xd7\\x1a\\xbe\\x1f\\x1c\\xf4\\xe1\\x1a\\x1e\\xa54f\\x89\\xe4\\xe8\\xcc\\xd8r\\xc20^>\\xd7\\x83@$\\xf2d\\xb2\\xff\\xfb\\x93t\\x91\\x16\\x99\\xde\\x92\\x14\\x8b\\xd0\r\\x11t\\x9c\\xdb\\xcd\\xaem[\\xed\\xc1v\\xec_\\x1f\\xe4:b\\xe72\\xe0\\x12\\x1d\\x85b\\xed\\xd4n\\xf3\\xe1\\xcf}\\xb0\\xeec~\\x87o\\xbd\\xff\\xc0\\xa4z\\x8c\\xb8q\\xeb\\xf7\\xb8z\\xda\\x10\\x99\\x14\\xbd(-\\x0e\\x04\\xb8\\xb3xk7\\xb6ml\\xf2\\xb1\\xdf?\\xf0\\xe5\\xf2\\xf9\\xda\\x06\\xb58@df\\xa9\\xe4\\x00\\xa8\\xf7\\xf7\\x9f\\xa2?\\xf3\\x8ct\\x9er,\\xb3\\xfd\\xdd\\xebn)j9_y\\xc18\\xf0\\xfb\\xdfv)\\x06\\x1b\\xd0\\xce\\xa7\\xea\\x15+\\xc9\\x94\\xa5\\xc5\\x00\\x9b\\x0e\\xed\\xda\\xc2\\xb7\\x12"
  678. },
  679. {
  680. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x8f\\x17\\x90\\xd5\\xb7r>;\\xde\\xa9\\xe9\\x03\\x93\\x13\\x16\\xf1\\xb3\\x16\tm\\x88\\xe0qq;*+\\xb5\\xb6\\xf3y\\x02\\xc7\\xcc\\x8ar\\xe1blw\\xe8u}\\xa2=\\xf1\\xb7\\xd0\\x1f\\xa2\\xd0\\x07-+\\xb9\\x07?\\x16\\xdd+*\\xf7n\\xcb\\x00\\xeex\\x02\"\\x0es\\xbdy*\\xe3\\xe7\\xb3\\xd8\\xd5t\\xff\\xe1\\xdc\\x1e\\xb9)\\x13\\x9e\\x93\\xe7m\\x8d\\xa8\\xf7{\\x96<\\xd0\\xecc\\x13$\\xff\\xf0e\\x0f\\x0b\\xd4\\xbb\\xa1mza\\xfe|\\xec\n\\xecw\\xb3\\xf2\\xc2c|^\\xc7\\xb2\\xa8l2\\xdc(\\x1f\\xee\nq \\xfav\\x8b\\xban\"\\x08#\\xe8\\x8di5\\x8e(\\xe9\\xeecgw\\x93\\x13\\xa9z\\xab\\xf4\\xda\\xd1\\xa5\\x1dz\\xbcb\\xd0\\x8d\\xe6\\x85\\x89\\x16\\xa2\\x0fi\\xc9\\xed\\xce\\x96\\xcc}n;\\xb1\\xcb\\xfa\\x06\\x87\\x16g\\xc2`\\xc2\\x14jh;gl\\x1e\\xfeg\r'\\xb6\\x1c\\\\xe7rth\\xbd\\x05f\\xe5!\\xe6\\xc3,.d0w\\x11\\xf5o\\xeec\\xe9\\xa5\\xb4\\xfc2\\xd7p\\x843\\x11=\\xbbm41akt}^"
  681. },
  682. {
  683. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x01\\xd0\\xcd\\x17a\\xc3\\xc2`\\xfav\\xba'c\\xa1\\x83\\x02-&\\xeb\\x02\\xba\\xb3\\xb3\\xe6~\\xa2\\x1bkf\\xd2\\x1c\\x8c\\xaf\\x0e\\x17m_\\x85\\xbd.\tq\\x94\\xbb\"?\\x06\\x9aq\\xe3<\\xf9\\x11\\x0c\\xbb=\\x86dd\\xe2\\x08f\\xda\\xb4\\xfd\\xe3h\\xfe\\xdd|i\\xd4\\xaa9\\x91\\x0bcx\\xc1\\xa3\\xf2iko\\x06y\\x9bjw\\xff\\x81\\xc3\\xd7\\x1d\\xabos:]\\x9a\\xfanwbi\\xf3\\xb9b\\x14\\x8fb\\x90\\xe7\\x91!\\xc6\\xf6\\x8c\\xd5\\xe8\\xc0f\\xafnnz*\\xac\\x12\\xb1\\xb5\\xfbl'&4\\xdd\\xa46+!lh\\xb3s\\xcbld$%\\xff\\xcb\\xfbdx\t0-\\x05n\r\\xfap2\\x8a\\xb6\\xe5p~jp\\xfa_o\\xbb\\x0e+\\xc2\\xad,e\\x81\\x9c?er\\xd7\\x86\\xbb\\x0c\\x1d\\xee9q\\xfdx\\xfb\\x19)\\xb5s\\xaa\\xa2\\xaf\\x0cisi0=\\x03w\\xfcf\\x1a}\\x7f\\xaf\\x06\\xad\\xa0\\x14\\xe4\\xecjh*\\xca\\x1c\\x91ka\r\\xa0\\xaff\\xdf\\xben\\x9a\\xc3o)|\\xe3\\xa9\\x89\\xc6r\\x1b\\xce"
  684. },
  685. {
  686. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\x05\\x19\\xaa\\xf6\\xe5/&\\xba\\xb6\\x18\\x9a\\xad\\xa8\\x03l\n\\x14\\xd7\\x83\\x9c\\x1d\\xf8c\\xdd\\x02\\xdc\\xb5\\xe3\\xbe\\xa2\\xf7\\xdc\\xf2\\xcba\\xe6\\x93b(\\xe7t\\xadn\\xc7{\\xdb{\\xc1\\x81\\x8cu\\x8e&\\xd9o\\x06k\\x18\t\\x98\\x89\\x8di\\x82\\xc2\\xc9gq9\\x98b>m,\\xb6c\\xfe\\x9f\\xc3px\\xcbgc\\x95w\\xfa\\x87\\xb0\\x85{\\xb8\\x94\\x80\\xe48\\xfd3\\x11\\xe78jd\\xcc\\xe0\\xa0\\x95y\\xdd\\xef!\\xf3\\xa4\\xdb@\\xb5\\xa0y\\xe1\\x1b\\x11\\xbd\\xc5+,\\x80\\xab\\x89\r\"\\x9aa\\xf2na\t\\x179?\\x02\\xc8\\x15\\x06\\x15\\x0f\\xe3\\x8a\\xe2\\x88q\\xce\\x08?\\xc9\\xf7z\\xcd\\xcf\\x166\\xeb\\xda\\xb7\\xff;k(\\x12>fr\\xee\\xe2\\xa9m\\x9a\\x82`\\x8e~\\xfe\\xe0j\\xe9\\xbf\\xdc?\\x86\\x98e\\xca\\xc5f\\x93\\x02\\xab\\x08\\xd3\\x83\\xb5\\x97p=\\xc4p\\xa2ga?\\xf6<\\x9c\\x1dh^?\\xed&\\x10\\xd7\\xc8\\xc0:\\x07y=*\\xf7^\\xb7\\xa4\\x11\\x8a]<\\x18\\x1a\\xd7\\xf6\\x12\rt\\xa6\\x86\\x13k'\\x17\\x11w/"
  687. },
  688. {
  689. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010`[q\\x1d\\xd2\\xc2\\xa3{\\xe4\\x90i\\x10\\x0f\\xc4\\xadw\\xeb\\xd1\\xf0\\xee\\xe7vo\\xb0:\\xb59\\xf6n\\x16\\x8fj\\xf7\\x98\\xfd\\xe4\\x93\\xd5\\x9e\\x0f'\\xbe\\x18&\\xe4j\\xec\\x16\\xec\\xd7\\x02\\x8f\\x98\\xd4,4\\x8d\\xb2p\\xc9husb\\x86\\x1e\\xb0\\xc5\\xe2\\x16\\xec\\x99\\xba\\xb9\\xecs\\xf4\\xe5a\\xee@\\x86\\xc6ax\\xc4\\xf1]\\x95\\x90\\xafu\\x1d\\xd4\\x8a\\xacdf^\\xaf\\x97\\xcd\\xb8\\xa4|\\xf9\\xc8\\xc0\\xaa)+\\x12\\x1a\\xf7\\x8d\\x04\\xeb\\xd5!\\xaf\\xb0\\xc7\\xbe\\xf3\\xc4\\x1bi\\xcb_\\xee\\x9b\\x99\\x8d\\xe5\r\\x82lt\\xb9)\\x0c\\xc8\\xcf\\x83t\\xbfee\\xe7\\xcdvbc\\xb1\\x7f\\xfea\\x08mq\\x83\\x97\\xa1z\\xd2!h\\xbf\\\\xe1z(\\x93\\x04\\xc1g\\x9a%}\\xa0~\\x95\\xa8\\xfd\\xebs\\xcf\\x9e\\x8c\\xb8}xx\r\\xea\\x81\\xe9\\xd0\\xddb\\xc7\"\\xb5&9\\xa8\\xf0y|\\xe5\\x05g\\xdf=\\xe1lg\\xd9\\x15\\xd9\\xb2q\\x10\\xbe62\\xe1c6r\\xac\\x8a\\x04\\x96\\x05\\x90\\xe4)y\\xb4g\\xaf\\x7f\\x1e\\xe4\\x92\\x01\\x15\\xb1u\\x8a"
  690. },
  691. {
  692. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x90z\\x8fq\\xd1(\\xf33;\\x08\\xb6\\xd5\\xd90\\xd22\\x83\\x87y\\x93\\x9d\\x8d\\xeb\\x11\\xed\\xfb\\xf5<\\xca\\x00\\xf7\\xc3a!\\x12\\xba.\\xdc\\xf3y\\x0e\\xbbw\\xef\\xa5\\xe4>\\x1crs\\x81g\\xc6q\\x00\\xf9i\\xf6\\xb6\\xc0\\xcb\\x15\t\\x80\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x19\\x04\\x92\\xb9e\\xc2l\\x8ea\\xc5\\xf1\\xec\\xad\\x94\\x87\\x16a\\xd9?\\x90\\xe3\\xf4h6\\x14)\\x11\\x80\\x1bnx;a\\xe7\\xfc\\xc4\\xc7h\\x87t\\xdc~\\\\xdbl/-^"
  693. },
  694. {
  695. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xddr\\xa3\\xc7n\\x1c\\xc9m\\xe7\\x9f\"\\x8b;\\x0b\\xea\\x1fu\\xe2\\x8b\\xb8\\xa0{d\\xc6\\x0c\\xac|\\x84\\xa9\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  696. },
  697. {
  698. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdd\\xa8\\x17o\\xcfh\\x99\\x0ckc\\xdc\\7\\xa6\\xda^\\xdd-e\\xd3\\xb1\\xcd\\xa9\\xe6\\xa9m\\xed\\xc8l\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  699. },
  700. {
  701. "http_request": "winword.exe_WSASend_f\\x00\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xddx\\xbel\\x1ew\\xc0c\\xdf\\x16\r\\xdcb\\xc4\np\\x9e\\x8a\\x02{\\xd0\\xa3n\\x9a5\\x97\\x07\\x0c\\xa9\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  702. },
  703. {
  704. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xddy\\xc9\\xf6\\xf5\\x84a\\x8c\\xc81\\xac\\xe4a\\x08\\xeb]\\xeb#\\x90\\xf8\\xea\\x8c\\x8d\\x97\\xa1[\\xc8\\x02q\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  705. },
  706. {
  707. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04x+g\\xcc\\xdb\\x0b\\xa6\\x9f\\xf1\\x8d\\x91\\x97\\xc0\\x0c\\xd4\\x14\\xd3\\x8a\\x93\\x9b\\xcf\\xd7\\xf8\\xf3l1\\xeb\\x1a\\xde2\\xecvnvq\\xb7@\\x8e\\xc2y\\xd6\\x02\\x82@\\xed\\x7fo\\xb5\\xb4\\x98\\x94\rn\\xd2\\xe9\\xa5\\xdc9<v3\\xdb\\xe0m\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000y\\x92\\xe3u\\xab\\xe0\\xf7\\xcc\\x11\\xb4\\xd4\\xfa\\x1e\\xac?#k\\xff\\xabb\\xa1h\\x99\\xc3\\xf2\\x93o@\\xf0\\xe7 \\xcd\\xfa\\x15\\xf7\\xf4|g\\xb2\\xaa\\x12\\x97\\xc7{:\\x8d\\xab\\x82"
  708. },
  709. {
  710. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xdde\\xe5\\x95\\xb6\\xa6\\x8e\\xd4\\xf9\\xed\\xf6^\\xbd%\\xf82b[\\xc6\\x9f^\\xac\\x8bv\\x08_\\x8e(\\xa6\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  711. },
  712. {
  713. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04,i\\xe8\\xf8r\\xd5k\\x04\\x18\\xe3;\\x95\\xa9\\xd1\\xd2\\x02\\xc9\\x94\\x80&\\xdas\\x82\\xb1\\xb8\\xc5\\xbdv4\\xa7$#.\\xef\\x079,\\l$\\xe2\\xe2\\xffh\\xdc\\xd8{j+y\\xbd\\xc2\\xd3\\xdc8\\x9df;\\xbd\\xa8\\x16\\x15u\\xd6\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xd7\\x8f\\x9b'\\xd8\\x1a\\x18\\xaa\\xd5\\xaf\\x1d\\x1b,\\x13\\x0e\\x84\\xca\\xed\\xfeh\\xab\\xeb\\x88\\xa3\\xf6xa\\x7f\\xb1\\x8c\\xe2je\\x8b\\xcb\\xab\\xe6\\xc78\\x95\\xf1@\\x1e\\xe9\\x01\\x1byv"
  714. },
  715. {
  716. "http_request": "winword.exe_WSASend_\\xca\\x00\\x01\\x00f\\x10\\x00\\x00ba\\x04^\\xa5<\\x07\\x05\\x9f\\xa8\\x02v\\x07sw\\x8bk\\xa3\\xe4&\\xd1a\\xd3\"\\x99\\x89*\\x1ba\\x1b\\x9a\\xed\\xbe\\x97\n[n\\xc9\\x9bn.\\xc7\\xd1\\x15\\xf0\\xa0\\x8c\\xd3\\xa3\\xb7&g\\x80 t\\xfa\\x0b\\x12ap\\x02\\x81\\xe5h\\x80\\x819\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x1a\\xc2t\\xed\\x85+'d\\x90\\x8d\\xc9s\\xaa\\xbbr\\xf3p\\xd0\\x1a\\x1d\\x1a\r\\xdf\\x18\\xc2\\xb57\\xe2\"\\x04\\x06\\xebc-u\\x95x\\xa2tpe\\xea\\xea\\xf2[\\xb4\\x10\\xd5"
  717. },
  718. {
  719. "http_request": "winword.exe_WSASend_f\\x00\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x9c\\xf1\\x87\\xa9\\xf2\\x98\\xd6\\x10h\\xf4l\\xb2\\xb8\\x9c\\xbb\\x8eq\\xd81\\xc36\\xdf\\x04me\\xa0l\\xc0*o\\x15z\\xccn\\x8bb\\xed\\xdf\\xd8n\\xc0%\\xbb\"\\xfd[c\\xfe\\xc1\\xd6\\x1c\\x9dj\\x7f\\xe0\\x11@\\x90\\x9c\\x1b\\xaf?\\x8d.\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x89\\x18w \\xd4r\\x0e\\xe1\\x83\\xf2y\\xdcneqk\\x9b\\x9e\\xe2\\xc0\\xcc\\xab:zf\\xbf\\x99\\x9b\\x94q\\x0ed(gh\\x9ce\\x912\\x1aks\\xaf\\xcb\\xec\\xde\\xf6\\x81"
  720. },
  721. {
  722. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010-\\xd0'a\\xecb\\xcaim\\xba\\xb0#\\xd4\\xda\\xa0=\\x0c\\x83\\xa5\\xb5\\xb2\\x8de\\xe8\\xb6\\x7f\\xfc9\\xc80\\x19\\xaa#x\\xb78\\xc6\\xbf\\x1f\\xad\\x19rk\\xd2\\xbb\\xc3\\xda\\x85\\xb4z\\xa3(!d\\xe8\\xaa[e\"\\xe7\\xea\\x1c\\xb4\\x89\\xca\\xff2q\\x0b`.5\\xb7\\x03l\\xa5\\x87s4\\xb7\\xfcm\\xfb\\x82\\x10^\\xcaz\\xa0mz>p\\xe5m\\x9c/\\xca\\x98`fc\\xa3\\x8b\\xb6\\xee\\x13\\xc1k\\xe6\\xd3\\x13\\x99\\x04v\\x0beko\\x7fkl\\xac\\x0c\"\\xc6\\xad\\x18\\x12b\\xb0\"\\x8d=\\xd9e\\x1a\\xc2w\\xf3@$l\\xd2j\\xc9t\\x81}jj\\xf2(\\x1e\\x99l\\x19|\\x89\\xb3$\\xf6rx\\xf3\\x07\\xa6~\\x18\\xb8\\xc2\\x93\\xc86xx\\xef|\\x93\\xcb\\x89\\xcd\\x87|\\xc2\\xfak\\x95\\x8b9\\x02\\x9a\\xea\\xed\\xa6\\xf4\\xed?\\xe3b@\\x97\\xa7\\x8f.\\xb9;\\x9d i$en\"\\x98\\xd3\\xdb\\x11\\xed\\xd0\\xf7\\x8a\\x9cv\\x03{\\xdd\\xe6\\xc6\\xa0b\\xe0\\xe2ah\\x97r\\xfd\\xb6h\\x86c\\x81\\x86p\\xa4>\\x00\\xf9~\\xea"
  723. },
  724. {
  725. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xde\\xfa.\\x1e\\xb2- !f=\\xc1\\x98\\xd4\\x92>t\\xc5\\xb7afxey\\xdb\\x17\\xd2\\xb7g\\xfb\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  726. },
  727. {
  728. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xde\\x08\\xc6\\xdf\\xa74\\x8e=_\\xfe\\x87\\xfa'e\\x10\\xc2q\\x08e\\xe0\\xca\\xd2\\x8a\\xa9n 8-\\x92\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  729. },
  730. {
  731. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\xd9c7#2\\xa4\\xfb\\x19\\xc9;@\\xf5\\xff\\x96\\xd4\"\\xb8d\\xec\\x16*\"v\\xf7\\xdc\\xd5\\xd3\\x89\\x1bi\\xd7\\x07\\xef\\x19\\xdd\\xb1du\\x0c\"\\x9a\\x1e\\xa8)\\xf24\\xd9\\x85\\xff\\xc9\\xa5\\x83\\xb8\\x11\\xb2\\xf2`k\\xac+\\xcac\\xb5\\xb5\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x15`%\\xfe\\xda\\xd6\\xae\\xfd\\xe7~omf\\xa2e8\\x85\\x03*7\\x8e\\xe5\\xd6\\xf9\\xc6\\x029\\xc4\\x15o\\xd4\\xa6q\\x16\\xc4d\\xbb\\\\xff\\xf4-\\x04l\\x9c\\x82\t\\x8fy"
  732. },
  733. {
  734. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xd4\\xab\\xfas?7\\xdb\\x00y\\x8f\\xc2\\xa3\\xf9rd|\\xd2x\\xbb\\xb8\\xae_l\\x98f\\xc2\\x85\\x0eu[\\xde$\\xca\\xe4\\xe4\\x00w\\x1bl\\x1d\\xf9n\\xb3\\x90\\x87\\xa5,\\x95\\xdc{\\xe0\\x95dy[5\\xeb@\\xa7\\xe9\r}\\xa3l\\xc3\\xdc[\\xdbu\\\\xdfm\\\\x93\\xcc\\xb8f\\xab\\x01?\\xbc\\xe5\\xa5\\xadq\\x92\\xe1\\x01_\\xfc\\x95l\\x1b\\x1e\\xbb\\xa5\\xfa4\\x0e\\xc1[^\\xac\\xc6\\xadh(\\x9f\\x9d\\x06}1\\xe0\\xccd\\xf0qn\\xdc\\xbe\\xb4\\x82x\\xb8\\xbeh\\x9543\\x0c\\x9b\\xde\\xd2\\x0c\\x86\\xb4\\x90\\xf8\\xa3\\x85\\x03\\x0b\\xad\\xd7\\xdf\\xfd\\x99\\xecn\\xb3\\x91\\xe5\\xe6e.\\x07\\xaa\\xce\t<\\xd4\\xa3\\x98\\x01\\x16\\xf3<\\xac>\\x97$\\xd6\\xdb\\xf5\\xcfz\\x1b\\xfeh\\x93\\xdd\\xb2\\xdbx:ipkb)\\x02r\\x03\\xbc\\xb7l\\xe0\\xe9yjn\\x19\\xa7\\x94\\xf9\\x16,\"\\xb16\\xc5\\xd9\\xd1\\xecoc}\\x1c\\x06\\xc1\\x04\\xb5\\xeb\\xaej]x\\x86|(\\xa9\\xd7\\xcf!\\x0f\\x04\\xf71\\x10\\xf0[?\\xca\\xc9\\x0b\\x88|m\\x8f*\\xed"
  735. },
  736. {
  737. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010-\\xc5\\xd1\\xd6#0\\xe3\\xd6]\\xdd\\xd5kx\\xeb\\xc0\\xda)v\\x17r67m\\xcb\t\\x879\\x1a\\x9cl\\x90\\x93\\x92\\xbf\\xc8k\"\\x7fu\\xe7\\x9f\\x83,\\xb7\\xa6\\x81\\x1e\\x1c\\x8dt \\x9d\\x9e\n\\x19\\xeb\\xd0b\\x8e;q\\xafi\\xef\\x98d\\xeaf\\xa5n\\xc3\\xa3\\xef\\xee\\xcd=\\xc2\\xfe\\x07\\xd0\\x8a\\x11\\xa0\\x87xdi\\x80\\xbb\\xb2\t\\xd2\\x9fz2p\\x98\\x8bm\\xf9\\xbe\\x1f46\\xe4\\x17\\xd9\\xe8]q\\xfd\\x81\\x8b\\xa8\\xa1\\xf7\\xfdt\\x02\\xc1\\xbf\\xdd\\x02\\xb51\\x19\\x98r\\xb9\"\\xb0:\\x16\\xc4\\xa5\\x0b\\xdf\\x0b\\xde3\\x83p,\\x07\\x1a\\xd2b\\x1d\\x80\\x89\\xef\\x7f\\xa31\\x95\\x0c\\x9b\\x97\\xba\\xe8\\xcb\\x87;\\xadt\\xa4\\xc7-}\t\\x1c6\\xccj\\xeah\\x10$\\x87\\xfc\\xdal\\x8db\\xb8\\x80\\xe7\\x98\\xfb\\xaf\\x99g\\x88yj\\x10\\xd1\\xcdj6}\\xf6<\\x85^xh\\xfd\"\\x91\\xdcv\\xd3\\xb8d\\xda[\\x92r?\\x8f\\xdd\\xff\\xec\n\\x15\"\\xbc\\xa7\\xace\\xe3\\xb9\\xdc\\x9fe\\x1a\\x99;\\x90mn\\x91ep\\xd4-\\x1d$\\xdb\n"
  738. },
  739. {
  740. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04\\x8c\\x99n5\\xc6\\xc3\\xd7\\x03xn\\x07\\x85\\xa7m/\\x1bu|\\x16\\xdb\\xb3\\xa7\\xa6 \\xd9\\x1c\\x9f\\x88\\xd40\\x12\\xe2w\\xc1)\\x05>3\\xf9\\xaa\\x06\\x07\\x16\\xb4\\xd0\\x1d\\xe3\\x07\\xb3\\x92\\x00r_\\xcbg\\x08\\xfe\\xa8?\\xd7\\xe0\\xe5\\xcf\\xfd\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\x9b\\x9d9\\xfe\\xe20x3\\xf6\\x13\\x02\\xca\\xee\\xa6\\x1c\\x0b\\xed\\x9e\\x0e(\\xfes\\xf6\\xcdot\\xc8h\\xa6z\\xb8j.\\xdd\\xfa\\xa4\\xd2c\\x99g(\\xd4l\\xba%\\x01\\xfe\\xaf"
  741. },
  742. {
  743. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00f\\x10\\x00\\x00ba\\x04m\\xac\\xb0\\xd7\\xd9\\x05\\x06:\\xdc\\xde'\n(\\xceqk\\xd1\\xe8\\xb1\\xaet\\xe4\\xdfo\\xacxiw\\xb5\\x80\\x96x5\\x01\\xb5\\xe4\\xb8\\xbd\\xc8\\xe6$\\xfcsz\\xaf\\x07\\x1f\\xe9\\xcbp\rz\\x8b|s\\x99\\xb6\\xe2\\x89\\xbb\r\\xf5\\xba\\xc1\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000\\xd1\\x81\\x81;\\xec2oo\\x1c@r(0g\\xf1\\x95\\x9b\\x9b\\x9a\\xc4\\xb8\\x8e\\x04\\xfd\\xf0\\xb8\\x95*\\xab\\x9dg\\xca\\xe7\\x13\\x14\\xc3:5\\x18c\\xc1\\x8a\n\\xa4\\x01\\xb9&>"
  744. },
  745. {
  746. "http_request": "winword.exe_WSASend_\\x16\\x03\\x01\\x00\\x83\\x01\\x00\\x00\\x7f\\x03\\x01]\\x078\\xde\\xf4\\xeb\\xe3\\xdc\\x1fs\\xa2r\\xf9b\\xce\\x83\\x014\\x00\\xa5 \\xd6\\xa6@7\trw?z\\x16\n\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00>\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00%\\x00#\\x00\\x00 omextemplates.content.office.net\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  747. },
  748. {
  749. "http_request": "winword.exe_WSASend_\\x8e\\x00\\x01\\x00f\\x10\\x00\\x00ba\\x045\\x88\\xe2v\\xb7\\xc5\\xb3\\xfam\\6\nai\\x0e\\x96\\xa2sod\\x9fd\\xb0\\x19{\\x8b\\xaf\\x01\\xda\\xdc\\xb4k\\xd6)\\x197\\x85\\xfe\\xfe\\xdd\\x98\\xec\\xa7#\\xe5\\xdcll\\xd3y:|\\x1c\\xb0\\x00\\x11\\xc8\\xec5l>li\\xff\\x14\\x03\\x01\\x00\\x01\\x01\\x16\\x03\\x01\\x000d\\xbc\\xe2/\\xf0\\x9dc\\x8d\\xb4\\x96j\\xfe\\x84rkb24\\x8e\\xb2?\\xec\\x84\\xa7&\\xda\\xa3<\\xb7\\xe1\\x86\\xca\\xc2\\x90\\x9f<\\xfb\\x15\\x10>\\xa0(\\x01\\x9f\\xbe\\xc8\\x8em"
  750. },
  751. {
  752. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xbcf\\x93\\xeb\\x92wp\\xe3\\xc02\\x1e\\x01:\\xe6\\xf8kn\\x0f\\x04\\x10\\xcf\\xdf\\xef\\x0218\\xcb\\xf8=v\\xd87\\xe3-\\x9a\\xf3m\\xe3\\x8e*\\xf4qn=$@h\\x87y+\\xd6h=kd0\\xc9\\x92\\xed\\xcf\\xcf4\t\\xa6\\xe0r,\\xd3\\xb4i\\xb1=\\xa0r\\x11m\\xfec\\x9c7j\\x03\\xc0\\x81\\xd4*\t\\xd5\\xb4\\xb7o8\\x86q\\xa5t\\xdb\\xca\\xbb)\\xaf*c(\\xca\\xa0i\\xa4\\x90\\xe7\\x88\\x8ap \\x01\\x97\\xbe\\xcc\\x9ak\\xbd\\xbf\\xf2g\\xa1\\xf7wq\\x93\\xa0\\xdb\\xc8\\x00\\x15\\xee\r\\xa6\\xd6\\xb3\\x05\\xea\\x81\\xd7w\\xa6oo\\x83c\\x1a\\xe2t\\xfe\\xf4\\x063\\x91\\x0f\\x13\\x1a\\x9d\\x0c\n\\xc5\\xfa>]\\x89\\x14\\x12\\x93\\x0b\\xd0r\\x87\\xedl\\x81\\xd1;8\\x10y\\xd9\\x16\\x92\\x1ay\\x0f%\\x88~\\xb3.\\xb36\\x8c\\xbc\\xf6\\xc9\\x93\\x19\\xa1{\\xff\\xcd\\x85\\xedx \\xd8\\xdf\\xe6\\x1d\\xbc\\xde\\xda\\xac\\xdc\\xc8\\x8d?\\xd45,4\\xfc\\x10.\\xbdh\\x17\\x19\\xdf\\xa4\\xd0z\\x12h#t;\\xff\\xbd`\"\\xf6\\xd3<c%"
  753. },
  754. {
  755. "http_request": "winword.exe_WSASend_\\xc4\\x00g\\x00\\xe0>\\x8d\\x10*-c\\xfbf\\x86\\xf41\\x1c\\xb6i\\xd8\\xcc\\x89\\xf7\\xb3r\\x84\\x03\\xe9^\\xf4\\xc9\\x1f\\xe9ci\\x04/e\\x94r\\x99;(\\x82\\x93\\xb9\\xb5[\\xf1\\xfd \\x91\\x169huw)\\xed\\xf6\\x8b\\xd8\\x07h*u&(-t\\x86\\xbe~\\x04\\xf3\\x17%\\xa2\\xf1\t\\xbd\\x00\\x8a\\xfe\\xb6\\xa1\\xd3\\x06\\x92\\xf4i\r*2\\xa6\\xcf~\\xf8\\xd3os\t\\x0e\\xe0x\\xb7\\xfc\\xa9j\t\\x0c\\xb8+\\xf1\\xdeq\\xaf\\xfc.\\xab\\xb2\\xc6+2o*g\\xb3\\xb8|\\x83+\\x14\\x01\\xef\\x94\\x19\\x8c\\xf3\\x13\\x9e5\\x91\\xdc\\x9a\\xb2&\\xa2e\\xa2\\xbe\\xc0\\xaf\\xa4\\xe7}2c\\xca}\\xcd{\\x91\\x11&\\xadg\\xf0;\\x86\\xe6\\x05q\\xcf\\xdal`,\\xf1j\\x93!\\x8b\\x9e\\xfe\\xc5\\xb25\n\\x9a8\\xbal\\xc9f\\xd90we\\xaf2\\xde14\\xa0\\x05\r\\xfay`dgz\\x82&n\\xcd\\x1f@\\xbd\\x1f\\x1c\\xe1\\xa6\\x07\\xd1%\\xf6;\\xd0\\xfb\\xa7[\\xd1{e\\xcb\\x02\\xa2%\\x1bl0\\x9bg\\xd1>\\xfc\\xca\n\\x90\\xe9\\xfd\\x08\\xc0\\xdb"
  756. },
  757. {
  758. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xb7\\x8b\\xec\\xa3\\xe6\\xc7/\\x9ee\\xb4\\x07\\xafp\\x17[\\xebo?m\\xe6\\x90\\x15.\\xe5'.\\xf3\\xdd\\xf5deb\\xff\\xb1\\xe0=\tu\\xacl!\\xa5\\xae&\\x13nt p\\xc30\\x88\\xc2\\x87r\\xca_9\\xf7\\xa7\\x00\\xc3,vz\\xe7f\\x16zl\\xcb`\\xd9y&\\xfe\\x93s9qm\\x94\\xf6\n\\x141\\xff\\x92\\xbe\\xa0\\xc8\\xde\\x03\\x16\\xa9+\\xedq\\xc2u?\\xde1*\\x9bm\\xa3\\xf3n\\xad\\xa8@\\xbd\\x92\\x9fx5\\xfc~\\xf7 \\xdbo\\xdd!f\\x03\\xedv\\x81/spi\\xf1\\x9fj&\\x8e\\x1fw\\xfb\\xb5\\xd3\\x02m\\xad(u\\xdft\\xd4l\\x8a\\x97\n\\xeet\\x0c\\xc0/\\xd3\\xf9\\xe6\\x02a\\xde\\x1a\\x1fo\\xca\\x0ea\\xfa\\x12\\xccf\\x0b\\xa8\t\\xbb\\x85'f\\x98\\xc8\\xc7z\\x9b\\xec\\xe7\\xe8\\xe1vob6u\\xb7u\\xffd\\xc6lq\\xf2\\x82]\\x89\\xaf\\xe0\\xa9wt\\xbe\\xf7\\x02\\x04\\xfee\\x87\\x8e\\xfb\\x9ez\\xb8_\\xce\\xdbn[\\xb7\\xf3\\xb3\\xb6h\\xfc\\xf21\\xcd\\xb9\\x0b~$9#\\x9d\\xd2\\xa3\\x80\\xd8"
  759. },
  760. {
  761. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010%\\xf2\\xac\\xa9k\\x1f\\xcf\\x1e\\x91\\x10hq\\x81\\xbb\\xaa\\x0e\\x92\\x04\\xaa]u\\xc5*$\\x8en\\x85\\xb1\\xe0z\\x05<\\x93k\\xbc\\xa0=\\x12\\x0c\\xe4\\x84\\x9f\\xd9\r\\x0c\\x1e3\\x18\\x01\\x96\\xd5toewhn\\xd1=?\\x11\\xc2\\xac\\x7fm\\x8b\\xd9\\xba\\xfc\\x81\\x0e\\xb0\\x8c\\x91\\x1ej\\xfe,\\x06\\x0c\\xf0l\\x89\\xb3*\\xa5\\xbd\\x18\\x8e\\xc6\\xb9\\x15\\x19\\xf1|!\\xe0\\xe4i\re(m\\xdd\\xff\\xcd\\x89\\xa7ni\\x86\\x0c:\\xd4\\xa9\\xe4\"c\\xa0\\xcb\\x85\\x17\\xec\\xb3\\xbe\\xf6%\\xb8\\xd711\\xd0b\\xec=\\xdfne7{\\x85u\\xda\\xb1\\x8b\\x8e\\xfbz\\xd3a\\x98\\xcb\\xf9\\x07f\\xf8\\xf7s9\\xcb\\xe5\\xa80\\xd5a\\x87\\xb9\\x00\\x90\\x0e\\x80u\\xfbjd|by\\x13\\xa0\\x17\\xb1\\xfa>\\x13\\xd0\\xb7\\x03\\xfd\\x9f\\xe7\\xdf9\\x1dqn\\x10\\x84\\xa6\\x91bg\\xa66c.n\\xd6\\xf6j\\x06\\xf3\\x01+n\\x8f\\xbd\\x85\\x03\\xc9\\xd4\\xf6\\xe2&\\x1e~\\xcb\\xaan8x\\x05s\\xfdn\\x0c\\xc3e\\x05pp\\xe2u\\xc0\r<)\\xf2\\x7fo "
  762. },
  763. {
  764. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xff\\xbe_\\x99[\\x8e\\xda%\\x9e\\x84?\\xbf\\xe4\\xb9\n\\xc3\\xbeuu\\xd8\\x11\\xd2d#\\xb3\\xbd\"ia\\xeet\t\\xa1]\\xe4\\xba\\x805\\xc7\\xe1&\\xca\\xbb\\x973\\x8e=p\\x99\\xcb&\\xfa^_g\\xf8e1\\x0eo\\xd8\\x9eq zza\\x80\\^@\\x07\\xe2zy\\xdas7\\xa2\\xd7&\\xad\\xb8\\x89\\xd0'1\\x82\\xeb\\x03\\xee\\x80\\x9e\\xba\\x9c\\x8a\r\\xf0\\xab\\xd7\\x8cz\\x1c\\xc2\\x88\\xbe\\xb4\\xc7\\xb0\\xa2\\xd3d\\xdf\\xfcw\\xac\\x94\\xe72&\\xac\\xb3\\xd5\\x8fi\\x93\\x1c\\x7f\\xb6@#\\xe2\\xa1y|l|\\xc9e\\x95\\xf1(\\x1a\\x1d\\x08\\x1f9\\xe4\\xca\\xc0\\xf6\\xd0v\\x11f\\x9e\\xfa\\xdc\\xae\\xa5\\xb8d\tz\\x9fom\\xc2v\\x9f\\xb4\\xa1\\xbc\\xcf\\xf7\\xfc\\xb4q\\xefm\\x9e#\\x93\\x00\\xb7\\xe0\\xd1m\\xa9\\xe5\\xa5\\xe6\\xd5f\\xd9\\xb4\\xac$1\\xc5n\\xddr\\xdf\\x83\\xf6_u\\x89\\xe0ed:\\xdc\\x17\\xc6\\x1b\\xc2\\xc6\\xd7!\\xf3\\xce\\xf8:\\x1f\\xb7\\xbe\\xcd\\xf7!\\xe7slsx\\xd0\\xe1\\x88`\\x98#-eg[\\xa4\\x0c\\xb9&\\xf4"
  765. },
  766. {
  767. "http_request": "winword.exe_WSASend_get /pki/crl/products/microsoftrootcert.crl http/1.1\r\nconnection: keep-alive\r\naccept: */*\r\nif-modified-since: thu, 07 mar 2019 06:00:16 gmt\r\nuser-agent: microsoft-cryptoapi/6.1\r\nhost: crl.microsoft.com\r\n\r\n"
  768. },
  769. {
  770. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xa5b\\x00\\x84\\xf2\\xac\\x93\\xb6&j\\x8f\\xc0\"\\xd2^u\\xa0\\xf4\\x85f8t\\xb1\\xe1y\\xe6\\xfc\\xd9?\\xbbs\\xfd!\\xa5f\\x8d\\xa0\\x95ye\\xfc{\\x9b\\x14\\x035\\xb4\\xe8h\\xa7\\x81jk\\xd3\\xdf\\xab\\x9c\\xfb\\xb5f\\xb4\\x07m\\x17\\x7f\\x1a\\x1f\\xb2\\x8am\\x93s\\xd4\\xbf\\xbe\\x1e9u\\xa8\\x88\\xe4\\x9a\\xb4ce\\x0e\\xd9\\x1a\\x07\\xa7_\\x0c\\x9f]\\x14\\xaf(\\x01\\x91\\xb8\\xd9n!\\xde\\x11\\x90\\x12c+\\xac\\xaa\\xdf@\\xfd\\x99<o^\\xe0\\x12\\xff\\x95\\x9e_cj\\xaeez\\x9e\\xad$y\\xecw+}\\xed\\x9f\\xeaj\\xa2\\xce\\xcc\\xafz\\x7f\\xbca xy\\xcf\\xf5\\x02\\xcf\\xf0\n?\\xff\\xeb\\xf07\\xd5\\x89]\\x7f:\\x17f\"\\xa9\\xe9>\\xdf\\xdaqh\\xbe\\xa0h\\x97\\xbe\\xce\n\\xdc\\xd0\\x1bi\\xed)\\x8as\\xa2\\xf2\\x01\\x1e\\xe33\\x8f\\xb9\\xf7=y\\x02\\xe8\\xba\\x9d\\x85\\xb8}\\xedu\\xb0\r\\xf1f\\xb2i\\x08\\x11<\\xcbx\\xb0\\xe2ft(\\xa9\\x02\\x03\\xd7t\\xeb\\xb2r\\xf8\\xbe?-\\x97\\xednp\\x96\\xf8\\x9d\\xb2\\xf1\\xf2"
  771. },
  772. {
  773. "http_request": "winword.exe_WSASend_\\x17\\x03\\x01\\x010\\xab'\\x0f{{\\xd7%{\\xd0\\xc5\\xf0:.\\x87\\x84[\\xce\\xc8\\x90w\\x92\\xf1rl~\\xdcjc\rd1\\x9c\\xc4\\xe6\\xdf!\\xfd\t+e\\xbb4&\\xa3\\xef\\xee\\x94q\\xd3\\x81\\xbem\\xe2z\\xd9\\xf9\\xfe\\x92~\\x16_\\xd9\\xef\\x9f\\xd7\\xb0m\\x9d\"u\\xc2>\\x82b\\x18\\x9e\\xee\\x13\\x81\rv\\xdc\\xaa\\x9a\\xf1\\xcaiy.\\x1bgq[:\\x0e\\x0cr\\x05\\xb5;\rg\\xa7\\x1a64\\xa5\\xefi\\xf9\\xfe\\xfd\\xc8g@\\xc6\\x03\\x88\\xe3\\x86\\xeb\\xeez[`\"4b{\\x94\\x1er\\xc2+b\\x925~\\xe9z\\xc1\\xc7nwko\\xc0~\\xdf\\x93l9\\x90x\\xfdb\\x81\\xdf\\xf8\\xf3\\xcfg\\x12\\xc8\\x83\\x0c\\x14\\xf20\\xe1\\x10\\xb1&\nk\\x15\\xf9m~\\x8d\\x8ec`\\xdf\\xd70\\xdd\\xb1\\xb7\\xbd@t>\\xab\\xa3c\\x05\\x1e\\x1dt\\xb5j\\xe2w%o\\xc5\\xd2\\xec\\xa8\\xcb\\xff\\xb4g\\x04\\x98\\x9fd\\x1a\\x1bg]\\x17\\x7f\\x0ev\\x89y\\xdf6\\xdd \\x08\\xd1m \\x0f\\x03\\x8e}\\xa1yg\\xa3\\xdb#)\\x0c!v\\x93"
  774. },
  775. {
  776. "http_request": "winword.exe_WSASend_>\\x00\\x01\\x00\\x7f\\x01\\x00\\x00{\\x03\\x01]\\x078\\xee\\xc2\\x1a4=?\\xa0\\xa7\\xa7\\xf8\\xda\\x1e\\xc7\\x7fv\\xfbw\\x06\\xacdhy\\x90\\xe4p\r\\xdc\\xe2.\\x00\\x00\\x18\\x00/\\x005\\x00\\x05\\x00\n\\xc0\\x13\\xc0\\x14\\xc0\t\\xc0\n\\x002\\x008\\x00\\x13\\x00\\x04\\x01\\x00\\x00:\\xff\\x01\\x00\\x01\\x00\\x00\\x00\\x00!\\x00\\x1f\\x00\\x00\\x1cactivation.sls.microsoft.com\\x00\n\\x00\\x06\\x00\\x04\\x00\\x17\\x00\\x18\\x00\\x0b\\x00\\x02\\x01\\x00"
  777. },
  778. {
  779. "http_request": "winword.exe_WSASend_\\\\x00\\x01\\x01\\x06\\x10\\x00\\x01\\x02\\x01\\x00j]\\xbc;;s\\x0cf\\xc5\\xdc\\xea\\xfab}\\x93\\x85\\x04\\xbf\t\\x87v\n\\xcf\\x9c\\xd9\\x03 \\xfa\\x9c\\xcbs\\x0e\\x01\\x19\\xea\\xd8*\\x129\\x143\\x88m\\xc1o\\xa4\\x1a\\x8e\\xf7\\xe0\\x1c\\xa4\\xc8\\xec@5\\xdf\\xab\\xf0\\xc71ad\\xfe\\xb8{\\xb4{\\xe6j}\\x1c\\xfa\\xd5os\\xfcl\\xad\\xc6\\x97j\\x8e\\xc2\\x8e\\xe7\\xbb\\x8f`\\xed\\x0b\\xf5}\\xcd\ro\\x1a\\xa8}\\xaa\\xf7(\\xd2\\x8e\\x80\\xc8=;q\\xc5\\x87s\\xf3\\x96#a\\x17h`:s\\xd1\r\\x1d\\x9c\\xe7t\\x89mq\\xcd\\xea\\xba4\\x0f.]m\rkxib\\x91\\xeai\\xb0\\x16\\x7f\\x89\\x92\\xdd\\xb8\\xc6\\xe4\\x906\\xe6\\x11\\x17u\\xd9\\xd7\\xa5\\xb1c\\x91\\x1cxp\\x0e\nc\\xf2\\xe4\\xdf\\x10\\xb7\\x9b\\xb3\\x8am\\xd9\\xfdkr\\xe3\\xdfhl\\xc9\\xd3\\x03\r\\xda\\x18g+\\x81\\xa5l\\x95\\x9a,\\x12\\xf4\\x01\\x908i\\xc9\\xcf\\xc5;\\xa4o\\xb2\\x1ac1\\x8f\\x17$\\x04\\x80\\x7f\\xa4x\\x8c\\x9fo\\x8b>\\xea\n\\x7f1\\xfe\\x0b\\xc47a\\x87r\\xea"
  780. },
  781. {
  782. "http_request": "winword.exe_WSASend_ |s\\x08\\xb8\\x05\\x83\\x08r\\x19_\\x8a8^n\\xf6\\xc3\\x88\\x98\\xc0\\xd8\\x06\\xcax%s\\xf5\\xbe\\x83\\xf2\\x8f\\x9d\\x90\\xf3\\x8b\\x07f\\xcd%\\xf0\"\\xa5hh\\xd8r\\x89\\xec\\xad\\xffo7\\xff\\x9e\\x16\\xbe\\xa6\\xba\\xcd%$0\\xf1\\x8e\n\\xc0+`b\\xe1i\\x1b\\xd2\\x00ru$\\xb9\\x81=&iq{\\xd1\\xba\\x12r\\x95?=n\\xe8\\xf8\\x1b\\xd4\\xb4\\xf7\\xf8\\x8d\\xef\\xd3\\xaf>\\xd8\\x1a\\x92\\xc7m\\x1d\\x9d\\xc8\\xab\\xd6\\xf8wd\\x11=\\x9cq\\xa1\\x84\\x11_:\\xef4?u\\x11\\xf5\\x02\\xb9\\xf9v\\x83\\xa8\\xe4\\xb5+t_\\xb9\\xd3\\xba\\x81\t\n\\xd9\\x83j\\xadg\\x16`}\\xce\\x8a\\xfe\\xb7by&\\x11\\xf3r\\\\x13\\x00b\\xa7\\xe1\\xd2\\x13\\x95\\xc8\\x82w\n\t\\x01\\xdb)gq\\xa1\\xf5\\xc2\\xc7,h\\xcegh\\x1cm7\\x1e\\xa1/\\xbf\\xa7th\\xf7b_\\xe8\\x00u/\\x93\\x03\\x13\\xf1\\x8am\\xf0\\xf0\\xc1\\xda\\xf8\\x06\\xbe\\xdb\\xfa\\xe9\\xe2\\xa7h\t\\xae\"\\x14\\x04\\x04\\x81\\xa0\\xeb\\x9b\\x8a\\xa3\\xfd\\x88p&\\xab\t\\xe7\\x1b]-\\xd2%\\xc0"
  783. },
  784. {
  785. "http_request": "winword.exe_WSASend_ |s\\x08\\xb8\\x05\\x83\\x08w\\xc1\\xb0\\xf1+\\x8e\\x86v\\xdf\\x9a(`\\xe2k<\\x04\\x06\\x92\\xdbzw!#\\xbf\\x13}\\xea\\x87&\\x9b\\x87\\xa6\\xa1\\xce\\x14\\x03\\x14\\x93\\xc3i\\x89\\xdc\\xebv\\xb1\\xbc/(_r7\\x94\\x94q\\xf0\\x03a!\tr\\x04\\xf0\\x07\\xf0\\xbd\\xf6`\\xe8\\xff\\x90\\x1f\\xda\\x8f\\xcfd\\xc9r\\xd5\\x1bft\\x8e\\xe7\\xbb,\\xdbeb+\\x80\\xb7\\x06\\xde?\\xbdue\\xde\\xa4\\xc1\\x7f\\x9f\\xfb\\xaf:pm\t\\xde?\\xe0\\x99\\x91>-n\\xd9(h\\x1c\\xc5:\\x9a\\x98\\xf8\\x99\\xed(\\x9d\\xe3\\x9etdo]\\xc8\\xb4\\xe3\\xe6\\xc9\\xdf\\x8d4!f\\xd1,\\xc6\\xc3\\xa0\\xf2)\\x87t\\xad\\xcc\\xe3\\x98\\x91\\xdb1\t\\x07\\xc8\\x03.\\xaabq\\x89s>nc\\xe9\\xaf\\xefg\\xcc\\x99c\\x94\\xbbc=f2\t\\xf7\\x8a\\xb1\\xbe\\x1b\\x7f\\xbc\\xbc\\x95\\xf3\\xb1\\x9eg\\x06\\x9f\\xd38\\x99c\\x87\\x93\\x86bf\\xd4\\xe4+\\x14\\x0b\\xbdeb\\x83\\xb2\\xda\\xf8`$\\xc9<\r8\\xc7\\xbb\\x82\\x80z_4s\\x0e^\\x1e\\xd1\\x85\\x84\\x0e\\xa1\\xe2~"
  786. }
  787. ]
  788. },
  789. {
  790. "Description": "Created network traffic indicative of malicious activity",
  791. "Details": [
  792. {
  793. "signature": "ET TROJAN LokiBot User-Agent (Charon/Inferno)"
  794. },
  795. {
  796. "signature": "ET TROJAN LokiBot Fake 404 Response"
  797. },
  798. {
  799. "signature": "ET CURRENT_EVENTS Unknown VBScript Loader with Encoded PowerShell Execution Inbound"
  800. },
  801. {
  802. "signature": "ET TROJAN LokiBot Request for C2 Commands Detected M1"
  803. },
  804. {
  805. "signature": "ET TROJAN LokiBot Request for C2 Commands Detected M2"
  806. },
  807. {
  808. "signature": "ET CURRENT_EVENTS SUSPICIOUS Possible CVE-2017-0199 IE7/NoCookie/Referer HTA dl"
  809. },
  810. {
  811. "signature": "ET TROJAN LokiBot Checkin"
  812. },
  813. {
  814. "signature": "ET TROJAN LokiBot Application/Credential Data Exfiltration Detected M1"
  815. },
  816. {
  817. "signature": "ET TROJAN LokiBot Application/Credential Data Exfiltration Detected M2"
  818. }
  819. ]
  820. }
  821. ]
  822.  
  823. [*] Started Service: [
  824. "osppsvc"
  825. ]
Advertisement
Add Comment
Please, Sign In to add comment
Public Pastes
We use cookies for various purposes including analytics. By continuing to use Pastebin, you agree to our use of cookies as described in the Cookies Policy.  OK, I Understand
Not a member of Pastebin yet?
Sign Up, it unlocks many cool features!