anubis left
Anubis - Analysis Report
anubis right

Analysis Report for skype_05102012_image.exe

Comment on this report

Summary:

Description Risk
Write to foreign memory areas: This executable tampers with the execution of another process. high
Performs File Modification and Destruction: The executable modifies and destructs files which are not temporary. low
Execution did not terminate correctly: The executable crashed. medium
Spawns Processes: The executable produces processes during the execution. low
Performs Registry Activities: The executable creates and/or modifies registry entries. low


Table of Contents

expand all expand all   collapse all collapse all

1. General Information

  - Information about Anubis' invocation  
Time needed: 268 s 
Report created: 10/06/12, 09:16:44 UTC 
Termination reason: Timeout 
Program version: 1.76.3886 

2. skype_0510.exe

  - General information about this executable  
Analysis Reason: Primary Analysis Subject 
Filename: skype_0510.exe 
Command Line: "C:\skype_0510.exe" 
Process-status at analysis end: dead 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​USER32.DLL  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ADVAPI32.DLL  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 

2.a) skype_0510.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers  AuthenticodeEnabled 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers  DefaultLevel  262144 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers  PolicyScope 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers  TransparentEnabled 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{349d35ab-37b5-462f-9b89-edd5fbde1328}  HashAlg  32771 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{349d35ab-37b5-462f-9b89-edd5fbde1328}  ItemData  0x5eab304f957a49896a006c1c31154015 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{349d35ab-37b5-462f-9b89-edd5fbde1328}  ItemSize  779 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{349d35ab-37b5-462f-9b89-edd5fbde1328}  SaferFlags 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{7fb9cd2e-3076-4df9-a57b-b813f72dbb91}  HashAlg  32771 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{7fb9cd2e-3076-4df9-a57b-b813f72dbb91}  ItemData  0x67b0d48b343a3fd3bce9dc646704f394 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{7fb9cd2e-3076-4df9-a57b-b813f72dbb91}  ItemSize  517 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{7fb9cd2e-3076-4df9-a57b-b813f72dbb91}  SaferFlags 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{81d1fe15-dd9d-4762-b16d-7c29ddecae3f}  HashAlg  32771 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{81d1fe15-dd9d-4762-b16d-7c29ddecae3f}  ItemData  0x327802dcfef8c893dc8ab006dd847d1d 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{81d1fe15-dd9d-4762-b16d-7c29ddecae3f}  ItemSize  918 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{81d1fe15-dd9d-4762-b16d-7c29ddecae3f}  SaferFlags 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{94e3e076-8f53-42a5-8411-085bcc18a68d}  HashAlg  32771 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{94e3e076-8f53-42a5-8411-085bcc18a68d}  ItemData  0xbd9a2adb42ebd8560e250e4df8162f67 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{94e3e076-8f53-42a5-8411-085bcc18a68d}  ItemSize  229 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{94e3e076-8f53-42a5-8411-085bcc18a68d}  SaferFlags 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{dc971ee5-44eb-4fe4-ae2e-b91490411bfc}  HashAlg  32771 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{dc971ee5-44eb-4fe4-ae2e-b91490411bfc}  ItemData  0x386b085f84ecf669d36b956a22c01e80 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{dc971ee5-44eb-4fe4-ae2e-b91490411bfc}  ItemSize  370 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Hashes\​{dc971ee5-44eb-4fe4-ae2e-b91490411bfc}  SaferFlags 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Paths\​{dda3f824-d8cb-441b-834d-be2efd2c1a33}  ItemData  %HKEY_CURRENT_USER\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders\​Cache%OLK* 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers\​0\​Paths\​{dda3f824-d8cb-441b-834d-be2efd2c1a33}  SaferFlags 
HKLM\​System\​CurrentControlSet\​Control\​Terminal Server  TSUserEnabled 
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders  Cache  C:\​Documents and Settings\​Administrator\​Local Settings\​Temporary Internet Files 

2.b) skype_0510.exe - File Activities

  - File System Control Communication:  
File Control Code Times
C:\Program Files\Common Files\  0x00090028 

  - Memory Mapped Files:  
File Name
C:\skype_0510.exe

2.c) skype_0510.exe - Process Activities

  - Processes Created:  
Executable Command Line
C:\skype_0510.exe   
  C:\skype_0510.exe 

  - Remote Threads Created:  
Affected Process
C:\skype_0510.exe

  - Foreign Memory Regions Read:  
Process: C:\skype_0510.exe

  - Foreign Memory Regions Written:  
Process: C:\skype_0510.exe

3. skype_0510.exe

  - General information about this executable  
Analysis Reason: Started by skype_0510.exe 
Filename: skype_0510.exe 
MD5: 98f74b530d4ebf6850c4bc193c558a98 
SHA-1: 4502dc31ac27dd290f14b83932d45499dddaecb9 
File Size: 936448 Bytes
Command Line: C:\skype_0510.exe 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 

3.a) skype_0510.exe - Registry Activities

  - Registry Values Modified:  
Key Name New Value
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders  AppData  C:\​Documents and Settings\​Administrator\​Application Data 

  - Registry Values Read:  
Key Name Value Times
HKLM\​SYSTEM\​CurrentControlSet\​Control\​Session Manager  CriticalSectionTimeout  2592000 
HKLM\​SYSTEM\​Setup  SystemSetupInProgress 
HKLM\​Software\​Policies\​Microsoft\​Windows\​Safer\​CodeIdentifiers  TransparentEnabled 
HKLM\​System\​CurrentControlSet\​Control\​ComputerName\​ActiveComputerName  ComputerName  PC 
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 
HKU\​S-1-5-21-842925246-1425521274-308236825-500\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​User Shell Folders  AppData  %USERPROFILE%\​Application Data 

3.b) skype_0510.exe - File Activities

  - Files Read:  
C:\skype_0510.exe
PIPE\lsarpc

  - Files Modified:  
C:info
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
C:\Program Files\Common Files\  0x00090028 
PIPE\lsarpc  0x0011C017 

  - Device Control Communication:  
File Control Code Times
\Device\KsecDD  0x00390008 
C:  0x002D1400 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
C:\WINDOWS\WindowsShell.Manifest
C:\WINDOWS\system32\DNSAPI.dll
C:\WINDOWS\system32\SHELL32.dll
C:\WINDOWS\system32\WININET.dll
C:\WINDOWS\system32\WS2HELP.dll
C:\WINDOWS\system32\WS2_32.dll

3.c) skype_0510.exe - Process Activities

  - Remote Threads Created:  
Affected Process
C:\WINDOWS\system32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe

  - Foreign Memory Regions Written:  
Process:
Process: C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
Process: C:\WINDOWS\explorer.exe
Process: C:\WINDOWS\system32\csrss.exe
Process: C:\WINDOWS\system32\services.exe
Process: C:\WINDOWS\system32\smss.exe
Process: C:\WINDOWS\system32\spoolsv.exe
Process: C:\WINDOWS\system32\svchost.exe
Process: C:\WINDOWS\system32\winlogon.exe
Process: C:\WINDOWS\system32\wuauclt.exe

4. System

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: System 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 

5. smss.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: smss.exe 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 

6. csrss.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: csrss.exe 
Command Line: C:\WINDOWS\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​CSRSRV.dll  0x75B40000  0x0000B000 
C:\​WINDOWS\​system32\​basesrv.dll  0x75B50000  0x00010000 
C:\​WINDOWS\​system32\​winsrv.dll  0x75B60000  0x0004B000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​KERNEL32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​sxs.dll  0x7E720000  0x000B0000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 

6.a) csrss.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​SYSTEM\​CurrentControlSet\​Control\​Session Manager  CriticalSectionTimeout  2592000 
HKLM\​SYSTEM\​SETUP  SystemSetupInProgress  40 
HKLM\​SYSTEM\​Setup  SystemSetupInProgress 
HKLM\​System\​CurrentControlSet\​Control\​ComputerName\​ActiveComputerName  ComputerName  PC 
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 

6.b) csrss.exe - File Activities

  - Files Read:  
C:\WINDOWS\WinSxS\Manifests\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83.Manifest
C:\WINDOWS\WinSxS\Policies\x86_Policy.6.0.Microsoft.Windows.Common-Controls_6595b64144ccf1df_x-ww_5ddad775\6.0.2600.5512.Policy
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\DNSAPI.dll
C:\WINDOWS\system32\SHELL32.dll
C:\WINDOWS\system32\WININET.dll
C:\WINDOWS\system32\WS2HELP.dll
C:\WINDOWS\system32\WS2_32.dll
C:\WINDOWS\system32\comctl32.dll

6.c) csrss.exe - Process Activities

  - Foreign Memory Regions Read:  
Process: C:\WINDOWS\system32\services.exe
Process: C:\WINDOWS\system32\spoolsv.exe
Process: C:\WINDOWS\system32\svchost.exe
Process: C:\WINDOWS\system32\winlogon.exe

  - Foreign Memory Regions Written:  
Process: C:\WINDOWS\system32\services.exe
Process: C:\WINDOWS\system32\spoolsv.exe
Process: C:\WINDOWS\system32\svchost.exe
Process: C:\WINDOWS\system32\winlogon.exe

6.d) csrss.exe - Other Activities

  - Mutexes Created:  
e621ca05-​Mutex

  - Windows SEH exceptions:  
Description Times
Exception 0xc0000005 (STATUS_ACCESS_VIOLATION) at 0x75b5a71a 

7. winlogon.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: winlogon.exe 
Command Line: winlogon.exe 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​AUTHZ.dll  0x776C0000  0x00012000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​NDdeApi.dll  0x75940000  0x00008000 
C:\​WINDOWS\​system32\​PROFMAP.dll  0x75930000  0x0000A000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​PSAPI.DLL  0x76BF0000  0x0000B000 
C:\​WINDOWS\​system32\​REGAPI.dll  0x76BC0000  0x0000F000 
C:\​WINDOWS\​system32\​SETUPAPI.dll  0x77920000  0x000F3000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​WINSTA.dll  0x76360000  0x00010000 
C:\​WINDOWS\​system32\​WINTRUST.dll  0x76C30000  0x0002E000 
C:\​WINDOWS\​system32\​IMAGEHLP.dll  0x76C90000  0x00028000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​MSGINA.dll  0x75970000  0x000F8000 
C:\​WINDOWS\​system32\​COMCTL32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​ODBC32.dll  0x74320000  0x0003D000 
C:\​WINDOWS\​system32\​comdlg32.dll  0x763B0000  0x00049000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​odbcint.dll  0x00930000  0x00017000 
C:\​WINDOWS\​system32\​SHSVCS.dll  0x776E0000  0x00023000 
C:\​WINDOWS\​system32\​sfc.dll  0x76BB0000  0x00005000 
C:\​WINDOWS\​system32\​sfc_os.dll  0x76C60000  0x0002A000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​Apphelp.dll  0x77B40000  0x00022000 
C:\​WINDOWS\​system32\​WINSCARD.DLL  0x723D0000  0x0001C000 
C:\​WINDOWS\​system32\​WTSAPI32.dll  0x76F50000  0x00008000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​uxtheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​system32\​cscdll.dll  0x76600000  0x0001D000 
C:\​WINDOWS\​System32\​dimsntfy.dll  0x47020000  0x00008000 
C:\​WINDOWS\​system32\​WlNotify.dll  0x75950000  0x0001A000 
C:\​WINDOWS\​system32\​MPR.dll  0x71B20000  0x00012000 
C:\​WINDOWS\​system32\​WINSPOOL.DRV  0x73000000  0x00026000 
C:\​WINDOWS\​system32\​rsaenh.dll  0x68000000  0x00036000 
C:\​WINDOWS\​system32\​SAMLIB.dll  0x71BF0000  0x00013000 
C:\​WINDOWS\​system32\​sxs.dll  0x7E720000  0x000B0000 
C:\​WINDOWS\​system32\​msv1_0.dll  0x77C70000  0x00024000 
C:\​WINDOWS\​system32\​iphlpapi.dll  0x76D60000  0x00019000 
C:\​WINDOWS\​system32\​wldap32.dll  0x76F60000  0x0002C000 
C:\​WINDOWS\​system32\​cscui.dll  0x77A20000  0x00054000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x01760000  0x002C5000 
C:\​WINDOWS\​system32\​NTMARTA.DLL  0x77690000  0x00021000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 

7.a) winlogon.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 

7.b) winlogon.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\DNSAPI.dll
C:\WINDOWS\system32\WININET.dll

8. services.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: services.exe 
MD5: 0e776ed5f7cc9f94299e70461b7b8185 
SHA-1: cb5a33cec4c7b8ef4bd5dc8c241005b66b26cbbf 
File Size: 108544 Bytes
Command Line: C:\WINDOWS\system32\services.exe 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​NCObjAPI.DLL  0x5F770000  0x0000C000 
C:\​WINDOWS\​system32\​MSVCP60.dll  0x76080000  0x00065000 
C:\​WINDOWS\​system32\​SCESRV.dll  0x7DBD0000  0x00051000 
C:\​WINDOWS\​system32\​AUTHZ.dll  0x776C0000  0x00012000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​umpnpmgr.dll  0x7DBA0000  0x00021000 
C:\​WINDOWS\​system32\​WINSTA.dll  0x76360000  0x00010000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcAdProc.dll  0x47260000  0x0000F000 
C:\​WINDOWS\​system32\​Apphelp.dll  0x77B40000  0x00022000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​eventlog.dll  0x77B70000  0x00011000 
C:\​WINDOWS\​system32\​PSAPI.DLL  0x76BF0000  0x0000B000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​wtsapi32.dll  0x76F50000  0x00008000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 

8.a) services.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​SYSTEM\​CurrentControlSet\​Control\​Session Manager  CriticalSectionTimeout  2592000 
HKLM\​SYSTEM\​Setup  SystemSetupInProgress 
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 

8.b) services.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
C:\WINDOWS\WindowsShell.Manifest
C:\WINDOWS\system32\DNSAPI.dll
C:\WINDOWS\system32\SHELL32.dll
C:\WINDOWS\system32\WININET.dll
C:\WINDOWS\system32\comctl32.dll

9. svchost.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: svchost.exe 
MD5: 27c6d03bcdb8cfeb96b716f3d8be3e18 
SHA-1: 49083ae3725a0488e0a8fbbe1335c745f70c4667 
File Size: 14336 Bytes
Command Line: C:\WINDOWS\system32\svchost -k DcomLaunch 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​NTMARTA.DLL  0x77690000  0x00021000 
C:\​WINDOWS\​system32\​SAMLIB.dll  0x71BF0000  0x00013000 
C:\​WINDOWS\​system32\​WLDAP32.dll  0x76F60000  0x0002C000 
c:\​windows\​system32\​rpcss.dll  0x76A80000  0x00064000 
c:\​windows\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
c:\​windows\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x005F0000  0x002C5000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 
c:\​windows\​system32\​termsrv.dll  0x760F0000  0x00053000 
c:\​windows\​system32\​ICAAPI.dll  0x74F70000  0x00006000 
c:\​windows\​system32\​SETUPAPI.dll  0x77920000  0x000F3000 
C:\​WINDOWS\​system32\​WINTRUST.dll  0x76C30000  0x0002E000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​IMAGEHLP.dll  0x76C90000  0x00028000 
c:\​windows\​system32\​AUTHZ.dll  0x776C0000  0x00012000 
c:\​windows\​system32\​mstlsapi.dll  0x75110000  0x0001F000 
c:\​windows\​system32\​ACTIVEDS.dll  0x77CC0000  0x00032000 
c:\​windows\​system32\​adsldpc.dll  0x76E10000  0x00025000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
c:\​windows\​system32\​ATL.DLL  0x76B20000  0x00011000 
C:\​WINDOWS\​system32\​REGAPI.dll  0x76BC0000  0x0000F000 
C:\​WINDOWS\​system32\​rsaenh.dll  0x68000000  0x00036000 
C:\​WINDOWS\​system32\​Apphelp.dll  0x77B40000  0x00022000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 

9.a) svchost.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 

9.b) svchost.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\DNSAPI.dll
C:\WINDOWS\system32\WININET.dll

10. svchost.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: svchost.exe 
Command Line: C:\WINDOWS\system32\svchost -k rpcss 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
c:\​windows\​system32\​rpcss.dll  0x76A80000  0x00064000 
c:\​windows\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
c:\​windows\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x005F0000  0x002C5000 
C:\​WINDOWS\​system32\​rsaenh.dll  0x68000000  0x00036000 
C:\​WINDOWS\​system32\​mswsock.dll  0x71A50000  0x0003F000 
C:\​WINDOWS\​system32\​hnetcfg.dll  0x662B0000  0x00058000 
C:\​WINDOWS\​System32\​wshtcpip.dll  0x71A90000  0x00008000 
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​iphlpapi.dll  0x76D60000  0x00019000 
C:\​WINDOWS\​System32\​winrnr.dll  0x76FB0000  0x00008000 
C:\​WINDOWS\​system32\​WLDAP32.dll  0x76F60000  0x0002C000 
C:\​WINDOWS\​system32\​rasadhlp.dll  0x76FC0000  0x00006000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 

10.a) svchost.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\WININET.dll

11. svchost.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: svchost.exe 
Command Line: C:\WINDOWS\System32\svchost.exe -k netsvcs 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​System32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​System32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​System32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​System32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​System32\​NTMARTA.DLL  0x77690000  0x00021000 
C:\​WINDOWS\​System32\​SAMLIB.dll  0x71BF0000  0x00013000 
C:\​WINDOWS\​system32\​WLDAP32.dll  0x76F60000  0x0002C000 
C:\​WINDOWS\​System32\​xpsp2res.dll  0x005B0000  0x002C5000 
c:\​windows\​system32\​shsvcs.dll  0x776E0000  0x00023000 
C:\​WINDOWS\​System32\​WINSTA.dll  0x76360000  0x00010000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​System32\​rsaenh.dll  0x68000000  0x00036000 
c:\​windows\​system32\​dhcpcsvc.dll  0x7D4B0000  0x00022000 
c:\​windows\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
c:\​windows\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
c:\​windows\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
c:\​windows\​system32\​iphlpapi.dll  0x76D60000  0x00019000 
c:\​windows\​system32\​wzcsvc.dll  0x7DB10000  0x0008C000 
c:\​windows\​system32\​rtutils.dll  0x76E80000  0x0000E000 
c:\​windows\​system32\​WMI.dll  0x76D30000  0x00004000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
c:\​windows\​system32\​EapolQec.dll  0x72810000  0x0000B000 
c:\​windows\​system32\​ATL.DLL  0x76B20000  0x00011000 
c:\​windows\​system32\​QUtil.dll  0x726C0000  0x00016000 
c:\​windows\​system32\​MSVCP60.dll  0x76080000  0x00065000 
c:\​windows\​system32\​dot3api.dll  0x478C0000  0x0000A000 
c:\​windows\​system32\​WTSAPI32.dll  0x76F50000  0x00008000 
c:\​windows\​system32\​ESENT.dll  0x606B0000  0x0010D000 
C:\​WINDOWS\​System32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​System32\​COMRes.dll  0x77050000  0x000C5000 
C:\​WINDOWS\​System32\​rastls.dll  0x76B70000  0x00027000 
C:\​WINDOWS\​system32\​CRYPTUI.dll  0x754D0000  0x00080000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​WINTRUST.dll  0x76C30000  0x0002E000 
C:\​WINDOWS\​system32\​IMAGEHLP.dll  0x76C90000  0x00028000 
C:\​WINDOWS\​System32\​MPRAPI.dll  0x76D40000  0x00018000 
C:\​WINDOWS\​System32\​ACTIVEDS.dll  0x77CC0000  0x00032000 
C:\​WINDOWS\​System32\​adsldpc.dll  0x76E10000  0x00025000 
C:\​WINDOWS\​System32\​SETUPAPI.dll  0x77920000  0x000F3000 
C:\​WINDOWS\​System32\​RASAPI32.dll  0x76EE0000  0x0003C000 
C:\​WINDOWS\​System32\​rasman.dll  0x76E90000  0x00012000 
C:\​WINDOWS\​System32\​TAPI32.dll  0x76EB0000  0x0002F000 
C:\​WINDOWS\​System32\​SCHANNEL.dll  0x767F0000  0x00027000 
C:\​WINDOWS\​System32\​WinSCard.dll  0x723D0000  0x0001C000 
C:\​WINDOWS\​System32\​PSAPI.DLL  0x76BF0000  0x0000B000 
C:\​WINDOWS\​System32\​raschap.dll  0x76BD0000  0x00016000 
C:\​WINDOWS\​system32\​msv1_0.dll  0x77C70000  0x00024000 
c:\​windows\​system32\​schedsvc.dll  0x77300000  0x00033000 
c:\​windows\​system32\​NTDSAPI.dll  0x767A0000  0x00013000 
C:\​WINDOWS\​System32\​MSIDLE.DLL  0x74F50000  0x00005000 
c:\​windows\​system32\​audiosrv.dll  0x708B0000  0x0000D000 
c:\​windows\​system32\​wkssvc.dll  0x76E40000  0x00023000 
c:\​windows\​system32\​qmgr.dll  0x5B9F0000  0x0006B000 
C:\​WINDOWS\​system32\​MPR.dll  0x71B20000  0x00012000 
c:\​windows\​system32\​SHFOLDER.dll  0x76780000  0x00009000 
c:\​windows\​system32\​WINHTTP.dll  0x4D4F0000  0x00059000 
C:\​WINDOWS\​system32\​mswsock.dll  0x71A50000  0x0003F000 
C:\​WINDOWS\​System32\​hnetcfg.dll  0x662B0000  0x00058000 
C:\​WINDOWS\​System32\​wshtcpip.dll  0x71A90000  0x00008000 
c:\​windows\​system32\​cryptsvc.dll  0x76CE0000  0x00012000 
c:\​windows\​system32\​certcli.dll  0x77B90000  0x00032000 
c:\​windows\​system32\​dmserver.dll  0x74F90000  0x00009000 
c:\​windows\​system32\​ersvc.dll  0x74F80000  0x00009000 
c:\​windows\​system32\​es.dll  0x77710000  0x00042000 
c:\​windows\​pchealth\​helpctr\​binaries\​pchsvc.dll  0x74F40000  0x0000C000 
c:\​windows\​system32\​srvsvc.dll  0x75090000  0x0001A000 
c:\​windows\​system32\​netman.dll  0x77D00000  0x00033000 
c:\​windows\​system32\​netshell.dll  0x76400000  0x001A5000 
c:\​windows\​system32\​credui.dll  0x76C00000  0x0002E000 
c:\​windows\​system32\​dot3dlg.dll  0x736D0000  0x00006000 
c:\​windows\​system32\​OneX.DLL  0x5DCA0000  0x00028000 
c:\​windows\​system32\​eappcfg.dll  0x745B0000  0x00022000 
c:\​windows\​system32\​eappprxy.dll  0x5DCD0000  0x0000E000 
c:\​windows\​system32\​WZCSAPI.DLL  0x73030000  0x00010000 
c:\​windows\​system32\​srsvc.dll  0x751A0000  0x0002E000 
c:\​windows\​system32\​POWRPROF.dll  0x74AD0000  0x00008000 
c:\​windows\​system32\​sens.dll  0x722D0000  0x0000D000 
c:\​windows\​system32\​seclogon.dll  0x73D20000  0x00008000 
c:\​windows\​system32\​trkwks.dll  0x75070000  0x00019000 
c:\​windows\​system32\​w32time.dll  0x767C0000  0x0002C000 
c:\​windows\​system32\​wbem\​wmisvc.dll  0x59490000  0x00028000 
C:\​WINDOWS\​system32\​VSSAPI.DLL  0x753E0000  0x0006D000 
c:\​windows\​system32\​wuauserv.dll  0x50000000  0x00005000 
C:\​WINDOWS\​system32\​wuaueng.dll  0x50040000  0x001D9000 
C:\​WINDOWS\​System32\​WINSPOOL.DRV  0x73000000  0x00026000 
C:\​WINDOWS\​System32\​Cabinet.dll  0x75150000  0x00013000 
C:\​WINDOWS\​System32\​mspatcha.dll  0x600A0000  0x0000B000 
c:\​windows\​system32\​wscsvc.dll  0x4C0A0000  0x00017000 
c:\​windows\​system32\​msi.dll  0x7D1E0000  0x002BC000 
C:\​WINDOWS\​system32\​wbem\​wbemcomn.dll  0x75290000  0x00037000 
C:\​WINDOWS\​System32\​winrnr.dll  0x76FB0000  0x00008000 
C:\​WINDOWS\​System32\​rasadhlp.dll  0x76FC0000  0x00006000 
C:\​WINDOWS\​System32\​sfc.dll  0x76BB0000  0x00005000 
C:\​WINDOWS\​System32\​sfc_os.dll  0x76C60000  0x0002A000 
c:\​windows\​system32\​browser.dll  0x76DA0000  0x00016000 
C:\​WINDOWS\​system32\​Apphelp.dll  0x77B40000  0x00022000 
C:\​WINDOWS\​System32\​SXS.DLL  0x7E720000  0x000B0000 
C:\​WINDOWS\​system32\​comsvcs.dll  0x76620000  0x0013C000 
C:\​WINDOWS\​system32\​colbact.DLL  0x75130000  0x00014000 
C:\​WINDOWS\​system32\​MTXCLU.DLL  0x750F0000  0x00013000 
C:\​WINDOWS\​system32\​WSOCK32.dll  0x71AD0000  0x00009000 
C:\​WINDOWS\​System32\​CLUSAPI.DLL  0x76D10000  0x00012000 
C:\​WINDOWS\​System32\​RESUTILS.DLL  0x750B0000  0x00012000 
c:\​windows\​system32\​ipnathlp.dll  0x66460000  0x00055000 
c:\​windows\​system32\​AUTHZ.dll  0x776C0000  0x00012000 
C:\​WINDOWS\​system32\​upnp.dll  0x76DE0000  0x00024000 
C:\​WINDOWS\​system32\​SSDPAPI.dll  0x74F00000  0x0000C000 
C:\​WINDOWS\​System32\​Wbem\​wbemcore.dll  0x762C0000  0x00085000 
C:\​WINDOWS\​System32\​Wbem\​esscli.dll  0x75310000  0x0003F000 
C:\​WINDOWS\​System32\​Wbem\​FastProx.dll  0x75690000  0x00076000 
C:\​WINDOWS\​system32\​wbem\​wbemsvc.dll  0x74ED0000  0x0000E000 
C:\​WINDOWS\​system32\​wbem\​wmiutils.dll  0x75020000  0x0001B000 
C:\​WINDOWS\​system32\​wbem\​repdrvfs.dll  0x75200000  0x0002F000 
C:\​WINDOWS\​system32\​wbem\​wmiprvsd.dll  0x597F0000  0x0006D000 
C:\​WINDOWS\​system32\​NCObjAPI.DLL  0x5F770000  0x0000C000 
C:\​WINDOWS\​system32\​wbem\​wbemess.dll  0x75390000  0x00046000 
C:\​WINDOWS\​system32\​wups2.dll  0x50F00000  0x0000D000 
C:\​WINDOWS\​system32\​wbem\​ncprov.dll  0x5F740000  0x0000E000 
C:\​WINDOWS\​System32\​RASDLG.dll  0x768D0000  0x000A4000 
C:\​WINDOWS\​System32\​dssenh.dll  0x68100000  0x00026000 
C:\​WINDOWS\​system32\​wuapi.dll  0x506A0000  0x0008E000 

11.a) svchost.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

12. svchost.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: svchost.exe 
Command Line: C:\WINDOWS\system32\svchost.exe -k NetworkService 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
c:\​windows\​system32\​dnsrslvr.dll  0x76770000  0x0000D000 
c:\​windows\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
c:\​windows\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
c:\​windows\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
c:\​windows\​system32\​iphlpapi.dll  0x76D60000  0x00019000 
C:\​WINDOWS\​system32\​rsaenh.dll  0x68000000  0x00036000 
C:\​WINDOWS\​system32\​mswsock.dll  0x71A50000  0x0003F000 
C:\​WINDOWS\​system32\​hnetcfg.dll  0x662B0000  0x00058000 
C:\​WINDOWS\​System32\​wshtcpip.dll  0x71A90000  0x00008000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 

12.a) svchost.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\WININET.dll

13. svchost.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: svchost.exe 
Command Line: C:\WINDOWS\system32\svchost.exe -k LocalService 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​NTMARTA.DLL  0x77690000  0x00021000 
C:\​WINDOWS\​system32\​SAMLIB.dll  0x71BF0000  0x00013000 
C:\​WINDOWS\​system32\​WLDAP32.dll  0x76F60000  0x0002C000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x005B0000  0x002C5000 
c:\​windows\​system32\​lmhsvc.dll  0x74C40000  0x00006000 
c:\​windows\​system32\​iphlpapi.dll  0x76D60000  0x00019000 
c:\​windows\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
c:\​windows\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
c:\​windows\​system32\​webclnt.dll  0x5A6E0000  0x00015000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​wsock32.dll  0x71AD0000  0x00009000 
c:\​windows\​system32\​regsvc.dll  0x76AF0000  0x00012000 
c:\​windows\​system32\​ssdpsrv.dll  0x765E0000  0x00014000 
C:\​WINDOWS\​system32\​hnetcfg.dll  0x662B0000  0x00058000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 
C:\​WINDOWS\​system32\​mswsock.dll  0x71A50000  0x0003F000 
C:\​WINDOWS\​System32\​wshtcpip.dll  0x71A90000  0x00008000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 

13.a) svchost.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 

13.b) svchost.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\DNSAPI.dll

14. spoolsv.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: spoolsv.exe 
MD5: d8e14a61acc1d4a6cd0d38aebac7fa3b 
SHA-1: 0e5d1a09a103eae3bd693c7a1c7531fde2e2402b 
File Size: 57856 Bytes
Command Line: C:\WINDOWS\system32\spoolsv.exe 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​SPOOLSS.DLL  0x742E0000  0x00015000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 
C:\​WINDOWS\​system32\​rasadhlp.dll  0x76FC0000  0x00006000 
C:\​WINDOWS\​system32\​localspl.dll  0x75BB0000  0x00056000 
C:\​WINDOWS\​system32\​sfc_os.dll  0x76C60000  0x0002A000 
C:\​WINDOWS\​system32\​WINTRUST.dll  0x76C30000  0x0002E000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​IMAGEHLP.dll  0x76C90000  0x00028000 
C:\​WINDOWS\​system32\​winspool.drv  0x73000000  0x00026000 
C:\​WINDOWS\​system32\​netapi32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​system32\​cnbjmon.dll  0x742A0000  0x0000E000 
C:\​WINDOWS\​system32\​pjlmon.dll  0x74280000  0x00007000 
C:\​WINDOWS\​system32\​tcpmon.dll  0x72400000  0x0000E000 
C:\​WINDOWS\​system32\​usbmon.dll  0x723F0000  0x00007000 
C:\​WINDOWS\​System32\​spool\​PRTPROCS\​W32X86\​filterpipelineprintproc.dll  0x00900000  0x0000A000 
C:\​WINDOWS\​System32\​mswsock.dll  0x71A50000  0x0003F000 
C:\​WINDOWS\​System32\​winrnr.dll  0x76FB0000  0x00008000 
C:\​WINDOWS\​system32\​WLDAP32.dll  0x76F60000  0x0002C000 
C:\​WINDOWS\​system32\​win32spl.dll  0x75C10000  0x00024000 
C:\​WINDOWS\​system32\​NETRAP.dll  0x71C80000  0x00007000 
C:\​WINDOWS\​system32\​NTDSAPI.dll  0x767A0000  0x00013000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 
C:\​WINDOWS\​system32\​inetpp.dll  0x74300000  0x00015000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x01010000  0x002C5000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 

14.a) spoolsv.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\WININET.dll

15. Explorer.EXE

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: Explorer.EXE 
MD5: 12896823fb95bfb3dc9b46bcaedc9923 
SHA-1: 9d2bf84874abc5b6e9a2744b7865c193c08d362f 
File Size: 1033728 Bytes
Command Line: C:\WINDOWS\Explorer.EXE 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​BROWSEUI.dll  0x75F80000  0x000FD000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​SHDOCVW.dll  0x7E290000  0x00171000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​CRYPTUI.dll  0x754D0000  0x00080000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​WININET.dll  0x771B0000  0x000AA000 
C:\​WINDOWS\​system32\​WINTRUST.dll  0x76C30000  0x0002E000 
C:\​WINDOWS\​system32\​IMAGEHLP.dll  0x76C90000  0x00028000 
C:\​WINDOWS\​system32\​WLDAP32.dll  0x76F60000  0x0002C000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​comctl32.dll  0x5D090000  0x0009A000 
C:\​WINDOWS\​system32\​appHelp.dll  0x77B40000  0x00022000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 
C:\​WINDOWS\​System32\​cscui.dll  0x77A20000  0x00054000 
C:\​WINDOWS\​System32\​CSCDLL.dll  0x76600000  0x0001D000 
C:\​WINDOWS\​system32\​themeui.dll  0x5BA60000  0x00071000 
C:\​WINDOWS\​system32\​MSIMG32.dll  0x76380000  0x00005000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x00AC0000  0x002C5000 
C:\​WINDOWS\​system32\​actxprxy.dll  0x71D40000  0x0001B000 
C:\​WINDOWS\​system32\​msutb.dll  0x5FC10000  0x00033000 
C:\​WINDOWS\​system32\​MSCTF.dll  0x74720000  0x0004C000 
C:\​WINDOWS\​system32\​urlmon.dll  0x7E1E0000  0x000A2000 
C:\​WINDOWS\​system32\​LINKINFO.dll  0x76980000  0x00008000 
C:\​WINDOWS\​system32\​ntshrui.dll  0x76990000  0x00025000 
C:\​WINDOWS\​system32\​ATL.DLL  0x76B20000  0x00011000 
C:\​WINDOWS\​system32\​rsaenh.dll  0x68000000  0x00036000 
C:\​WINDOWS\​system32\​msi.dll  0x7D1E0000  0x002BC000 
C:\​WINDOWS\​system32\​WINSTA.dll  0x76360000  0x00010000 
C:\​WINDOWS\​system32\​webcheck.dll  0x74B30000  0x00046000 
C:\​WINDOWS\​system32\​WSOCK32.dll  0x71AD0000  0x00009000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​stobject.dll  0x76280000  0x00021000 
C:\​WINDOWS\​system32\​BatMeter.dll  0x74AF0000  0x0000A000 
C:\​WINDOWS\​system32\​POWRPROF.dll  0x74AD0000  0x00008000 
C:\​WINDOWS\​system32\​SETUPAPI.dll  0x77920000  0x000F3000 
C:\​WINDOWS\​system32\​WTSAPI32.dll  0x76F50000  0x00008000 
C:\​WINDOWS\​system32\​NETSHELL.dll  0x76400000  0x001A5000 
C:\​WINDOWS\​system32\​credui.dll  0x76C00000  0x0002E000 
C:\​WINDOWS\​system32\​dot3api.dll  0x478C0000  0x0000A000 
C:\​WINDOWS\​system32\​rtutils.dll  0x76E80000  0x0000E000 
C:\​WINDOWS\​system32\​dot3dlg.dll  0x736D0000  0x00006000 
C:\​WINDOWS\​system32\​OneX.DLL  0x5DCA0000  0x00028000 
C:\​WINDOWS\​system32\​eappcfg.dll  0x745B0000  0x00022000 
C:\​WINDOWS\​system32\​MSVCP60.dll  0x76080000  0x00065000 
C:\​WINDOWS\​system32\​eappprxy.dll  0x5DCD0000  0x0000E000 
C:\​WINDOWS\​system32\​iphlpapi.dll  0x76D60000  0x00019000 
C:\​WINDOWS\​system32\​MPR.dll  0x71B20000  0x00012000 
C:\​WINDOWS\​System32\​drprov.dll  0x75F60000  0x00007000 
C:\​WINDOWS\​System32\​ntlanman.dll  0x71C10000  0x0000E000 
C:\​WINDOWS\​System32\​NETUI0.dll  0x71CD0000  0x00017000 
C:\​WINDOWS\​System32\​NETUI1.dll  0x71C90000  0x00040000 
C:\​WINDOWS\​System32\​NETRAP.dll  0x71C80000  0x00007000 
C:\​WINDOWS\​System32\​SAMLIB.dll  0x71BF0000  0x00013000 
C:\​WINDOWS\​System32\​davclnt.dll  0x75F70000  0x0000A000 
C:\​WINDOWS\​system32\​comdlg32.dll  0x763B0000  0x00049000 
C:\​WINDOWS\​system32\​MSGINA.dll  0x75970000  0x000F8000 
C:\​WINDOWS\​system32\​ODBC32.dll  0x74320000  0x0003D000 
C:\​WINDOWS\​system32\​odbcint.dll  0x01350000  0x00017000 
C:\​WINDOWS\​system32\​browselc.dll  0x71600000  0x00012000 
C:\​WINDOWS\​system32\​shdoclc.dll  0x71800000  0x00088000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​DNSAPI.dll  0x76F20000  0x00027000 

15.a) Explorer.EXE - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​System\​CurrentControlSet\​Services\​Tcpip\​Parameters  UseDomainNameDevolution 
HKLM\​System\​Setup  SystemSetupInProgress 

15.b) Explorer.EXE - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\DNSAPI.dll

15.c) Explorer.EXE - Other Activities

  - Mutexes Created:  
e621ca05-​Mutex

  - Keyboard Keys Monitored:  
Virtual Key Code Times
VK_LBUTTON (1) 

16. mscorsvw.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: mscorsvw.exe 
MD5: c5a75eb48e2344abdc162bda79e16841 
SHA-1: ed4851c89bc80c7a38960bc14686513ac1b3fb47 
File Size: 130384 Bytes
Command Line: C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​MSVCR100_CLR0400.dll  0x79060000  0x000BE000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​mscoree.dll  0x79000000  0x0004A000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​Microsoft.NET\​Framework\​v4.0.30319\​mscorsvc.dll  0x608D0000  0x00054000 
C:\​WINDOWS\​Microsoft.NET\​Framework\​v4.0.30319\​fusion.dll  0x604A0000  0x0000C000 
C:\​WINDOWS\​Microsoft.NET\​Framework\​v4.0.30319\​mscoreei.dll  0x603B0000  0x00066000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​msidle.dll  0x74F50000  0x00005000 
C:\​WINDOWS\​system32\​Wtsapi32.dll  0x76F50000  0x00008000 
C:\​WINDOWS\​system32\​WINSTA.dll  0x76360000  0x00010000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​system32\​powrprof.dll  0x74AD0000  0x00008000 

16.a) mscorsvw.exe - File Activities

  - Files Read:  
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpc

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017 

17. wuauclt.exe

  - General information about this executable  
Analysis Reason: skype_0510.exe wrote to the virtual memory of this process 
Filename: wuauclt.exe 
MD5: 62bb79160f86cd962f312c68c6239bfd 
SHA-1: c2de8148e1a8e8f097e3a40232ddb04efd0a7cc6 
File Size: 53472 Bytes
Command Line: "C:\WINDOWS\system32\wuauclt.exe" /RunStoreAsComServer Local\[2a8]SUSDSf0c7666bfc54a04ca39ec51a6dc8d2fd 
Process-status at analysis end: alive 
Exit Code:

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​ADVAPI32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​OLEAUT32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​ShimEng.dll  0x5CB70000  0x00026000 
C:\​WINDOWS\​AppPatch\​AcGenral.DLL  0x6F880000  0x001CA000 
C:\​WINDOWS\​system32\​WINMM.dll  0x76B40000  0x0002D000 
C:\​WINDOWS\​system32\​MSACM32.dll  0x77BE0000  0x00015000 
C:\​WINDOWS\​system32\​VERSION.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​USERENV.dll  0x769C0000  0x000B4000 
C:\​WINDOWS\​system32\​UxTheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​wuaueng.dll  0x50040000  0x001D9000 
C:\​WINDOWS\​system32\​WS2_32.dll  0x71AB0000  0x00017000 
C:\​WINDOWS\​system32\​WS2HELP.dll  0x71AA0000  0x00008000 
C:\​WINDOWS\​system32\​ESENT.dll  0x606B0000  0x0010D000 
C:\​WINDOWS\​system32\​WTSAPI32.dll  0x76F50000  0x00008000 
C:\​WINDOWS\​system32\​WINSTA.dll  0x76360000  0x00010000 
C:\​WINDOWS\​system32\​NETAPI32.dll  0x5B860000  0x00055000 
C:\​WINDOWS\​system32\​WINSPOOL.DRV  0x73000000  0x00026000 
C:\​WINDOWS\​system32\​IPHLPAPI.DLL  0x76D60000  0x00019000 
C:\​WINDOWS\​system32\​WINHTTP.dll  0x4D4F0000  0x00059000 
C:\​WINDOWS\​system32\​WINTRUST.dll  0x76C30000  0x0002E000 
C:\​WINDOWS\​system32\​CRYPT32.dll  0x77A80000  0x00095000 
C:\​WINDOWS\​system32\​MSASN1.dll  0x77B20000  0x00012000 
C:\​WINDOWS\​system32\​IMAGEHLP.dll  0x76C90000  0x00028000 
C:\​WINDOWS\​system32\​Cabinet.dll  0x75150000  0x00013000 
C:\​WINDOWS\​system32\​mspatcha.dll  0x600A0000  0x0000B000 
C:\​WINDOWS\​system32\​xpsp2res.dll  0x00B30000  0x002C5000 
C:\​WINDOWS\​system32\​CLBCATQ.DLL  0x76FD0000  0x0007F000 
C:\​WINDOWS\​system32\​COMRes.dll  0x77050000  0x000C5000 
C:\​WINDOWS\​system32\​wups2.dll  0x50F00000  0x0000D000 


International Secure Systems Lab
Vienna University of Technology, Eurecom France, UC Santa Barbara
Contact: anubis@iseclab.org