anubis left
Anubis - Analysis Report
anubis right

Analysis Report for Dis-Oriented.exe

 Comment on this report

Summary:

Description Risk
Performs File Modification and Destruction: The executable modifies and destructs files which are not temporary. high
Performs Registry Activities: The executable reads and modifies registry values. It may also create and monitor registry keys. low


Table of Contents
expand all expand all   collapse all collapse all

1. General Information

  - Information about Anubis' invocation  
Time needed: 55 s 
Report created: 12/07/08, 03:13:32 
Termination reason: All tracked processes have exited 
Program version: 1.65.0 

2. sample.exe

  - General information about this executable  
Analysis Reason: Primary Analysis Subject 
Filename: sample.exe 
MD5: b8db355635ba14b2c78d2b5f98e4ee3d 
SHA-1: 9f98041cb71ed6bb6fd3a209bfc7e805994bc181 
File Size: 231294 Bytes
Command Line: "C:\sample.exe" 
Process-status at analysis end: dead 
Exit Code: 0 

  - Load-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​ntdll.dll  0x7C900000  0x000AF000 
C:\​WINDOWS\​system32\​kernel32.dll  0x7C800000  0x000F6000 
C:\​WINDOWS\​system32\​advapi32.dll  0x77DD0000  0x0009B000 
C:\​WINDOWS\​system32\​RPCRT4.dll  0x77E70000  0x00092000 
C:\​WINDOWS\​system32\​Secur32.dll  0x77FE0000  0x00011000 
C:\​WINDOWS\​WinSxS\​x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\​comctl32.dll  0x773D0000  0x00103000 
C:\​WINDOWS\​system32\​msvcrt.dll  0x77C10000  0x00058000 
C:\​WINDOWS\​system32\​GDI32.dll  0x77F10000  0x00049000 
C:\​WINDOWS\​system32\​USER32.dll  0x7E410000  0x00091000 
C:\​WINDOWS\​system32\​SHLWAPI.dll  0x77F60000  0x00076000 
C:\​WINDOWS\​system32\​comdlg32.dll  0x763B0000  0x00049000 
C:\​WINDOWS\​system32\​SHELL32.dll  0x7C9C0000  0x00817000 
C:\​WINDOWS\​system32\​IMAGEHLP.DLL  0x76C90000  0x00028000 
C:\​WINDOWS\​system32\​oleaut32.dll  0x77120000  0x0008B000 
C:\​WINDOWS\​system32\​ole32.dll  0x774E0000  0x0013D000 
C:\​WINDOWS\​system32\​version.dll  0x77C00000  0x00008000 
C:\​WINDOWS\​system32\​IMM32.DLL  0x76390000  0x0001D000 

  - Run-time Dlls  
Module Name Base Address Size
C:\​WINDOWS\​system32\​uxtheme.dll  0x5AD70000  0x00038000 
C:\​WINDOWS\​system32\​MSCTF.dll  0x74720000  0x0004C000 
C:\​WINDOWS\​system32\​msctfime.ime  0x755C0000  0x0002E000 

  - SigBuster Output  
UPX All_Versions SN:1634

  - Popups  
Window Name Window Text Screenshot Number of Displayed Times
Dis-Oriented   0 About Start Game   screenshot 1 

2.a) sample.exe - Registry Activities

  - Registry Values Read:  
Key Name Value Times
HKLM\​SOFTWARE\​Microsoft\​CTF\​SystemShared\​  CUAS  0  1 
HKLM\​Software\​Microsoft\​CTF\​SystemShared  CUAS  0  1 
HKLM\​Software\​Microsoft\​Windows NT\​CurrentVersion\​IMM  Ime File  msctfime.ime  1 
HKLM\​System\​CurrentControlSet\​Control\​ComputerName\​ActiveComputerName  ComputerName  USER  1 

2.b) sample.exe - File Activities

  - Files Read:  
C:\sample.exe
PIPE\lsarpc

  - Files Modified:  
PIPE\lsarpcinfo

  - File System Control Communication:  
File Control Code Times
PIPE\lsarpc  0x0011C017  3 

  - Memory Mapped Files:  
File Name
C:\WINDOWS\system32\MSCTF.dll
C:\WINDOWS\system32\Msimtf.dll
C:\WINDOWS\system32\msctfime.ime
C:\WINDOWS\system32\uxtheme.dll

2.c) sample.exe - Process Activities

  - Thread Overview:  
Time Number of threads
After 20 seconds 1 
After 55 seconds 0 

2.d) sample.exe - Other Activities

  - Mutexes Created:  
CTF.Asm.MutexDefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003
CTF.Compart.MutexDefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003
CTF.LBES.MutexDefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003
CTF.Layouts.MutexDefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003
CTF.TMD.MutexDefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003
CTF.TimListCache.FMPDefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003MUTEX.DefaultS-​1-​5-​21-​1229272821-​1004336348-​527237240-​1003
MSCTF.Shared.MUTEX.AGC

  - Keyboard Keys Monitored:  
Virtual Key Code Times
undefined (0)  1 
VK_LBUTTON (1)  1 
VK_RBUTTON (2)  1 
VK_CANCEL (3)  1 
VK_MBUTTON (4)  1 
VK_XBUTTON1 (5)  1 
VK_XBUTTON2 (6)  1 
undefined (7)  1 
VK_BACK (8)  1 
VK_TAB (9)  1 
undefined (10)  1 
undefined (11)  1 
VK_CLEAR (12)  1 
VK_RETURN (13)  1 
undefined (14)  1 
undefined (15)  1 
VK_SHIFT (16)  1 
VK_CONTROL (17)  1 
VK_MENU (18)  5 
VK_PAUSE (19)  1 
VK_CAPITAL (20)  1 
VK_HANGUL (21)  1 
undefined (22)  1 
VK_JUNJA (23)  1 
VK_FINAL (24)  1 
VK_KANJI (25)  1 
undefined (26)  1 
VK_ESCAPE (27)  1 
VK_CONVERT (28)  1 
VK_NONCONVERT (29)  1 
VK_ACCEPT (30)  1 
VK_MODECHANGE (31)  1 
VK_SPACE (32)  1 
VK_PRIOR (33)  1 
VK_NEXT (34)  1 
VK_END (35)  1 
VK_HOME (36)  1 
VK_LEFT (37)  1 
VK_UP (38)  1 
VK_RIGHT (39)  1 
VK_DOWN (40)  1 
VK_SELECT (41)  1 
VK_PRINT (42)  1 
VK_EXECUTE (43)  1 
VK_SNAPSHOT (44)  1 
VK_INSERT (45)  1 
VK_DELETE (46)  1 
VK_HELP (47)  1 
VK_0 (48)  1 
VK_1 (49)  1 
VK_2 (50)  1 
VK_3 (51)  1 
VK_4 (52)  1 
VK_5 (53)  1 
VK_6 (54)  1 
VK_7 (55)  1 
VK_8 (56)  1 
VK_9 (57)  1 
undefined (58)  1 
undefined (59)  1 
undefined (60)  1 
undefined (61)  1 
undefined (62)  1 
undefined (63)  1 
undefined (64)  1 
VK_A (65)  1 
VK_B (66)  1 
VK_C (67)  1 
VK_D (68)  1 
VK_E (69)  1 
VK_F (70)  1 
VK_G (71)  1 
VK_H (72)  1 
VK_I (73)  1 
VK_J (74)  1 
VK_K (75)  1 
VK_L (76)  1 
VK_M (77)  1 
VK_N (78)  1 
VK_O (79)  1 
VK_P (80)  1 
VK_Q (81)  1 
VK_R (82)  1 
VK_S (83)  1 
VK_T (84)  1 
VK_U (85)  1 
VK_V (86)  1 
VK_W (87)  1 
VK_X (88)  1 
VK_Y (89)  1 
VK_Z (90)  1 
VK_LWIN (91)  1 
VK_RWIN (92)  1 
VK_APPS (93)  1 
undefined (94)  1 
VK_SLEEP (95)  1 
VK_NUMPAD0 (96)  1 
VK_NUMPAD1 (97)  1 
VK_NUMPAD2 (98)  1 
VK_NUMPAD3 (99)  1 
VK_NUMPAD4 (100)  1 
VK_NUMPAD5 (101)  1 
VK_NUMPAD6 (102)  1 
VK_NUMPAD7 (103)  1 
VK_NUMPAD8 (104)  1 
VK_NUMPAD9 (105)  1 
VK_MULTIPLY (106)  1 
VK_ADD (107)  1 
VK_SEPARATOR (108)  1 
VK_SUBTRACT (109)  1 
VK_DECIMAL (110)  1 
VK_DIVIDE (111)  1 
VK_F1 (112)  1 
VK_F2 (113)  1 
VK_F3 (114)  1 
VK_F4 (115)  1 
VK_F5 (116)  1 
VK_F6 (117)  1 
VK_F7 (118)  1 
VK_F8 (119)  1 
VK_F9 (120)  1 
VK_F10 (121)  1 
VK_F11 (122)  1 
VK_F12 (123)  1 
VK_F13 (124)  1 
VK_F14 (125)  1 
VK_F15 (126)  1 
VK_F16 (127)  1 
VK_F17 (128)  1 
VK_F18 (129)  1 
VK_F19 (130)  1 
VK_F20 (131)  1 
VK_F21 (132)  1 
VK_F22 (133)  1 
VK_F23 (134)  1 
VK_F24 (135)  1 
undefined (136)  1 
undefined (137)  1 
undefined (138)  1 
undefined (139)  1 
undefined (140)  1 
undefined (141)  1 
undefined (142)  1 
undefined (143)  1 
VK_NUMLOCK (144)  1 
VK_SCROLL (145)  1 
undefined (146)  1 
undefined (147)  1 
undefined (148)  1 
undefined (149)  1 
undefined (150)  1 
undefined (151)  1 
undefined (152)  1 
undefined (153)  1 
undefined (154)  1 
undefined (155)  1 
undefined (156)  1 
undefined (157)  1 
undefined (158)  1 
undefined (159)  1 
VK_LSHIFT (160)  1 
VK_RSHIFT (161)  1 
VK_LCONTROL (162)  1 
VK_RCONTROL (163)  1 
VK_LMENU (164)  1 
VK_RMENU (165)  1 
VK_BROWSER_BACK (166)  1 
VK_BROWSER_FORWARD (167)  1 
VK_BROWSER_REFRESH (168)  1 
VK_BROWSER_STOP (169)  1 
VK_BROWSER_SEARCH (170)  1 
VK_BROWSER_FAVORITES (171)  1 
VK_BROWSER_HOME (172)  1 
VK_VOLUME_MUTE (173)  1 
VK_VOLUME_DOWN (174)  1 
VK_VOLUME_UP (175)  1 
VK_MEDIA_NEXT_TRACK (176)  1 
VK_MEDIA_PREV_TRACK (177)  1 
VK_MEDIA_STOP (178)  1 
VK_MEDIA_PLAY_PAUSE (179)  1 
VK_LAUNCH_MAIL (180)  1 
VK_LAUNCH_MEDIA_SELECT (181)  1 
VK_LAUNCH_APP1 (182)  1 
VK_LAUNCH_APP2 (183)  1 
undefined (184)  1 
undefined (185)  1 
VK_OEM_1 (186)  1 
VK_OEM_PLUS (187)  1 
VK_OEM_COMMA (188)  1 
VK_OEM_MINUS (189)  1 
VK_OEM_PERIOD (190)  1 
VK_OEM_2 (191)  1 
VK_OEM_3 (192)  1 
undefined (193)  1 
undefined (194)  1 
undefined (195)  1 
undefined (196)  1 
undefined (197)  1 
undefined (198)  1 
undefined (199)  1 
undefined (200)  1 
undefined (201)  1 
undefined (202)  1 
undefined (203)  1 
undefined (204)  1 
undefined (205)  1 
undefined (206)  1 
undefined (207)  1 
undefined (208)  1 
undefined (209)  1 
undefined (210)  1 
undefined (211)  1 
undefined (212)  1 
undefined (213)  1 
undefined (214)  1 
undefined (215)  1 
undefined (216)  1 
undefined (217)  1 
undefined (218)  1 
VK_OEM_4 (219)  1 
VK_OEM_5 (220)  1 
VK_OEM_6 (221)  1 
VK_OEM_7 (222)  1 
VK_OEM_8 (223)  1 
undefined (224)  1 
undefined (225)  1 
VK_OEM_102 (226)  1 
undefined (227)  1 
undefined (228)  1 
VK_PROCESSKEY (229)  1 
undefined (230)  1 
VK_PACKET (231)  1 
undefined (232)  1 
undefined (233)  1 
undefined (234)  1 
undefined (235)  1 
undefined (236)  1 
undefined (237)  1 
undefined (238)  1 
undefined (239)  1 
undefined (240)  1 
undefined (241)  1 
undefined (242)  1 
undefined (243)  1 
undefined (244)  1 
undefined (245)  1 
VK_ATTN (246)  1 
VK_CRSEL (247)  1 
VK_EXSEL (248)  1 
VK_EREOF (249)  1 
VK_PLAY (250)  1 
VK_ZOOM (251)  1 
VK_NONAME (252)  1 
VK_PA1 (253)  1 
VK_OEM_CLEAR (254)  1 
undefined (255)  1 


International Secure Systems Lab
Vienna University of Technology, Eurecom France, UC Santa Barbara
Contact: anubis@iseclab.org