TrojanDownloader.Win32.Moure_a88fd51dde

Dynamic Analysis

Payload

No specific payload has been found.

Process activity

The Trojan-Downloader creates the following process(es):

ThunderFW.exe:660
ExternalApp.exe:1800
minidownload.exe:140
regsvr32.exe:888
UpdateService.exe:240
UpdateService.exe:460
%original file name%.exe:1328
MiniTPFw.exe:700

The Trojan-Downloader injects its code into the following process(es):

SogouSoftware.exe:1080
MiniThunderPlatform.exe:1296

Mutexes

The following mutexes were created/opened:No objects were found.

File activity

The process SogouSoftware.exe:1080 makes changes in the file system.

The Trojan-Downloader creates and/or writes to the following file(s):

%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\link[4].png (392 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\cache\LocalInfo.xml (7 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\jquery-1.7.2.min[1].js (49189 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\ie-css3[1].htc (1115 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\link[2].png (1168 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\recommend[1].css (145 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\741430117543639[1].png (17104 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\link[1].png (3055 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\CC1430117533187[1].png (14923 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\link[2].png (8 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\link[3].png (1928 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\desktop.ini (67 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\link[1].png (784 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\link[5].png (776 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\link[3].png (392 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\link[1].jpg (3344 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\cache\PCID.xml (685 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\sogousoftware.db (149 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\link[3].png (776 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\scroll[1].js (601 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\SogouSoftwareExternalApp[1].exe (1104620 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\desktop.ini (67 bytes)
%Documents and Settings%\%current user%\Cookies\Current_User@sogou[1].txt (494 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\link[1].png (6155 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\link[3].png (1513 bytes)
%Documents and Settings%\%current user%\Cookies\Current_User@yx.sogou[1].txt (135 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\desktop.ini (67 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\381427456234840[1].jpg (10822 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\cache\SilentParaReponse.xml (97 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\ie-css3[1].htc (4387 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\sogousoftware.db-journal (86 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\loading[1].gif (392 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\link[1].png (392 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\jquery-1.11.1.min[1].js (46785 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\ranking-ico[1].png (1 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\ranking[1].css (73 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQISTQM\link[2].png (392 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\OPQNSD2J\link[4].png (7360 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\link[2].png (776 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\cache\NewVersionReponse.xml (1 bytes)
%Program Files%\SogouSoftware\tmp\ExternalApp.exe (670671 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\cache\OnlineIconReponse.xml (359 bytes)
%Documents and Settings%\%current user%\Cookies\index.dat (1928 bytes)
%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\cache\SoftInfo.xml (809 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\desktop.ini (67 bytes)

The Trojan-Downloader deletes the following file(s):

%Documents and Settings%\%current user%\Application Data\SogouSoftware\data\sogousoftware.db-journal (0 bytes)
%Program Files%\SogouSoftware\tmp\ExternalApp.exe (0 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\link[1].png (0 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\ie-css3[1].htc (0 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\WLMVCPYN\link[2].png (0 bytes)
%Documents and Settings%\%current user%\Cookies\Current_User@sogou[2].txt (0 bytes)
%Documents and Settings%\%current user%\Local Settings\Temporary Internet Files\Content.IE5\4DQJW9YN\link[1].png (0 bytes)

The process ExternalApp.exe:1800 makes changes in the file system.

The Trojan-Downloader creates and/or writes to the following file(s):

%Program Files%\SogouSoftware\3.1.13.79\skin\upgrade_stable_list_item.xml (5 bytes)
%Program Files%\SogouSoftware\3.1.13.79\skin\PNG\button.png (1 bytes)
%Program Files%\SogouSoftware\3.1.13.79\ApkTool\extheme\ApkTool\continuebtn.png (819 bytes)
%Program Files%\SogouSoftware\3.1.13.79\skin\PNG\edit.png (1 bytes)
%Program Files%\SogouSoftware\3.1.13.79\ApkTool\extheme\ApkTool\option_bk.png (1 bytes)
%Program Files%\SogouSoftware\3.1.13.79\skin\PNG\white.png (163 bytes)
%Program Files%\SogouSoftware\3.1.13.79\skin\PNG\9.png (18 bytes)
%Program Files%\SogouSoftware\3.1.13.79\ApkTool\extheme\ApkTool\beginexp.png (1 bytes)
%Program Files%\SogouSoftware\3.1.13.79\skin\confirm_dlg.xml (2 bytes)
%Program Files%\SogouSoftware\3.1.13.79\skin\PNG\update_nor.png (18 bytes)

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&pcid&downloadtype&filename

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&v

&appname&state

<><>

&url&r

&<<<>>>&<<&>&T&_.y....Z.<&l.........

<<<>>>

&url&r

>&<&q..>&k....s...G...<<<&>>>

<<<>>>

&url&r

>&<&><>&<&<&A&><&<>&>>>

<<<>>>

&url&r

>&<<>>>&>&>&kpY.>&><>&

<<<>>>

&url&r

>&<&vM...F.&&><&>><<><&R.9..RJ.....Q

<<<>>>

&url&r

>&<<&<<>>>>>><<<<<<>

<<<>>>

&url&r

>&<<>><&<<<<>>&

<<<>>>

&url&r

>&<>&<<><>&<&m&h.&<&

<<<>>>

&url&r

&<>>&&<<>>>&&Q..a........9E.c....o...>>>

<<<>>>

<<<>>>

&pageNo

&&&u&pcid&filename&&

<<<>>>

<&iTXtXML:com.adobe.xmp.....<><><><><><><><><><

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&>&<&W.>><><&&>&>&><>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<>

<

<><><><><><><><><><><><><><><><><><><><><>

<&<

<

>>>>>

<<<>>>

<

><&l<&<>&<&<>><>>>>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&gid&unc&t&rand

<><><><><><><><><><><><><><><><><><><><><>

&<

<><><><><><><><><><><><><><><><><><><><><>

&>&<&W.>><><&&>&>&><>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><>

<<<>>>

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&g

<><><><><><><><><><><><><><><><><><><>

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><

<<<>>>

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><

<<<>>>

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<><><><><><><><><><><><><><><><><&partner&dl><><><><><><><><><><><><><><><><><><><><

<<<>>>

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<><><>

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<&gt

<><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&gid&unc&t&rand

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&url&r

<><><><><><><><><>>><

<<<>>>

&url&r

>&<<&<<>>>>>><<<<<<>

<<<>>>

&url&r

>&<&>&><<&>>&&><&<

<<<>>>

&url&r

>&<&&&&&&<>>

<<<>>>

&url&r

>&<><<<><><&>&>>

<<<>>>

&url&r

>&<&><>&<&<&A&><&<>&>>>

<<<>>>

&url&r

>&<&q..>&k....s...G...<<<&>>>

<<<>>>

&url&r

>&<&><<>>><&<>&j..x.d..wK.J<>>>>>

<<<>>>

&url&r

>&<>>&><&>><>><&>&&

<<<>>>

&url&r

>&<<><><>&S.G.......h.><>&<><&<<

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

&softurl&pcid&downloadtype&filename&iconurl&softname&softsize&softurl&pcid&downloadtype&filename&iconurl&softname&softsize

<<<>>>

<><><><><><><><><><><><><><&v><><><&appname&state><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><&

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<<

<<<>&><>>><&M<<&&o..oN....<&&

<<<>>>

<<>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&unc&mode

<><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><><>

<<<>>>

&downloadtype&unc&pcid&mode

<><><><><><><><><><><><>>>

<<<>>>

<<<>>>

<><><><>&&<&&&&l&&&&&&f.error&&

<<<>>>

<<<>>>

&&>>>&&b>&&

<<<>>>

<><><><>

<><><><>

<><><><>

<><><><><

<<<>>>

&&&u&pcid&filename&&&u

<<<>>>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<>

>>

<>&l.x4...g....m....&<&<><&&<><>&q.&T......8.W.&<<><

<<<>>>

<<<>>>

&gid&unc&t&rand

&gid&unc&t&activatetype&rand

&gid&unc&t&servicestate&rand

&gid&unc&t&sogousoftware&updateservice&rand

&gid&unc&t&sogousoftware&updateservice&rand

&gid&unc&t&num&rand

&gid&unc&t&tasktype&pcid&downloadtype&softname&extension&rand

&gid&unc&t&bindtype&bindname&weight&scheme&rand

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><>

<<<>>>

<<<>>>

<><><><>

<><><><>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<&vK..2S<&

<>>>><<&&><>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

&&D.TdE..t6..U.e.....u..F&>>>&>&>>>>

<<<>>>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>

<><><><><><><><><><><><><><><><><><><><><>