MSN TEST 2

With MSN Pass Sender:



We configure this password stealer (here named roberto) and launch it:




Here the fake process crss.exe is launched:







Now the fake crss.exe install its windows hooks via msvbvm60.dll:




hijack.exe launched via cmd trie to modify lsass.exe:








The fake crss.exe trie to connect to the net in order to send the data  intercepted via hooks:




And here the message hooks of the real and fake crss.exe shown by IceSword:







And here some of MSN pass sender actions:


#    Time sent    Dur.    ProcessIRP_MJ_CLEANUP    00000404    E188CD20    C:WINDOWSWinSxSx86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2180_x-ww_a84f1ff9    STATUS_SUCCESS   
2401    19:18:29.703    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000010    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_SUCCESS    FileNameInformation
2402    19:18:29.718    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000010    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_SUCCESS    FileNameInformation
2403    19:18:29.718    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSPrefetchSERVER.EXE-0DCD25B9.pf    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00000020 Access: 0x00120089 Share: 0 Attrib: 0 Result: FILE_SUPERSEDED
2404    19:18:29.718    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSender    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00000021 Access: 0x00100020 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2405    19:18:29.718    0    Server.exe    IRP_MJ_FILE_SYSTEM_CONTROL/IRP_MN_USER_FS_REQUEST    00000800    E1A040D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSender    STATUS_SUCCESS    FSCTL_IS_VOLUME_MOUNTED (0x00090028)
2406    19:18:29.718    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: FE4F6960-C03E4901 EndOfFile: 00000000-00000000 Attrib: 0xFA11CB98
2407    19:18:29.718    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E1907588    C:WINDOWSsystem32kernel32.dll    STATUS_SUCCESS    FileNameInformation
2408    19:18:29.718    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2409    19:18:29.718    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2410    19:18:29.718    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2411    19:18:29.718    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2412    19:18:29.734    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2413    19:18:29.734    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2414    19:18:29.734    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2415    19:18:29.734    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2416    19:18:29.734    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2417    19:18:29.734    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = kernel32.dl)
2418    19:18:29.734    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2419    19:18:29.734    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2420    19:18:29.734    0    Server.exe    IRP_MJ_READ    00000043    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_SUCCESS    Offset 00000000-0000B200 ToRead 3E00 Read 3DE1
2421    19:18:29.734    0    Server.exe    IRP_MJ_READ    00000043    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_SUCCESS    Offset 00000000-00004200 ToRead 4000 Read 4000
2422    19:18:29.734    0    Server.exe    IRP_MJ_READ    00000043    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_SUCCESS    Offset 00000000-00008200 ToRead 3000 Read 3000
2423    19:18:29.734    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2424    19:18:29.734    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: 00000038 AllocationSize: 00000000-00155000 EndOfFile: 00000000-0015401F Attrib: 0x00000020
2425    19:18:29.734    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32MSVBVM60.DLL    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00000060 Access: 0x00100020 Share: 0x00000005 Attrib: 0 Result: FILE_OPENED
2426    19:18:29.734    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00001014    E1FB8D90    C:WINDOWSsystem32MSVBVM60.DLL    STATUS_SUCCESS    FileNameInformation
2427    19:18:29.734    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1FB8D90    C:WINDOWSsystem32MSVBVM60.DLL    STATUS_SUCCESS   
2428    19:18:29.734    0    Server.exe    IRP_MJ_CLOSE    00000404    E1FB8D90    C:WINDOWSsystem32MSVBVM60.DLL    STATUS_SUCCESS   
2429    19:18:29.734    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000010    E1FB8D90    C:WINDOWSsystem32msvbvm60.dll    STATUS_SUCCESS    FileNameInformation
2430    19:18:29.734    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2431    19:18:29.734    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2432    19:18:29.734    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2433    19:18:29.734    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2434    19:18:29.734    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2435    19:18:29.734    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2436    19:18:29.734    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2437    19:18:29.734    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2438    19:18:29.734    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2439    19:18:29.734    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = msvbvm60.dl)
2440    19:18:29.734    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2441    19:18:29.734    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2442    19:18:29.750    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E190BD90    C:WINDOWSsystem32user32.dll    STATUS_SUCCESS    FileNameInformation
2443    19:18:29.750    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2444    19:18:29.750    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2445    19:18:29.750    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2446    19:18:29.750    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2447    19:18:29.750    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2448    19:18:29.750    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2449    19:18:29.750    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2450    19:18:29.750    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2451    19:18:29.750    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2452    19:18:29.750    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = user32.dl)
2453    19:18:29.750    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2454    19:18:29.750    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2455    19:18:29.750    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E190C208    C:WINDOWSsystem32gdi32.dll    STATUS_SUCCESS    FileNameInformation
2456    19:18:29.750    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2457    19:18:29.750    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2458    19:18:29.750    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2459    19:18:29.750    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2460    19:18:29.750    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2461    19:18:29.750    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2462    19:18:29.750    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2463    19:18:29.750    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2464    19:18:29.750    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2465    19:18:29.750    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = gdi32.dl)
2466    19:18:29.750    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2467    19:18:29.750    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2468    19:18:29.750    15    Server.exe    IRP_MJ_READ    00000043    E1FB8D90    C:WINDOWSsystem32msvbvm60.dll    STATUS_SUCCESS    Offset 00000000-00001000 ToRead 1000 Read 1000
2469    19:18:29.765    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E189AD90    C:WINDOWSsystem32advapi32.dll    STATUS_SUCCESS    FileNameInformation
2470    19:18:29.765    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2471    19:18:29.765    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2472    19:18:29.765    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2473    19:18:29.765    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2474    19:18:29.765    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2475    19:18:29.765    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2476    19:18:29.765    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2477    19:18:29.765    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2478    19:18:29.765    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2479    19:18:29.765    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = advapi32.dl)
2480    19:18:29.765    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2481    19:18:29.765    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2482    19:18:29.765    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E190A0D0    C:WINDOWSsystem32rpcrt4.dll    STATUS_SUCCESS    FileNameInformation
2483    19:18:29.765    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2484    19:18:29.765    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2485    19:18:29.765    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2486    19:18:29.765    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2487    19:18:29.765    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2488    19:18:29.765    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2489    19:18:29.765    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2490    19:18:29.765    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2491    19:18:29.765    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2492    19:18:29.765    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = rpcrt4.dl)
2493    19:18:29.765    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2494    19:18:29.765    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2495    19:18:29.781    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E1906A50    C:WINDOWSsystem32ole32.dll    STATUS_SUCCESS    FileNameInformation
2496    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2497    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2498    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2499    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2500    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2501    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2502    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2503    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2504    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2505    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = ole32.dl)
2506    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2507    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2508    19:18:29.781    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E190E710    C:WINDOWSsystem32msvcrt.dll    STATUS_SUCCESS    FileNameInformation
2509    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2510    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2511    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2512    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2513    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2514    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2515    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2516    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2517    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2518    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = msvcrt.dl)
2519    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2520    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2521    19:18:29.781    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E1906710    C:WINDOWSsystem32oleaut32.dll    STATUS_SUCCESS    FileNameInformation
2522    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2523    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2524    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2525    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2526    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2527    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2528    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2529    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2530    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2531    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = oleaut32.dl)
2532    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2533    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2534    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2535    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2536    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2537    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2538    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2539    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2540    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2541    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2542    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2543    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_OBJECT_NAME_NOT_FOUND    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: FILE_SUPERSEDED AllocationSize: 81A1AB78-00000000 EndOfFile: 81A1AB04-81A1AAE8 Attrib: 0x81A1AAE8
2544    19:18:29.781    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: 00000038 AllocationSize: 00000000-0000F000 EndOfFile: 00000000-0000F000 Attrib: 0x00000020
2545    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32sockspy.dll    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00000060 Access: 0x00100020 Share: 0x00000005 Attrib: 0 Result: FILE_OPENED
2546    19:18:29.781    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00001014    E191E710    C:WINDOWSsystem32sockspy.dll    STATUS_SUCCESS    FileNameInformation
2547    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E191E710    C:WINDOWSsystem32sockspy.dll    STATUS_SUCCESS   
2548    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E191E710    C:WINDOWSsystem32sockspy.dll    STATUS_SUCCESS   
2549    19:18:29.781    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000014    E191E710    C:WINDOWSsystem32sockspy.dll    STATUS_SUCCESS    FileNameInformation
2550    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2551    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2552    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2553    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2554    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2555    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2556    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2557    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2558    19:18:29.781    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2559    19:18:29.781    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = sockspy.dl)
2560    19:18:29.781    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2561    19:18:29.781    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2562    19:18:29.796    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00001014    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_BUFFER_OVERFLOW    FileNameInformation
2563    19:18:29.796    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00001014    E14440D0    C:Documents and SettingsAdministrateur.POSTE2Mes documentsMes vidéosMSN PassSenderServer.exe    STATUS_SUCCESS    FileNameInformation
2564    19:18:29.796    15    Server.exe    IRP_MJ_READ    00000043    E1FB8D90    C:WINDOWSsystem32msvbvm60.dll    STATUS_SUCCESS    Offset 00000000-0010C000 ToRead 4000 Read 4000
2565    19:18:29.812    0    Server.exe    IRP_MJ_READ    00000043    E1FB8D90    C:WINDOWSsystem32msvbvm60.dll    STATUS_SUCCESS    Offset 00000000-00110000 ToRead 3000 Read 3000
2566    19:18:29.812    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: 00000038 AllocationSize: 00000000-0001E000 EndOfFile: 00000000-0001D310 Attrib: 0x00000020
2567    19:18:29.812    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00000060 Access: 0x00100020 Share: 0x00000005 Attrib: 0 Result: FILE_OPENED
2568    19:18:29.812    0    Server.exe    FASTIO_QUERY_STANDARD_INFO        E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS    AllocationSize: 00000000-0001E000 EndOfFile: 00000000-0001D310 NumberOfLinks: 1 DeletePending: 0 Directory: 0
2569    19:18:29.812    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS   
2570    19:18:29.812    15    Server.exe    IRP_MJ_READ    00000043    E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS    Offset 00000000-00000000 ToRead 8000 Read 8000
2571    19:18:29.828    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: 00000038 AllocationSize: 00000000-0001E000 EndOfFile: 00000000-0001D310 Attrib: 0x00000020
2572    19:18:29.828    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00000060 Access: 0x00100020 Share: 0x00000005 Attrib: 0 Result: FILE_OPENED
2573    19:18:29.828    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00001014    E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS    FileNameInformation
2574    19:18:29.828    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS   
2575    19:18:29.828    0    Server.exe    IRP_MJ_CLOSE    00000404    E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS   
2576    19:18:29.828    0    Server.exe    IRP_MJ_QUERY_INFORMATION    00000010    E1CA09E0    C:WINDOWSsystem32VB6FR.DLL    STATUS_SUCCESS    FileNameInformation
2577    19:18:29.828    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2578    19:18:29.828    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171ED20    C:    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = WINDOW)
2579    19:18:29.828    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171ED20    C:    STATUS_SUCCESS   
2580    19:18:29.828    0    Server.exe    IRP_MJ_CLOSE    00000404    E171ED20    C:    STATUS_SUCCESS   
2581    19:18:29.828    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWS    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2582    19:18:29.828    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E171B800    C:WINDOWS    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = system3)
2583    19:18:29.828    0    Server.exe    IRP_MJ_CLEANUP    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2584    19:18:29.828    0    Server.exe    IRP_MJ_CLOSE    00000404    E171B800    C:WINDOWS    STATUS_SUCCESS   
2585    19:18:29.828    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00004021 Access: 0x00100001 Share: 0x00000003 Attrib: 0 Result: FILE_OPENED
2586    19:18:29.828    0    Server.exe    IRP_MJ_DIRECTORY_CONTROL/IRP_MN_QUERY_DIRECTORY    00000800    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS    FileBothDirectoryInformation (FileMask = VB6FR.DL)
2587    19:18:29.828    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2588    19:18:29.828    0    Server.exe    IRP_MJ_CLOSE    00000404    E1676970    C:WINDOWSsystem32    STATUS_SUCCESS   
2589    19:18:29.828    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d Getting Name=-]    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00200000 Access: 0x00000080 Share: 0x00000007 Attrib: 0 Result: 00000038 AllocationSize: 00000000-00062000 EndOfFile: 00000000-00061200 Attrib: 0x00000020
2590    19:18:29.828    0    Server.exe    IRP_MJ_CREATE    00000884    00000000    C:WINDOWSsystem32rpcss.dll    STATUS_SUCCESS    FILE_OPEN CreOpts: 0x00000060 Access: 0x00100020 Share: 0x00000005 Attrib: 0 Result: FILE_OPENED
2591    19:18:29.828    0    Server.exe    FASTIO_QUERY_STANDARD_INFO        E1937710    C:WINDOWSsystem32rpcss.dll    STATUS_SUCCESS    AllocationSize: 00000000-00062000 EndOfFile: 00000000-00061200 NumberOfLinks: 1 DeletePending: 0 Directory: 0
2592    19:18:29.828    0    Server.exe    IRP_MJ_CLEANUP    00000404    E1937710    C:WINDOWSsystem32rpcss.dll    STATUS_SUCCESS   
2593    19:18:29.828    0    Server.exe    IRP_MJ_CLOSE    00000404    E1937710    C:WINDOWSsystem32rpcss.dll    STATUS_SUCCESS   
2594    19:18:29.843    0    Server.exe    FASTIO_QUERY_OPEN        00000000    C:[-=Error 0xc000000d