Trojan.DownLoader23.45874

Technical Information

To ensure autorun and distribution:

Modifies the following registry keys:

[<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe, "<DRIVERS>\etc\Meta.dll"'

Malicious functions:

Creates and executes the following:

'%APPDATA%\Proxyshark1.exe'

Modifies file system:

Creates the following files:

<DRIVERS>\etc\Meta.dll
<DRIVERS>\etc\svchost.exe
%APPDATA%\Proxyshark1.exe

Network activity:

Connects to:

'www.xr##y.com':80
'pr#######cher.sourceforge.net':80
'pr###-list.org':80
'www.pr###base.de':80
'www.ba###ools.com':80
'wp#d':80
'fr###proxy.cz':80
'ss######es24.blogspot.de':80

TCP:

HTTP GET requests:

http://fr###proxy.cz/en/proxylist/main/24
http://fr###proxy.cz/en/proxylist/main/25
http://fr###proxy.cz/en/proxylist/main/22
http://fr###proxy.cz/en/proxylist/main/23
http://fr###proxy.cz/en/proxylist/main/29
http://fr###proxy.cz/en/proxylist/main/30
http://fr###proxy.cz/en/proxylist/main/26
http://fr###proxy.cz/en/proxylist/main/27
http://fr###proxy.cz/en/proxylist/main/17
http://fr###proxy.cz/en/proxylist/main/18
http://fr###proxy.cz/en/proxylist/main/15
http://fr###proxy.cz/en/proxylist/main/16
http://fr###proxy.cz/en/proxylist/main/20
http://fr###proxy.cz/en/proxylist/main/21
http://fr###proxy.cz/en/proxylist/main/19
http://www.xr##y.com/proxylist.php?po###############################################################################
http://www.xr##y.com/proxylist.php?po################################################################################
http://www.xr##y.com/proxylist.php?po#################################################################################
http://www.pr###base.de/
http://fr###proxy.cz/en/proxylist/main/39
http://fr###proxy.cz/en/proxylist/main/40
http://pr###-list.org/german/index.php?p=#
http://pr###-list.org/german/index.php?p=##
http://www.pr###base.de/index.php?st######
http://www.pr###base.de/index.php?st#######
http://fr###proxy.cz/en/proxylist/main/33
http://fr###proxy.cz/en/proxylist/main/34
http://fr###proxy.cz/en/proxylist/main/31
http://fr###proxy.cz/en/proxylist/main/32
http://fr###proxy.cz/en/proxylist/main/37
http://fr###proxy.cz/en/proxylist/main/38
http://fr###proxy.cz/en/proxylist/main/35
http://fr###proxy.cz/en/proxylist/main/36
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/6
http://fr###proxy.cz/en/proxylist/main/3
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/5
http://fr###proxy.cz/en/proxylist/main/2
http://fr###proxy.cz/en/proxylist/main/4
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/8
http://pr#######cher.sourceforge.net/ProxyList.php?ty#####################
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/7
http://ss######es24.blogspot.de/
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/1
http://11#.#11.111.1/wpad.dat via wp#d
http://www.ba###ools.com/sharktrial2.txt
http://fr###proxy.cz/en/proxylist/main/1
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/4
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/2
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/3
http://fr###proxy.cz/en/proxylist/main/5
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/14
http://fr###proxy.cz/en/proxylist/main/11
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/13
http://fr###proxy.cz/en/proxylist/main/10
http://fr###proxy.cz/en/proxylist/main/13
http://fr###proxy.cz/en/proxylist/main/14
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/15
http://fr###proxy.cz/en/proxylist/main/12
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/10
http://fr###proxy.cz/en/proxylist/main/7
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/9
http://fr###proxy.cz/en/proxylist/main/6
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/12
http://fr###proxy.cz/en/proxylist/main/9
http://fr###proxy.cz/en/proxylist/country/all/http/speed/level1/11
http://fr###proxy.cz/en/proxylist/main/8