TROJ_DNSCHANG.XT

Um einen Überblick über das Verhalten dieser Trojan zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird möglicherweise von anderer Malware von Remote-Sites heruntergeladen:

Übertragungsdetails

Wird möglicherweise von der folgender Malware von Remote-Sites heruntergeladen:

• TROJ_PIDIEF.AAL

Wird möglicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}.{BLOCKED}.175.29/load.php

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Program Files%\Common Files\{random file name}.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
DnsUpdater = %Program Files%\Common Files\{malware file name}.exe

Andere Details

Fügt die folgenden Registrierungseinträge hinzu, um der Systemsteuerung eine Deinstallationsoption hinzuzufügen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
(Default) = {ethernet adapter}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
UninstallString = %Program Files%\Common Files\{malware file name}.exe uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DisplayName = DNS Changer (remove only)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
Size =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoModify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoRepair = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DhcpEnabled = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DnsRecords = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DnsFile = {BLOCKED}.{BLOCKED}.97.20 {BLOCKED}.{BLOCKED}.97.21

Ausgehend von der Analyse des Codes verfügt die Malware über die folgenden Fähigkeiten:

• Connects to this URL to get IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/inlogger.php?h={computer name}&u={user name}&t={execution time}
• Connects to this URL for succeeding executions to check for new IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/dns_update.php