TROJ_DNSCHANG.XT

Para obtener una visión integral del comportamiento de este Trojan, consulte el diagrama de amenazas que se muestra a continuación.

Este malware puede haberlo descargado otro malware desde sitios remotos.

Detalles de entrada

Este malware puede descargarlo desde sitio(s) remoto(s) el malware siguiente:

• TROJ_PIDIEF.AAL

Puede haberse descargado desde los sitios remotos siguientes:

• http://{BLOCKED}.{BLOCKED}.175.29/load.php

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Program Files%\Common Files\{random file name}.exe

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
DnsUpdater = %Program Files%\Common Files\{malware file name}.exe

Otros detalles

Agrega las siguientes entradas de registro para añadir una opción de desinstalación al Panel de control:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
(Default) = {ethernet adapter}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
UninstallString = %Program Files%\Common Files\{malware file name}.exe uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DisplayName = DNS Changer (remove only)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
Size =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoModify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoRepair = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DhcpEnabled = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DnsRecords = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DnsFile = {BLOCKED}.{BLOCKED}.97.20 {BLOCKED}.{BLOCKED}.97.21

Según el análisis de los códigos, tiene las siguientes capacidades:

• Connects to this URL to get IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/inlogger.php?h={computer name}&u={user name}&t={execution time}
• Connects to this URL for succeeding executions to check for new IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/dns_update.php