Trojan.DnsChange.15349

Для обеспечения автозапуска и распространения:

Модифицирует следующие ключи реестра:

[<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{33e730b4-a400-4924-a8e7-4752954403e7}' = '"<LS_APPDATA>\Package Cache\{33e730b4-a400-4924-a8e7-4752954403e7}\SelfExtract.exe" /burn.runo...

Вредоносные функции:

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

Изменения в файловой системе:

Создает следующие файлы:

%TEMP%\Weather_Buddy_20180311124807_000_WeatherBuddy.log
%WINDIR%\Installer\1fa49.msi
%WINDIR%\Installer\MSI1.tmp
<LS_APPDATA>\Package Cache\{33e730b4-a400-4924-a8e7-4752954403e7}\SelfExtract.exe
<LS_APPDATA>\Package Cache\{33e730b4-a400-4924-a8e7-4752954403e7}\state.rsm
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\WeatherBuddy
%WINDIR%\is-KH31R.tmp
%WINDIR%\src_srv\is-HENLV.tmp
%WINDIR%\src_srv\is-C76VP.tmp
%WINDIR%\unins000.dat
%WINDIR%\Installer\MSI2.tmp
%WINDIR%\src_srv\is-5L4OC.tmp
%WINDIR%\src_srv\is-GVFE8.tmp
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.be\SelfExtract.exe
<LS_APPDATA>\flashpluginv_2.1.exe
%TEMP%\is-BSO3I.tmp\temp.tmp
%TEMP%\is-8RHQV.tmp\_isetup\_shfoldr.dll
%APPDATA%\wb_ni_23_139_c.exe
%APPDATA%\temp.exe
%TEMP%\{21F09D77-75BD-4166-8120-47A52C2ACC64}\.cr\wb_ni_23_139_c.exe
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.ba\wixstdba.dll
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.ba\license.rtf
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.ba\BootstrapperApplicationData.xml
%TEMP%\Weather_Buddy_20180311124807.log
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.ba\thm.xml
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.ba\thm.wxl
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\.ba\logo.png

Удаляет следующие файлы:

Перемещает следующие файлы:

%WINDIR%\src_srv\is-GVFE8.tmp в %WINDIR%\src_srv\Ionic.Zip.dll
%WINDIR%\src_srv\is-HENLV.tmp в %WINDIR%\src_srv\winsrcsrv.exe
%WINDIR%\src_srv\is-C76VP.tmp в %WINDIR%\src_srv\Trusted.Web.Proxy.dll
%WINDIR%\src_srv\is-5L4OC.tmp в %WINDIR%\src_srv\accept_cert.exe
%TEMP%\{31D19E1C-FAD1-41F9-8220-A42B2E688F41}\WeatherBuddy в <LS_APPDATA>\Package Cache\.unverified\WeatherBuddy
<LS_APPDATA>\Package Cache\.unverified\WeatherBuddy в <LS_APPDATA>\Package Cache\{33BC2D7A-2CFE-40C7-9B99-117886D9E0E4}v1.0.23\WeatherBuddy_ni_v23.msi
%WINDIR%\is-KH31R.tmp в %WINDIR%\unins000.exe

Сетевая активность:

Подключается к:

TCP:

Запросы HTTP GET:

http://www.my###search.com/src_srv_api/reportattempt.php?tp############ via my###search.com

UDP:

Другое:

Создает и запускает на исполнение:

'%TEMP%\{21F09D77-75BD-4166-8120-47A52C2ACC64}\.cr\wb_ni_23_139_c.exe' -burn.clean.room="%APPDATA%\wb_ni_23_139_c.exe" -burn.filehandle.attached=348 -burn.filehandle.self=344 -norestart -repair -s
'%TEMP%\is-BSO3I.tmp\temp.tmp' /SL5="$100F0,363326,56832,%APPDATA%\temp.exe" /VERYSILENT
'%APPDATA%\wb_ni_23_139_c.exe' -norestart -repair -s
'%APPDATA%\temp.exe' /VERYSILENT

Запускает на исполнение:

'<SYSTEM32>\netsh.exe' interface ipv4 add dnsserver "Ethernet" address=18.216.123.98
'<SYSTEM32>\msiexec.exe' /V
'<SYSTEM32>\msiexec.exe' -Embedding B1995C56295F275EFCB0E9C086C1D085
'<SYSTEM32>\cmd.exe' /C netsh interface ip set dns name="Local Area Connection" static 18.216.123.98
'<SYSTEM32>\cmd.exe' /C netsh interface ipv4 add dnsserver "Ethernet" address=18.216.123.98
'<SYSTEM32>\netsh.exe' interface ip set dns name="Local Area Connection" static 18.216.123.98