Trojan.DnsChange.16074

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'NVIDIA GeForce Experience' = '<Полный путь к файлу>'
[<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'NVIDIA GeForce Experience' = '<Полный путь к файлу>'

Вредоносные функции

Для затруднения выявления своего присутствия в системе

изменяет следующие системные настройки:

Изменяет DNS-сервер на '<DNS_SERVER>'
Изменяет DNS-сервер на '114.114.114.114'

Изменения в файловой системе

Создает следующие файлы

%PROGRAMDATA%\wmiprvsefileassoc.exe

Присваивает атрибут 'скрытый' для следующих файлов

<Полный путь к файлу>

Удаляет следующие файлы

%PROGRAMDATA%\wmiprvsefileassoc.exe

Подменяет следующие файлы

%PROGRAMDATA%\wmiprvsefileassoc.exe

Сетевая активность

Подключается к

'localhost':19490
'tx####inggreat.top':443
'mi##.c3pool.com':13333

UDP

DNS ASK tx####inggreat.top
DNS ASK mi##.c3pool.com

Другое

Ищет следующие окна

ClassName: '' WindowName: 'Г€ГЋГЋГ±В№ГњГЂГГ†Г·'
ClassName: '' WindowName: 'タスクマネージャ'
ClassName: '' WindowName: 'windowsタスクマネージャ'
ClassName: '' WindowName: 'operaation johtaja'
ClassName: '' WindowName: 'Диспетчер задач'
ClassName: '' WindowName: 'ikkunat teht?v?n johtaja'
ClassName: '' WindowName: 'windows 작업 관리자менеджер задач windowsВ '
ClassName: '' WindowName: 'ВҐВїВҐВ№ВҐВЇВҐГћВҐГЌВ©`ВҐВёВҐГЈ'
ClassName: '' WindowName: '작업 관리자'
ClassName: '' WindowName: 'windowsВҐВїВҐВ№ВҐВЇВҐГћВҐГЌВ©`ВҐВёВҐГЈ'
ClassName: '' WindowName: 'В§ВҐВ§ГљВ§ГЈВ§ГЎВ§Г–В§Г¤В§Г©В§Г–В§Гў В§Г™В§Г‘В§Г•В§Г‘В§Г©'
ClassName: '' WindowName: '防火墙'
ClassName: '' WindowName: 'Process Explorer'
ClassName: '' WindowName: '工作管理員'
ClassName: '' WindowName: 'В·ГЂВ»Г°Г‡ВЅ'
ClassName: '' WindowName: 'windows工作管理員'
ClassName: '' WindowName: 'В№В¤Г—Г·В№ГњГЂГ†T'
ClassName: '' WindowName: 'windowsВ№В¤Г—Г·В№ГњГЂГ†T'
ClassName: '' WindowName: 'Manager'
ClassName: '' WindowName: '急救箱'
ClassName: '' WindowName: 'Windows Task Manager'
ClassName: '' WindowName: '网络流量'
ClassName: '' WindowName: 'ВјВ±ВѕГ€ГЏГ¤'
ClassName: '' WindowName: 'ГЌГёГ‚Г§ГЃГ·ГЃВї'
ClassName: '' WindowName: '资源监视器'
ClassName: '' WindowName: 'Task Manager'
ClassName: '' WindowName: 'Windows 任务管理器'
ClassName: '' WindowName: 'Г—ГЉГ”ВґВјГ ГЉГ“Г†Г·'
ClassName: '' WindowName: '任务管理器'
ClassName: '' WindowName: 'Windows Г€ГЋГЋГ±В№ГњГЂГГ†Г·'
ClassName: '' WindowName: 'ผู้จัดการงาน'
ClassName: '' WindowName: 'ikkunat tehtГ¤vГ¤n johtaja'

Создает и запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ipconfig /flushdns&&exit' (со скрытым окном)
'%PROGRAMDATA%\wmiprvsefileassoc.exe' -o stratum+tcp://mine.c3pool.com:13333 -u 49LxcDj6At2Xv7Tj1C3BhHTqaeWhU2iNFMsD7rJdf4TuiAxBdSHWfBrHwc42ZJTN1LTMjvF725VvEgrgnJyBYvEj3incvNo -p CPU --max-cpu-usage=25 -K' (со скрытым окном)

Запускает на исполнение