Trojan.DnsChange.16543

Technical Information

Malicious functions

To complicate detection of its presence in the operating system,

modifies the following system settings:

DNS server to '<DNS_SERVER>'
DNS server to '114.114.114.114'

Injects code into

the following user processes:

hfae66a95e54.exe

Modifies file system

Creates the following files

%HOMEPATH%\desktop\<File name>.lnk
<Current directory>\bd3c10db5\f1331a2\bd3cugbwj.dll
<Current directory>\bd3c10db5\e00f3c\7aedavqcx.dll
<Current directory>\bd3c10db5\a10130b\4b2ck5rm7.dll
<Current directory>\bd3c10db5\cdb9ae19\475aavhcx.dll
<Current directory>\bd3c10db5\a5193d6ef43\83d81oj5r.dll
<Current directory>\bd3c10db5\ea08c2\jecb48ded3\e835m7toa.dll
<Current directory>\bd3c10db5\ea08c2\c237e453\acccsn8up.dll
<Current directory>\bd3c10db5\b4ce91c543\b24sezug.dll
<Current directory>\bd3c10db5\ea08c2\aef0f9\b165dytfa.dll
<Current directory>\bd3c10db5\ea08c2\daaa9734\5624dzlg1.dll
<Current directory>\bd3c10db5\ea08c2\e862213\204ei3pk5.dll
<Current directory>\bd3c10db5\ea08c2\f3d01ec71\ead5jezlg.dll
%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012020111420201115\index.dat
<Current directory>\bd3c10db5\ea08c2\eba3f8505\hfae66a95e54.ini
<Current directory>\bd3c10db5\j6c6baf08ff3
%ProgramFiles(x86)%\opera\hfae66a95e54.exe
<Current directory>\bd3c10db5\ea08c2\d2c937b9\55eerfavh.dll
<Current directory>\bd3c10db5\ea08c2\b8a93f3\244cviezl.exe

Deletes the following files

%LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012020111420201115\index.dat

Network activity

TCP

HTTP GET requests

http://si###torage.cn/question/data.txt
http://sh####.#aotongji.com:8080/ via sh####.yaotongji.com
http://www.ba##u.com/
http://www.so##u.com/
http://www.iq##i.com/
http://www.so.com/
http://si###loud.net/question/xinshsfnx.txt
http://www.si##.com.cn/
http://co####5.51yes.com/click.aspx?id##################
http://co####5.51yes.com/sa.htm?id###############################################################################################################################################################...
http://si###loud.net/question/gdgg.txt
http://s1#.#nzz.com/z_stat.php?id#############################
http://z7.#nzz.com/stat.htm?id###################################################################################################################################################################...
http://c.##zz.com/core.php?we###################
http://cn##.mmstat.com/9.gif?ab##################
http://pc####e.cnzz.com/app.gif?&c###########################

HTTP POST requests

http://ya#####g.appchizi.com/kss_io/io.php?v=################################################

UDP

DNS ASK ya#####g.appchizi.com
DNS ASK si###torage.cn
DNS ASK sh####.yaotongji.com
DNS ASK si###loud.net
DNS ASK si##.com.cn
DNS ASK so##u.com
DNS ASK so.com
DNS ASK ba##u.com
DNS ASK iq##i.com
DNS ASK co####5.51yes.com
DNS ASK s1#.#nzz.com
DNS ASK z7.#nzz.com
DNS ASK c.##zz.com
DNS ASK cn##.mmstat.com
DNS ASK pc####e.cnzz.com

Miscellaneous

Searches for the following windows

ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''

Creates and executes the following

'%ProgramFiles(x86)%\opera\hfae66a95e54.exe' WfCSJyR7KpKDfSgfPHsme04=

Рекомендации по лечению

В случае если операционная система способна загрузиться (в штатном режиме или режиме защиты от сбоев), скачайте лечащую утилиту Dr.Web CureIt! и выполните с ее помощью полную проверку вашего компьютера, а также используемых вами переносных носителей информации.
Если загрузка операционной системы невозможна, измените настройки BIOS вашего компьютера, чтобы обеспечить возможность загрузки ПК с компакт-диска или USB-накопителя. Скачайте образ аварийного диска восстановления системы Dr.Web® LiveDisk или утилиту записи Dr.Web® LiveDisk на USB-накопитель, подготовьте соответствующий носитель. Загрузив компьютер с использованием данного носителя, выполните его полную проверку и лечение обнаруженных угроз.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Выполните полную проверку системы с использованием Антивируса Dr.Web Light для macOS. Данный продукт можно загрузить с официального сайта Apple App Store.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Скачать Dr.Web с Apple Store

На загруженной ОС выполните полную проверку всех дисковых разделов с использованием продукта Антивирус Dr.Web для Linux.

Демо бесплатно

Скачать Dr.Web

По серийному номеру

Если мобильное устройство функционирует в штатном режиме, загрузите и установите на него бесплатный антивирусный продукт Dr.Web для Android Light. Выполните полную проверку системы и используйте рекомендации по нейтрализации обнаруженных угроз.
Если мобильное устройство заблокировано троянцем-вымогателем семейства Android.Locker (на экране отображается обвинение в нарушении закона, требование выплаты определенной денежной суммы или иное сообщение, мешающее нормальной работе с устройством), выполните следующие действия:
- загрузите свой смартфон или планшет в безопасном режиме (в зависимости от версии операционной системы и особенностей конкретного мобильного устройства эта процедура может быть выполнена различными способами; обратитесь за уточнением к инструкции, поставляемой вместе с приобретенным аппаратом, или напрямую к его производителю);
- после активации безопасного режима установите на зараженное устройство бесплатный антивирусный продукт Dr.Web для Android Light и произведите полную проверку системы, выполнив рекомендации по нейтрализации обнаруженных угроз;
- выключите устройство и включите его в обычном режиме.

Подробнее о Dr.Web для Android