总报Win32/DNSRegistryChange.A是什么情况

sdog

最近在wd扫描是总提示对威胁采取了措施，但是看记录又没有显示。看了一下MPLog文件，发现报

Win32/DNSRegistryChange.A。查了一下微软官方的解释：

https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior:Win32/DNSRegistryChange.A&threatId=-2147257301

老实说，没看懂，正常应该是有文件执行时才报这个吧。请教大家扫描为啥会报这个呢？

1. <b></b><i></i><u></u><strike></strike>
   
2. 2019-10-27T08:16:16.500Z Timer is triggered for lost scheduled jobs
   
3. 2019-10-27T08:16:16.500Z Task(Scan -ScheduleJob -RestrictPrivileges -ScanType 2 -ScanTrigger 52) is scheduled to run in 48973177(ms) from now at 05:52 (21:52 UTC) with period 86400000(ms). Daily task start time is randomized to reduce spikes.
   
4. 2019-10-27T08:16:17.240Z OnMountDetection for \Device\HarddiskVolume1 ...
   
5. 
   
6. BEGIN BM telemetry
   
7. GUID:{E89D950D-F56A-EC23-E23D-89C5F545A38F}
   
8. TelemetryName:Behavior:Win32/DNSRegistryChange.A
   
9. SignatureID:195384059229447
   
10. ProcessID:11368
    
11. ProcessCreationTime:132165735830512362
    
12. SessionID:0
    
13. CreationTime:10-27-2019 16:16:22
    
14. ImagePath:C:\Windows\System32\svchost.exe
    
15. ImagePathHash:DD191A5B23DF92E12A8852291F9FB5ED594B76A28A5A464418442584AFD1E048
    
16. END BM telemetry
    
17. 
    
18. 2019-10-27T08:16:23.211Z [Cloud] Engine is requesting config to do cloud query [regular network].
    
19. 2019-10-27T08:16:23.227Z [Cloud] SubmitReport(CMpSpyDssContext), ShouldSendEvenOnPaidNetworks: 1
    
20. 2019-10-27T08:16:23.227Z [Cloud] Start of cloud request.
    
21. 2019-10-27T08:16:23.227Z [Cloud] Queued cloud request.
    
22. 2019-10-27T08:16:23.227Z [Cloud] MpEngineCloudRequest(). hr = 0x0
    
23. 2019-10-27T08:16:23.227Z [Cloud] Dequeued cloud request.
    
24. 2019-10-27T08:16:23.227Z [Cloud] RpcSpynetQueueGenerateReport(). hr = 0x0
    
25. 2019-10-27T08:16:23.565Z [Cloud] End of cloud request.

复制代码

ELOHIM

大佬在哪呢？
基于pid，tid的恶意行为提示，WD有很多，不一定是非要有文件才报。
DNS注册器，
你用过类似的？
你现在的DNS是什么？
第4行代码完整的发上来让大家瞅瞅哦！~

sdog

什么是dns注册器啊，我没用过啊。我的笔记本都是正版软件的说...dns是连接的是家里的wifi，选的是自动啊。今晚回去我上传日志，但我没有删减日志内容。

峪飞鹰

从报的行为来看，是WD发现了进程 C:\Windows\System32\svchost.exe 尝试直接修改注册表中 DNS 的设置，这个修改可能是恶意的。

svchost.exe 是一个服务宿主进程，具体行为由其加载的 dll 来完成。所以你需要找到这个 svchost.exe 加载的哪个 dll 请求的才能判断具体是什么原因导致的。

不过理论上 svchost.exe 以及微软自己的服务是没有理由去静默修改 DNS 设置的，你需要仔细检查你的系统。

sdog

上传了日志的完整版，有兴趣的朋友可以看看。但是很好奇，wd检测时不会发现任何问题，而扫描就会发现。好奇怪啊~

ELOHIM

sdog 发表于 2019-10-28 19:56
上传了日志的完整版，有兴趣的朋友可以看看。但是很好奇，wd检测时不会发现任何问题，而扫描就会发现。好奇 ...

用procexp看一下DNS解析用到的svchost.exe被哪些文件注入了。