Trojan.IStartSurf

O Trojan Extenbro, também detectado como Trojan.IStartSurf, é um Trojan seqüestrador de DNS recém-encontrado, capaz de trocar servidores DNS genuínos gerenciados por um ISP real por servidores não autorizados gerenciados por agentes de malware. Ao fazer isso, o Extenbro/Trojan.IStartSurf impede que usuários de PC direcionados acessem as soluções de software AV, o que pode ser necessário para remover as irritantes ferramentas de adware plantadas anteriormente pelo trocador de DNS. O redirecionamento de servidores DNS limpos para comprometidos depende da neutralização bem-sucedida do protocolo IPv6.

Os DNS Changers estão em circulação desde o final de 2011, quando o FBI neutralizou uma série de servidores DNS não autorizados que se comunicavam com PCs já controlados por um DNS Changer. Quando redirecionada para um DNS Changer não autorizado, a máquina do usuário do PC é obrigada a permanecer offline permanentemente, a menos que seja redirecionada para servidores DNS descomprometidos.

O objetivo perseguido pelos atores de malware que usam malware que altera o DNS é inundar os usuários-alvo com fluxos intermináveis de pop-ups de adware e iscas de clique, o que poderia jogá-los no fundo de possíveis ameaças de malware maiores. A perspectiva de um resultado desse tipo é bastante real para muitos anúncios pop-up projetados para induzir as pessoas a realizar uma série de cliques na página, o que pode levar a uma ou mais formas de ameaça de desembarque de software em suas máquinas. Para alcançar essa escalação de malware, os atores responsáveis precisam bloquear o acesso do usuário do PC a qualquer fornecedor de antimalware. Como um DNS Changer é capaz de bloquear alguém da conexão com a Internet, o Extenbro/Trojan.IStartSurf pode ser usado para fazer exatamente isso. Em vez de bloquear tudo, no entanto, os usurpadores da Extenrbo reduziram seus destinos para quatro servidores DNS, a saber:

- 45.86.180.227
- 185.162.93.213
- 116.203.6.218
- 185.130.104.222

Os servidores mencionados acima podem ser vistos apenas na guia Configurações avançadas de TCP/IP. Mesmo que um usuário infectado possa removê-lo um por um, ele ressurge após a reinicialização do sistema, graças a um agendador de tarefas plantado no diretório AppData do usuário. Por último, mas não menos importante, o Extenbro incorpora um certificado raiz diretamente no Windows Certificate Store. Os usuários infectados que desejam superar a barreira do DNS estabelecida pelo malware Extenbro/Trojan.IStartSurf precisam procurar os servidores DNS usados pelos seus ISPs (Internet Service Providers) ou procurar ajuda especializada.