Ge?ndert von:: Joshua Paul Ignacio
 

Trojan.Win64.Agentb.dm (KASPERSKY), W64/Agent.GK!tr (FORTINET)

 Plattform:

Windows

 Risikobewertung (gesamt):
 Schadenspotenzial::
 Verteilungspotenzial::
 reportedInfection:
 live casino online L?sungen:
Niedrig
Mittel
Hoch
Kritisch

  • Malware-Typ:
    Backdoor

  • Zerstrerisch?:
    Nein

  • Verschlsselt?:
    Nein

  • In the wild::
    Ja

  ?berblick

Infektionsweg: Aus dem Internet heruntergeladen

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

  Technische Details

Dateigr??e: 215,040 bytes
Dateityp: , EXE
Speicherresiden: Ja
Erste Muster erhalten am: 15 Oktober 2019
Schadteil: Connects to URLs/IPs

?bertragungsdetails

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Dateien ein und führt sie aus:

  • {Malware Path}\{Malware Name}.exe:$FILE → contains {Malware Path}\{Malware Name}.exe
  • {Malware Path}\{Malware Name}.exe:$GUID → contains /anchor_dns/{Workstation Name}_{Windows Version}.<{32-character long client ID}>/[0-1]/{Content}\xb[0-9]
  • {Malware Path}\{Malware Name}.exe:$TASK → contains "{string1} autoupdate#{5 Random Numbers}.xml"
    • {string1} can be any of the folders found on %Application Data%
  • "{string1} autoupdate#{5 Random Numbers}".xml → a task scheduler that executes the malware sample with parameter -u every fifteenth minute

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

  • {Obfuscated Message Type + UUID}{Content}.{BLOCKED}ivo.com
    • where Message Type can be any of the following:
      • Type 0 (Sending of Data)
      • Type 1 (Preparation for receival of Data)
      • Type 2 (Receiving of Data)

  L?sungen

Mindestversion der Scan Engine: 9.850
Erste VSAPI Pattern-Datei: 15.618.04
Erste VSAPI Pattern ver?ffentlicht am: 14 Oktober 2019
VSAPI OPR Pattern-Version: 15.619.00
VSAPI OPR Pattern ver?ffentlicht am: 15 Oktober 2019

Step 1

Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 2

<p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p><p> Beachten Sie, dass nicht alle Dateien, Ordner, Registrierungsschlüssel und Einträge auf Ihrem Computer installiert sind, während diese Malware / Spyware / Grayware ausgeführt wird. Dies kann auf eine unvollständige Installation oder andere Betriebssystembedingungen zurückzuführen sein. Fahren Sie mit dem nächsten Schritt fort. </ p>

Step 3

Im abgesicherten Modus neu starten

[ learnMore ]

Step 4

Diese Datei suchen und l?schen

[ learnMore ]
M?glicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollk?stchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Dateien und Ordner in den Suchergebnissen zu berücksichtigen. ?
  • %User Temp%\{Malware Name}.exe
  • {Malware Path}\{Malware Name}\{Malware Name}:$FILE
  • {Malware Path}\{Malware Name}\{Malware Name}:$GUID
  • {Malware Path}\{Malware Name}\{Malware Name}:$TASK
  • "{string1} autoupdate#{5 Random Numbers}".xml

Step 5

Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt nach Dateien, die als Backdoor.Win64.ANCHOR.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.

Step 6

  1. ?ffnen Sie eine Befehlszeile.
    • Benutzer von Windows 2000, Windows XP und Windows Server 2003: Klicken Sie auf 厂迟补谤迟>础耻蝉蹿ü丑谤别苍. Geben Sie im Feld "?ffnen" CMD ein, und drücken Sie dann die Eingabetaste.
    • Benutzer von Windows Vista und Windows 7: Klicken Sie auf Start, geben Sie CMD in das Eingabefeld Suche starten ein, und drücken Sie die Eingabetaste.
  2. Geben Sie an der CMD-Konsole Folgendes ein:

    ATTRIB [+R | -R] [+A | -A ] [+S | -S] [+H | -H] [+I | -I] [Laufwerk:][Pfad][Dateiname] [/S [/D] [/L]]

    Wobei Folgendes gilt:
    + Legt ein Attribut fest.
    - L?scht ein Attribut.
    R Attribut für schreibgeschützte Datei
    A Attribut für Archivdatei
    S Attribut für Systemdatei
    H Attribut für verborgene Datei
    I Attribut für unindiziert Datei
    [Laufwerk:][Pfad][Dateiname]
    Gibt eine Datei bzw. Dateien an, die durch "attrib" verarbeitet werden sollen.
    /S Verarbeitet die zutreffenden Dateien im aktuellen Ordner und allen Unterordnern.
    /D Verarbeitet Ordner
    /L ?ndert Attribute des symbolischen Links statt des Ziels des symbolischen Links
    Beispiel:
    So blenden Sie alle Dateien und Ordner (einschlie?lich der Unterordner) in Laufwerk D: ein
    ATTRIB –H D:\* /S /D
  3. Wiederholen Sie Schritt 3 für Ordner und Dateien auf anderen Laufwerken oder in anderen Verzeichnissen.


Nehmen Sie an unserer Umfrage teil