Analys¨¦ par: Rika Joi Gregorio   
 Modifi¨¦ par: : RonJay Kristoffer Caragay
 

AdWare.Win32.Bromngr.b (Kaspersky), Bprotector (fs) (Sunbelt), a variant of Win32/bProtector.B application (Eset), Adware.GoonSquad (Norton), Adware/Bromngr (Fortinet), App/BProtect-B (Webroot)

 Plate-forme:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Overall Risk:
 Dommages potentiels: :
 Distribution potentielle: :
 reportedInfection:
 Information Exposure Rating::
Faible
Medium
?±ô±ð±¹¨¦
Critique

  • Type de grayware:
    Adware

  • Destructif:
    Non

  • Chiffrement:
    Non

  • In the wild::
    Oui

  Overview

Voie d'infection: Aus dem Internet heruntergeladen, Fallen gelassen von anderer Malware

Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets ¨¹bertragen. Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erw?hnten Sites jedoch nicht zug?nglich.

  D¨¦tails techniques

File size: 2,716 bytes
File type: Other
Date de r¨¦ception des premiers ¨¦chantillons: 02 mai 2013
Charge malveillante: Downloads files

?bertragungsdetails

Wird als eine Komponente eines Malware-/Grayware-/Spyware-Pakets ¨¹bertragen.

Wird m?glicherweise von den folgenden externen Sites heruntergeladen:

  • http://www.{BLOCKED}ystem.com/builds/2063B90/pack.7z
  • http://{BLOCKED}szq85hyn.cloudfront.net/builds/2063B90/pack.7z

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erw?hnten Sites jedoch nicht zug?nglich.

Installation

Schleust folgende Dateien/Komponenten ein:

  • %User Temp%\ns{random letter}{random numbers}.tmp\babylon.dll - deleted immediately after dropping, also detected as ADW_BPROTECT

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht b?sartigen Dateien ein:

  • %User Temp%\ns{random letter}{random numbers}.tmp\installutils.dll - deleted after dropping
  • %User Temp%\ns{random letter}{random numbers}.tmp\InetLoad.dll - deleted after dropping

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

  • %User Temp%\ns{random letter}{random numbers}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Registriert sich als BHO, damit die Ausf¨¹hrung bei jedem Aufruf von Internet Explorer automatisch gew?hrleistet ist. Dazu werden die folgenden Registrierungsschl¨¹ssel hinzugef¨¹gt:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\ {4D2D3B0F-69BE-477A-90F5-FDDB05357975}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO\CurVer

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO.1

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\kerberos_bho.DLL

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\{BD56B5F0-BF3B-4AE5-A26D-FF92250A465E}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\InprocServer32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\ProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\Programmable

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\VersionIndependentProgID

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\ProxyStubClsid

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\ProxyStubClsid32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\TypeLib

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
0\win32

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
FLAGS

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
HELPDIR

F¨¹gt die folgenden Registrierungseintr?ge hinzu, um sich als Browser Helper Object (BHO) zu installieren:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO
Default = "ProtectorBHO Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO\CLSID
Default = "{4D2D3B0F-69BE-477A-90F5-FDDB05357975}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO\CurVer
Default = "kerberos_bho.ProtectorBHO.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO.1
Default = "ProtectorBHO Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
kerberos_bho.ProtectorBHO.1\CLSID
Default = "{4D2D3B0F-69BE-477A-90F5-FDDB05357975}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
AppID\kerberos_bho.DLL
AppID = "{BD56B5F0-BF3B-4AE5-A26D-FF92250A465E}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}
Default = "kerberos_bho"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}
Default = "ProtectorBHO Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\InprocServer32
Default = "{malware path}\kerberos_bho.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\InprocServer32
ThreadingModel = "Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\ProgID
Default = "kerberos_bho.ProtectorBHO.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\TypeLib
Default = "{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{4D2D3B0F-69BE-477A-90F5-FDDB05357975}\VersionIndependentProgID
Default = "kerberos_bho.ProtectorBHO"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}
Default = "IProtectorBHO"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\ProxyStubClsid
Default = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\ProxyStubClsid32
Default = "{00020424-0000-0000-C000-000000000046}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\TypeLib
Default = "{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Interface\{8A556DF6-9025-45A8-9977-51DBEA33AFEA}\TypeLib
Version = "1.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0
Default = "kerberos_bho 1.0 Type Library"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
0\win32
Default = "{malware path}\kerberos_bho.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
FLAGS
Default = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
TypeLib\{BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}\1.0\
HELPDIR
Default = "{malware path}"

Download-Routine

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

  • %User Temp%\ns{random letter}{random numbers}.tmp\pack.7z - updated copy of ADW_BPROTECT

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

  Solutions

Moteur de scan minimum: 9.700
SSAPI Pattern File: 1.398.15
SSAPI Pattern Release Date: 02 mai 2013

Step 2

F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.

Step 3

Schlie?en Sie alle ge?ffneten Browser-Fenster

Step 4

Diesen Registrierungswert l?schen

[ learnMore ]

Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
    • {4D2D3B0F-69BE-477A-90F5-FDDB05357975}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes
    • kerberos_bho.ProtectorBHO
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID
    • kerberos_bho.DLL
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID
    • BD56B5F0-BF3B-4AE5-A26D-FF92250A465E}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
    • {4D2D3B0F-69BE-477A-90F5-FDDB05357975}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface
    • {8A556DF6-9025-45A8-9977-51DBEA33AFEA}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib
    • {BFCFC139-033E-4A6D-BAA2-C6AAD53A1EDD}

Step 5

Diesen Ordner suchen und l?schen

[ learnMore ]
Aktivieren Sie unbedingt das Kontrollk?stchen Versteckte Elemente durchsuchen unter Weitere erweiterte Optionen, um alle verborgenen Ordner in den Suchergebnissen zu ber¨¹cksichtigen.
  • %Application Data%\Mozilla\Firefox\Profiles\{random value}.default\extensions\{0F827075-B026-42F3-885D-98981EE7B1AE}
  • %AppDataLocal%\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph
  • %User Temp%\ns{random letter}{random numbers}.tmp

Step 6

Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als ADW_BPROTECT entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.

Step 7

Diese Dateien suchen und l?schen

[ learnMore ]
M?glicherweise sind einige Komponentendateien verborgen. Aktivieren Sie unbedingt das Kontrollk?stchen Versteckte Elemente durchsuchen unter "Weitere erweiterte Optionen", um alle verborgenen Dateien und Ordner in den Suchergebnissen zu ber¨¹cksichtigen. ?
  • %User Temp%\ns{random letter}{random numbers}.tmp\babylon.dll
DATA_GENERIC_FILENAME_1
  • W?hlen Sie im Listenfeld lt;i>Suchen in die Option Arbeitsplatz, und dr¨¹cken Sie die Eingabetaste.
  • Markieren Sie die gefundene Datei, und dr¨¹cken Sie UMSCHALT+ENTF, um sie endg¨¹ltig zu l?schen.
  • Wiederholen Sie die Schritte 2 bis 4 f¨¹r die ¨¹brigen Dateien:
      ?
      • %User Temp%\ns{random letter}{random numbers}.tmp\babylon.dll


    • Participez ¨¤ notre enqu¨ºte!