BKDR_DARKOMET.M
Backdoor:Win32/Fynloski.A (Microsoft); Backdoor.Win32.DarkKomet.dsjr (Kaspersky); Trojan.Win32.Foxhiex (Ikarus); Backdoor.Win32.DarkKomet.af (Baidu-International); Backdoor.DarkKomet (Malwarebytes)
Windows
Tipo di minaccia informatica:
Backdoor
Distruttivo?:
No
Crittografato?:
厂ì
In the wild::
厂ì
Panoramica e descrizione
Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.
Registra las pulsaciones de teclas de un usuario para robar información.
Dettagli tecnici
Detalles de entrada
Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):
- http://{BLOCKED}t.net/58361297
- http://{BLOCKED}t.net/58334163
滨苍蝉迟补濒补肠颈ó苍
Crea las siguientes copias de sí mismo en el sistema afectado:
- %Application Data%\WinUpdate\WinUpdate.exe
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
)Crea las carpetas siguientes:
- %Application Data%\WinUpdate
- %Application Data%\dclogs
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
)Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:
- DC_MUTEX-YVLL662
Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WinUpdate = "%Application Data%\WinUpdate\WinUpdate.exe"
Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_CURRENT_USER\Software\DC3_FEXEC
Rutina de puerta trasera
Ejecuta los comandos siguientes desde un usuario remoto malicioso:
- Disable RegistryTools
- Disable TaskMgr
- Disable Control Panel
- List disk drives
- List webcams and monitor/capture video
- Change MSN Messenger status & modify contact list
- Shutdown, Restart, Log off or Lock computer
- Empty Recycle Bin
- Visit arbitrary C&C servers
- List active windows
- Remote shell command
- Download and execute files
- Download updated copy of itself
- Upload files
- Log keystrokes
- Refresh or delete logs
- Modify system's host file
- Record and play sounds
- Open and close CD-ROM drive door
- Steal passwords
- Get torrent files
- Refresh Wifi
- Uninstall programs
- Start and control chat sessions
- Monitor activity by Remote Desktop Protocol
- DDOS Flooding
- Manipulate the following:
- Browser
- Clipboard
- Desktop
- Dialog Box
- Files
- Folders
- Mouse clicks
- Processes
- Registries
- Services
- Shutdown button options
- Start button
- System clock
- System tray
- Taskbar
- Lessen system security level by:
- Disabling update notification
- Disabling AV notification
- Disabling firewall
- Disabling services
- Disabling LUA notification
Se conecta a los sitios Web siguientes para enviar y recibir información:
- {BLOCKED}.{BLOCKED}.112.46:1604
Rutina de infiltración
Este malware infiltra el/los siguiente(s) archivo(s), en el cual/los cuales guarda la información recopilada:
- %Application Data%\dclogs\{current date}-{number}.dc
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
)Robo de información
Recopila los siguientes datos:
- Admin rights
- Computer/User name
- Language/Country
- Operating System information
- RAM used
- Web Cam information
Registra las pulsaciones de teclas de un usuario para robar información.
Soluzioni
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 3
Reiniciar en modo seguro
Step 4
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- WinUpdate = "%Application Data%\WinUpdate\WinUpdate.exe"
- WinUpdate = "%Application Data%\WinUpdate\WinUpdate.exe"
Step 5
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software
- DC3_FEXEC
- DC3_FEXEC
Step 6
Buscar y eliminar estas carpetas
- %Application Data%\WinUpdate
- %Application Data%\dclogs
Step 7
Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como BKDR_DARKOMET.M En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener más información.
Sondaggio