BKDR_LUMINOSITY.E
Trojan:Win32/Dynamer!ac (Microsoft), MSIL/Agent.ABP trojan (ESET)
Windows
Malware-Typ:
Backdoor
Zerstrerisch?:
Nein
Verschlsselt?:
Ja
In the wild::
Ja
Überblick
Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.
Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.
Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.
Technische Details
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:
- %All Users Profile%\{6 digits}\helper.exe
Schleust die folgenden Dateien ein:
- %Tasks%\Computer Helper - scheduled task
- %All Users Profile%\{41 characters}
Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.
Erstellt die folgenden Ordner:
- %All Users Profile%\{6 digits}
- %All Users Profile%\{6 digits}\{6 digits}
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"
Andere Systemänderungen
Fügt die folgenden Registrierungseinträge hinzu:
HKEY_CURRENT_USER\Software
{base64 encoded data} = "{base64 encoded data}"
Backdoor-Routine
Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:
- Downloads and executes arbitrary files
- Downloads and executes custom Crypto Miner
- Downloads custom password recovery tool
- Searches for files
- Performs DDOS
- Modifies HOSTS file to redirect hosts/URLs
- Visits arbitrary websites (browser can be hidden and have muted audio)
- Seeds torrent
- Updates itself
- Updates backup C&C
- Remotes Desktop Control
- Remotes shell
- Remotes Script
- Records audio using system's microphone
- Controls Webcam
- Uninstalls itself
- Executes/Terminates/Disables Task Manager
- Executes/Terminates/Disables Command Prompt
- Executes/Terminates/Disables Registry Editor
- Hides/Shows Taskbar
- Hides/Shows Desktop
- Opens/Closes CD-ROM door
- Turns on/off user's monitor
- Enables/Disables Keyboard
- Enables/Disables Mouse
- Swaps/Resets Mouse
- Deletes Restore points
- Enables/Disables input
- Logs off User
- Hibernates
- Shutdowns system
- Reboots System
- Performs network speed test
- Manage Files
- Manage Processes
- Gathers the following information:
- Client Overview:
- Client ID used
- Country
- Software Information:
- User Privelege
- Machine Name
- Hardware Information:
- Machine Type
- CPU Information
- GPU Information
- RAM Information
- Battery
- Monitor Count
- Network Information:
- WAN address
- Download Speed
- LAN Address
- MAC Address
- Others:
- Security information
- Uptime
- Active Windows
- Current malware file location
- Full OS version
- Keystroke logs
- Stored passwords
Datendiebstahl
Zeichnet die Tastatureingaben eines Benutzers auf, um Daten zu entwenden.
Entwendete Daten
Speichert die entwendeten Informationen in der folgenden Datei:
- %All Users Profile%\{6 digits}\{6 digits}\{date}.txt - contains logged keystrokes
Lösungen
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
Im abgesicherten Modus neu starten
Step 4
Diesen Registrierungswert löschen
Wichtig: Eine nicht ordnungsgemäße Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems führen. Führen Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterstützung bitten können. Lesen Sie ansonsten zuerst diesen Microsoft Artikel, bevor Sie die Registrierung Ihres Computers ändern.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"
- Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"
- Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"
- In HKEY_CURRENT_USER\Software
- {base64 encoded data} = "{base64 encoded data}"
- {base64 encoded data} = "{base64 encoded data}"
Step 5
Hinzugefügte Auftragsdatei löschen:
- Klicken Sie auf 'Start>Programme>Zubehör>Systemprogramme>Geplante Tasks'
- Doppelklicken Sie auf eine Auftragsdatei.
- Überprüfen Sie, ob sich Pfadangabe und Dateiname der Malware im Feld 'Ausführen:' befinden.
- Falls dies der Fall ist, löschen Sie die Auftragsdatei.
- Wiederholen Sie die Schritte 2-4 für die verbleibenden Auftragsdateien.
Step 6
Diese Datei suchen und löschen
- %All Users Profile%\{41 characters}
- %All Users Profile%\{6 digits}\{6 digits}\{date format}.txt
Step 7
Diesen Ordner suchen und löschen
- %All Users Profile%\{6 digits}
- %All Users Profile%\{6 digits}\{6 digits}
Step 8
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als BKDR_LUMINOSITY.E entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Nehmen Sie an unserer Umfrage teil