BKDR_BANECHANT.A
Troj/Agent-AAZR (Sophos), Trojan horse Downloader.Generic13.ANHN (AVG), W32/Agent.RFK!tr.dldr (Fortinet), Trojan.Win32.Spy (Ikarus)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
Type de grayware:
Backdoor
Destructif:
Non
Chiffrement:
Oui
In the wild::
Oui
Overview
Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.
Führt Befehle eines externen, böswilligen Benutzers aus, wodurch das betroffene System gefährdet wird.
Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.
Détails techniques
Übertragungsdetails
Wird möglicherweise von der folgenden Malware/Grayware/Spyware von externen Sites heruntergeladen:
- TROJ_MSDOWNL.A
Infektionspunkte
Gelangt auf das System in Form einer Datei, die von den folgenden URLs heruntergeladen wurde:
- http://{BLOCKED}ecure.com/update/winword.pkg
Installation
Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:
- %ProgramData%\Google2\GoogleUpdate.exe (Windows Vista and higher versions)
- %System Root%\ProgramData\Google2\GoogleUpdate.exe (Versions lower than Windows Vista)
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Erstellt die folgenden Ordner:
- %ProgramData%\Google2 (Windows Vista and higher versions)
- %System Root%\ProgramData (Versions lower than Windows Vista)
- %System Root%\ProgramData\Google2 (Versions lower than Windows Vista)
(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)
Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:
- MM-Core-Running
Autostart-Technik
Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:
- %User Startup%\GoogleUpdate.lnk
(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)
Backdoor-Routine
Führt die folgenden Befehle eines externen, böswilligen Benutzers aus:
- Download a file from C&C server and save it as %User Temp%\java.{random} and execute it
- Read a code from C&C server and execute it as a separate thread
- Uninstall itself
(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)
Sendet die folgenden Informationen an ihren Befehls- und Steuerungsserver (C&C):
- Operating system version
- Computer Name
- User Name
- List of currently running processes
- Full IP configuration information
- List of files and subdirectories in drives C to H
Andere Details
Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:
- http://symbisecure.com/adserv/get.php
Solutions
Step 1
Für Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 3
Im abgesicherten Modus neu starten
Step 4
Diese Datei suchen und löschen
- %User Startup%\GoogleUpdate.lnk
- %User Temp%\java.{random}
Step 5
Diese Ordner suchen und löschen
- %ProgramData%\Google2 (Windows Vista and higher versions)
- %System Root%\ProgramData\Google2 (Versions lower than Windows Vista)
Step 6
Führen Sie den Neustart im normalen Modus durch, und durchsuchen Sie Ihren Computer mit Ihrem Trend Micro Produkt nach Dateien, die als BKDR_BANECHANT.A entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem Trend Micro Produkt gesäubert, gelöscht oder in Quarantäne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarantäne können einfach gelöscht werden. Auf dieser Knowledge-Base-Seite finden Sie weitere Informationen.
Participez à notre enquête!