• Win32/Bifrose.NEL

  • 0
Автор
КатегорияТроян
Дата обнаружения29.08.2008
Размер111616
Другие названия
Backdoor:Win32/Bifrose.AE (Microsoft)
Win32:Midgare-WV (Avast)
Infostealer (Symantec)

Краткое описание

Win32/Bifrose.NEL устанавливает бэкдор, который может управляться дистанционно. Файл run-time сжатый с помощью IExpress, UPX .

Как устанавливается

При запуске троян создает следующие файлы:

  • %temp%\­IXP%random%.TMP\­server.exe (32669 B, Win32/Bifrose.NEL)
  • %programfiles%\­Bifrost\­server.exe (32669 B, Win32/Bifrose.NEL)

Следующий параметр реестра:

  • [HKEY_LOCAL_MACHINE\­SOFTWARE\­Microsoft\­Active Setup\­Installed Components\­{9D71D88C-C598-4935-C5D1-43AA4db90836}]
    • "stubpath" = "%programfiles%\­Bifrost\­server.exe s"
  • "stubpath" = "%programfiles%\­Bifrost\­server.exe s"

Это приводит к тому, что троян запускается при каждой загрузке системы.

Создаются следующие записи в реестре:

  • [HKEY_LOCAL_MACHINE\­SOFTWARE\­Bifrost]
    • "nck" = "%variable1%"
  • [HKEY_CURRENT_USER\­SOFTWARE\­Bifrost]
    • "klg" = 0
    • "nck" = "%variable1%"
  • "nck" = "%variable1%"
  • "klg" = 0
  • "nck" = "%variable1%"

Троян может устанавливать следующие значения реестра:

  • [HKEY_CURRENT_USER\­SOFTWARE\­Bifrost]
    • "delay" = "%variable2%"
    • "plg1" = "%variable3%"
    • "tor" = "%variable4%
  • "delay" = "%variable2%"
  • "plg1" = "%variable3%"
  • "tor" = "%variable4%

Строка с переменной используется вместо %variable1-4% .

Троян может удалить следующие записи в реестре:

  • [HKEY_CURRENT_USER\­SOFTWARE\­Microsoft\­Active Setup\­Installed Components\­{9D71D88C-C598-4935-C5D1-43AA4db90836}]

Троян запускает следующие процессы:

  • %windir%\­explorer.exe
  • %defaultbrowser%

Троян создает и запускает новый поток с собственным кодом внутри этих запущенных процессов.

Кража информации

Win32/Bifrose.NEL-это троян, который крадет конфиденциальную информацию.

Троян собирает следующую информацию:

Троян пытается отправить собранную информацию на удаленный компьютер

Дополнительная информация

Данный троян работает как backdoor. Им можно управлять дистанционно

Троян получает данные и команды от удаленного компьютера через интернет.

Троян содержит URL-адрес. Используется TCP протокол.

Поддерживается выполнение следующих операций:

Похожие записи

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *