Remove the Adkoob Malware — a Facebook Stealing Hybrid Trojan/Hjacker Virus
TRUSSEL FJERNELSE

Tag AdKoob malware - Facebook Stjæle Hybrid Trojan / Hjacker Virus

Den AdKoob malware er en hybrid Trojan og flykaprer virus, som for nylig er blevet opdaget i et globalt angreb kampagne. Det er fordelt ved hjælp af forskellige metoder og indeholder mange moduler, der udføres efter infektionen. Vores artikel giver en detaljeret oversigt over infektionen proces og en fuld fjernelse vejledning om sletning af AdKoob malware og genoprette offeret computere.

Trussel Summary

NavnAdKoob
TypeBrowser Hijacker, Trojan
Kort beskrivelseDen AdKoop malware har en omfattende liste over moduler, der er konfigureret til at stjæle brugerdata og modificerende følsomme systemindstillinger.
SymptomerOfrene kan ikke opleve nogen synlige symptomer på infektion.
DistributionsmetodeFreeware installationer, Bundtede pakker, Scripts og andre.
Værktøj Detection Se Hvis dit system er blevet påvirket af AdKoob

Hent

Værktøj til fjernelse af malware

BrugererfaringTilmeld dig vores forum at diskutere AdKoob.

AdKoob Malware - Distribution Metoder

Forskningen i AdKoob malware begyndte, da sikkerhedseksperter opdaget mistænkelig opførsel af en legitim Windows binær fil (svchost.exe). Under efterforskningen eksperterne var i stand til at identificere en ny trussel resulterer i AdKoob opdagelse. Dette viser klart, at der er en avanceret levering metode, der anvendes til at sprede de oprindelige nyttelast fører til infektion. Der er flere mulige scenarier, hvordan dette kan opnås.

Den første metode er koordineringen af SPAM e-mail kampagner at anvende forskellige phishing-teknikker. En typisk meddelelse indeholder designelementer taget fra berømte virksomheder eller internettjenester forsøger at tvinge offeret bruger i interaktion med former for skadelige element. Den AdKoob malware nyttelast fil kan enten fastgøres eller linket i kroppen indhold.

Den anden strategi er at skabe falske download sites der anvendes til at være vært for ondsindede tilfælde. Normalt virus filer, der indeholder AdKoob malware kommer i form af inficerede nyttelast. To hovedtyper er følgende:

  • inficerede dokumenter -De hackere kan bundle den AdKoob nyttelast i scripts, der er indlejret i dokumenter: rige tekstdokumenter, regneark eller præsentationer. Når de er åbnet af ofrene en prompt meddelelse vises beder brugerne til at gøre det muligt for makroer. Hvis dette gøres infektionen sekvensen vil blive startet.
  • Malware Software Installers - Ved hjælp af en lignende metode de kriminelle kan downloade legitime setup filer af populære software. Dette er software, der ofte anvendes af brugerne: produktivitet apps, kreativitet suiter eller systemværktøjer. De resulterende installatører derefter uploadet til de falske download-portaler eller linket i e-mails.

Ligeledes de kriminelle bag AdKoob malware kan integrere forskellige skadelige scripts at omdirigere brugerne til de skadelige filer. Der er mange eksempler: scripts, omdirigeringer, in-line hyperlinks, bannerreklamer eller pop-ups.

Avancerede kampagner kan drage fordel af browser hijackers - de repræsenterer ondsindede udvidelser lavet til de mest populære webbrowsere. Hackerne udnytter falske udvikleroplysninger og brugeranmeldelser sammen med en omfattende beskrivelse af elementet. Dette isused at tvinge ofrene til at installere det. De mest sandsynlige steder at finde sådanne stykker af malware er de falske download-portaler eller de officielle plugin repositories. Når det er installeret disse ondsindede udvidelser følger en fælles adfærdsmønster - først vil de ændre standardindstillingerne (startside, søgemaskine eller den nye faner side). Dette efterfølges af virusinfektionen og andre malwarehandlinger konfigureret af hackere.

AdKoob malware - Detaljeret beskrivelse

Advarsel! Den AdKoob malware betragtes som en trojansk / Hijacker hybrid trussel.

Sikkerheden analyse af AdKoob malware viser, at angreb sekvens følger en flertrins adfærdsmønster. Nyttelasten består af en open source UPX pakker eller en brugerdefineret injektor. Det næste skridt er at injicere malware-koden i værten proces tjeneste.

Efter den vellykkede infektion AdKoob malware vil præsentere en falsk fejlmeddelelse i et program ramme “Kan ikke finde komponent” med følgende indhold:

mangler Konfigurationsfilen. Re-installation Nem Backup kan løse dette problem.

Dette viser, at det optagne prøve kan distribueres via en ondsindet software installatør for en backup-software. Analysen viser, at den vigtigste ondsindet motor udfører en sikkerhedskontrol leder efter en bestemt streng i% tjeneste mappen% appdata. Dette hænger sammen med konfigurationen af ​​virus til at køre én gang.

Motoren ha vist sig at udføre en stealth beskyttelse modul som beskytter AdKoob malware fra opdagelsen. Det vil scanne systemet for tilstedeværelsen af ​​anti-virus programmer, sandkasse miljøer, virtuelle maskiner og andet software, der kan forstyrre dens korrekte udførelse. De associerede realtid motorer kan være deaktiveret, og programmerne helt fjernet.

Når dette er fuldført virus motoren vil gå videre med den første fase af den egentlige ondsindet proces. Det vil begynde at analysere registreringsdatabasen i Windows og kapre følsomme data om værten og brugerne. Der er to hovedgrupper af data, der normalt kategoriseret:

  • Personlig data - Det består af oplysninger, der kan afsløre detaljer om brugeren og eksponere deres identitet. Dette omfatter datasæt såsom deres rigtige navn, interesser, telefonnummer, placering og gemte kontooplysninger.
  • Kampagne Metrics - Denne datasæt består af information som er nyttig til at optimere angrebene. Det er normalt består af rapporter med detaljerede oplysninger om de installerede hardwarekomponenter og visse operativsystemet værdier på de inficerede maskiner.

Afhængigt af de installerede og målrettede webbrowsere AdKoob anvendelser forskellige infiltration teknikker. For ældre versioner af Mozilla Firefox og Google Chrome den ondsindede motor forsøger en SQL-forespørgsel mod de indbyggede databaser. Nyere versioner af Mozilla Firefox udnytter en anden metode - de gemmer de kontooplysninger inden en JSON-fil. Den AdKoob malware indeholder kode, der specifikt kan forespørge og udtrække denne information. Internet Explorer browsere gemmer nogle værdier fra Registry Windows. Det kan også bruge specifikke legitimationsoplysninger til at exfiltrate følsomme data.

Dette browser hijacker adfærd er blot den første del af malware adfærd mønster. Efter denne virus vil fortsætte med en Trojan-modul. Den bestemmer den offentlige IP-adressen på den inficerede vært ved at lave en anmodning til en service Internetadgang. A sikret forbindelse der til en hacker-kontrollerede kommando og kontrol servere. Her rapporteres infektion, den dekrypterede strøm indeholder følgende værdier:

  • Unik maskinkode
  • Operativsystem Version
  • Offentlig IP
  • Lokal tidszone af ofrets maskine
  • Browser Identifier String
  • Browser User Agent
  • Base64 kodet legitimationsoplysninger
  • Bot Identifier

AdKoob Malware - trojanske Operationer

Når den trojanske motoren er startet det ser for aktiv Facebook sessioner. Den etablerer en forbindelse, der stammer fra ofrets profiler. Der er to primære metoder, der anvendes til at køre denne operation:

  1. Lagrede Authentication Cookies - Dette opnås, når AdKoob malware har været i stand til at finde de cookies via en data høst infiltration.
  2. Browser legitimationsoplysninger Tyveri - Den AdKoob malware forsøger at logge ind på de tjenester, når den allerede har erhvervet de legitimationsoplysninger til Facebook.

Det fremgår, at der er flere specifikke typer af oplysninger, der er set op af malware:

  • lokale Facebook - Dette er den parameter, der bruges til at definere brugerens indstillede sprog og region.
  • Facebook bruger-id - En streng, der bruges til at forbinde de Facebook-brugere til den sociale tjeneste.
  • Facebook profil Brugernavn - De brugernavne valgt af brugerne.
  • Brugeroplysninger - Dette omfatter alle datasæt, der er udstationeret af brugerne og vises about deres profiler: deres rigtige navn, placering, fødselsdag, kontaktoplysninger og etc.
  • Facebook Pages - Dette omfatter en liste over de Facebook sider er blevet oprettet af brugeren.

Den AdKoob malware fortsætter derefter videre ved at interagere med en grænseflade, der gør en række anmodninger relateret til betalt reklamekampagner. Når det bruges af virksomheder, den AdKoob kan bruges til at levere personlig, målrettet eller masse annoncekampagner på de inficerede værter. Den administrative panel gør det muligt for operatørerne til koordinere målrettede annoncer. De menupunkter tilstedeværende forskellige muligheder og specifikke parametre, der kan skiftes.

Den underliggende motor, der er ansvarlige for disse handlinger bruger en to-retning anmodning og svar metode. De inficerede værter rapporterer oplysninger om de adgang ad siderne, mens serveren instans giver specifikke instruktioner på de valgte sider. Dette fører til konstruktionen af en bestemt konto-id at som et resultat skaber en forespørgsel til Facebook Graph API - en API grænseflade, som bruges til at forespørge data fra en Facebook-konto. De forespørgsel resultater i data om annoncekampagner - navn, brugt penge og budget grænse.

Denne kendsgerning giver sikkerhedseksperter idéen om, at AdKoop operatører er rettet mod erhvervsbrugere. Dette kommer fra den forudsætning, at almindelige hjemmebrugere er ikke tilbøjelige til at bruge Facebook reklamekampagner. Det høstede information exfiltrated og sendes til C&C-servere.

Efter den vellykkede gennemførelse af alle komponenter i AdKoob malware vil fjerne alle spor af sig selv og efterlade en specifik markør fil, der sikrer, at viruset ikke skal gennemføres to gange.

Martin Beltov

Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.

Flere indlæg - Websted

Følg mig:
TwitterGoogle Plus

Efterlad en kommentar

Din e-mail-adresse vil ikke blive offentliggjort. Krævede felter er markeret *

Frist er opbrugt. Venligst genindlæse CAPTCHA.

Del på Facebook Del
Loading ...
Del på Twitter Tweet
Loading ...
Del på Google Plus Del
Loading ...
Del på Linkedin Del
Loading ...
Del på Digg Del
Del på Reddit Del
Loading ...
Del på Stumbleupon Del
Loading ...