| Автор |  |
| Категория | Троян |
| Дата обнаружения | 29.08.2008 |
| Размер | 111616 |
| Другие названия | |
| Backdoor:Win32/Bifrose.AE (Microsoft) | |
| Win32:Midgare-WV (Avast) | |
| Infostealer (Symantec) |
Краткое описание
Win32/Bifrose.NEL устанавливает бэкдор, который может управляться дистанционно. Файл run-time сжатый с помощью IExpress, UPX .
Как устанавливается
При запуске троян создает следующие файлы:
- %temp%\IXP%random%.TMP\server.exe (32669 B, Win32/Bifrose.NEL)
- %programfiles%\Bifrost\server.exe (32669 B, Win32/Bifrose.NEL)
Следующий параметр реестра:
- [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{9D71D88C-C598-4935-C5D1-43AA4db90836}]
- "stubpath" = "%programfiles%\Bifrost\server.exe s"
- "stubpath" = "%programfiles%\Bifrost\server.exe s"
Это приводит к тому, что троян запускается при каждой загрузке системы.
Создаются следующие записи в реестре:
- [HKEY_LOCAL_MACHINE\SOFTWARE\Bifrost]
- "nck" = "%variable1%"
- [HKEY_CURRENT_USER\SOFTWARE\Bifrost]
- "klg" = 0
- "nck" = "%variable1%"
- "nck" = "%variable1%"
- "klg" = 0
- "nck" = "%variable1%"
Троян может устанавливать следующие значения реестра:
- [HKEY_CURRENT_USER\SOFTWARE\Bifrost]
- "delay" = "%variable2%"
- "plg1" = "%variable3%"
- "tor" = "%variable4%
- "delay" = "%variable2%"
- "plg1" = "%variable3%"
- "tor" = "%variable4%
Строка с переменной используется вместо %variable1-4% .
Троян может удалить следующие записи в реестре:
- [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{9D71D88C-C598-4935-C5D1-43AA4db90836}]
Троян запускает следующие процессы:
- %windir%\explorer.exe
- %defaultbrowser%
Троян создает и запускает новый поток с собственным кодом внутри этих запущенных процессов.
Кража информации
Win32/Bifrose.NEL-это троян, который крадет конфиденциальную информацию.
Троян собирает следующую информацию:
Троян пытается отправить собранную информацию на удаленный компьютер
Дополнительная информация
Данный троян работает как backdoor. Им можно управлять дистанционно
Троян получает данные и команды от удаленного компьютера через интернет.
Троян содержит URL-адрес. Используется TCP протокол.
Поддерживается выполнение следующих операций:
