Hauptgruppierung: TrojWare
Trojaner sind schädliche Programme, die Aktionen ausführen, die vom Benutzer nicht autorisiert sind: Sie löschen, blockieren, ändern oder kopieren Daten und stören die Leistung von Computern oder Computernetzwerken. Im Gegensatz zu Viren und Würmern können die Bedrohungen, die in diese Kategorie fallen, keine Kopien von sich selbst erstellen oder sich selbst replizieren.Trojaner werden nach ihrer Aktion auf einem infizierten Computer klassifiziert.
Kategorie: Backdoor
Backdoors sollen bösartigen Benutzern die Fernsteuerung über einen infizierten Computer ermöglichen. In Bezug auf die Funktionalität ähneln Backdoors vielen Verwaltungssystemen, die von Softwareentwicklern entworfen und vertrieben werden.Diese Arten von bösartigen Programmen ermöglichen es, alles zu tun, was der Autor auf dem infizierten Computer möchte: Dateien senden und empfangen, Dateien starten oder löschen, Nachrichten anzeigen, Daten löschen, den Computer neu starten usw.
Die Programme in dieser Kategorie werden häufig verwendet, um eine Gruppe von Opfercomputern zu vereinigen und ein Botnet- oder Zombie-Netzwerk zu bilden. Dies gibt bösartigen Benutzern die zentrale Kontrolle über eine Armee von infizierten Computern, die dann für kriminelle Zwecke verwendet werden können.
Es gibt auch eine Gruppe von Backdoors, die sich über Netzwerke verbreiten und andere Computer infizieren können, wie Net-Worms es tun. Der Unterschied ist, dass sich solche Backdoors nicht automatisch verbreiten (wie Net-Worms), sondern nur auf einen speziellen "Befehl" von dem bösartigen Benutzer, der sie kontrolliert.
Mehr Informationen
Plattform: Win32
Win32 ist eine API auf Windows NT-basierten Betriebssystemen (Windows XP, Windows 7 usw.), die die Ausführung von 32-Bit-Anwendungen unterstützt. Eine der am weitesten verbreiteten Programmierplattformen der Welt.Beschreibung
Technische Details
Dies ist ein typisches Client-Server-Remote-Verwaltungsdienstprogramm, das die Verbindung zu Remotecomputern ermöglicht, um seine Systemressourcen in Echtzeit zu verwalten (ähnlich wie bei "pcAnywhere" von Symantec). Dieses Dienstprogramm hat einen "Remote-Anything" -Namen und wird von TWD Industries (http://www.twd-industries.com) entwickelt und vertrieben.
Dieses Programm wird erkannt und als Backdoor-Trojaner eingestuft, da es das Backdoor-Verhalten absolut erfüllt (siehe Backdoor ):
- versteckte Installation zum System
- verbirgt sich vollständig im System, wenn es aktiv ist
- ermöglicht die Verwaltung eines infizierten Systems von einem Remote-Host
Die Serverkomponente dieses Programms verbirgt sich im System und ist für den durchschnittlichen Benutzer im Gegensatz zu anderen Remoteverwaltungstools nicht sichtbar, die:
- eine Standardinstallation und Deinstallationsverfahren haben
- eine sichtbare Schnittstelle haben (z. B. ein Symbol in der Tray-Leiste)
Der Server
Die Serverkomponente hat kein sichtbares Installationsverhalten: Wenn sie ohne Nachrichten ausgeführt wird, kopiert sie sich selbst (die gesamte Datei) in das Windows-Verzeichnis mit dem Namen SLAVE.EXE und registriert sich in der Systemregistrierung im Abschnitt "Autostart":
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunServices]
"RA-Server" = "C: WINDOWS Slave.exe"
Daher wird die Serverkomponente von Windows bei jedem Neustart und ohne Benachrichtigung an einen Benutzer aktiviert.
Der Kunde
Ein Hacker, nach Client-Komponente, kann sich mit einem infizierten Computer verbinden und hat die Kontrolle darüber: um den Desktop eines Computers in Echtzeit zu beobachten; Befehle per Tastatur und / oder Maus an infizierte Systeme zu senden; um auf ein Dateisystem zuzugreifen; Neustart oder Herunterfahren des Computers.
Entfernen des Servers
Um die Serverkomponente vom System zu entfernen, müssen Sie AVP mit den neuesten Updates ausführen und den Server löschen lassen. Sie müssen den Registrierungsschlüssel auch manuell löschen.
Sie können den Registrierungsschlüssel auch manuell löschen, den Computer neu starten und die Serverdatei SLAVE.EXE im Windows-Verzeichnis löschen.
Sie können auch ein spezielles Dienstprogramm zum Entfernen verwenden, das von TWD Industries auf seiner Website vertrieben wird.
Wichtige Informationen zu diesem Dienstprogramm:
Ab der Version 3.5.11 hat TWD Industries folgende Änderungen vorgenommen:
Sie können zu Ihrem Produkt hinzufügen:
Version 3.5.11 und höher behandeln keine schädlichen Programme vom Typ "Backdoor".
Mehr erfahren
Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com