Trojan:Win64/Sirefef.M

Shrnutí

Trojan:Win64/Sirefef.M je 64-bit v uživatelském režimu součástí Win32/Sirefef- Vícekomponentní rodina malwaru, který mírní postiženého uživatele internetu zážitek tím, že upravuje výsledky vyhledávání a generování pay-per-click příjmy z reklamy na svých kontrolorů. Rodina se skládá z několika částí, které vykonávají různé funkce, jako je stahování aktualizací a další součásti, skrývá existující komponenty nebo vykonávat užitečné zatížení.

Top

---

 

Příznaky

Nejsou žádné běžné příznaky spojené s touto hrozbou. Varovná oznámení z nainstalovaný antivirový software, může být pouze příznaky.

Top

---

 

Technické informace (analýza)

Trojan:Win64/Sirefef.M je 64-bit v uživatelském režimu součástí Win32/Sirefef- Vícekomponentní rodina malwaru, který mírní postiženého uživatele internetu zážitek tím, že upravuje výsledky vyhledávání a generování pay-per-click příjmy z reklamy na svých kontrolorů. Rodina se skládá z několika částí, které vykonávají různé funkce, jako je stahování aktualizací a další součásti, skrývá existující komponenty nebo vykonávat užitečné zatížení.

Instalace

Trojan:Win64/Sirefef.M je nainstalován a popraven TrojanDropper:Win32/Sirefef.B.

Užitečná

Ke stažení a vykonává libovolné soubory

Trojan se může připojit ke vzdálenému FTP server, Vytvořené v tomto formátu přes HTTP POST, Získat a vykonávat příkazy, které by mohly zahrnovat následující kroky:

• Stáhněte si libovolné soubory nebo aktualizované malwaru komponenty
• Provést načtené soubory
• Injekci načtené soubory do jiných procesů

Vytváří falešný provoz na některých webových stránkách

Některé varianty Trojan:Win64/Sirefef.M generovat falešné návštěvnost na webových stránkách návštěvník započtení služeb pomocí Doporučovatel "aelit<removed>sixfour.com".

Dotaz směřuje na server "counter.yadro.ru"S následujícím GET požádat každých 900 sekund:

GET /hit?t52.6;rhttp://0;s320*200*32;u/0;0.<value na základě současného time> HTTP/1.1
Referer: <website je promoted>0
User-Agent: Opera/6 (Windows NT 5.00; U)

kde a, lt; web byl povýšen> je web, který generuje provoz na falešný.