It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Exécute des commandes envoyées par un utilisateur distant malintentionné, compromettant dangereusement la sécurité du système affecté. Se connecte à un site Web afin d''envoyer et recevoir des informations.
Précisions sur l'apparition de l'infection
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Installation
Introduit les fichiers suivants :
- %User Temp%\pyclient.cmd → Detected as Backdoor.BAT.DEVILSHADOW.THEAABO
- %User Temp%\cmd_shell.exe → Detected as Trojan.Win32.DEVILSHADOW.THEAABO
- %User Profile%\boot-startup.vbs → Detected as Trojan.BAT.DEVILSHADOW.THEAABO
- %User Profile%\new_script.txt → Detected as Trojan.JS.DEVILSHADOW.THEAABO
- %User Profile%\shell.bat → Detected as Trojan.BAT.DEVILSHADOW.THEAABO
- %User Temp%\zoom.exe → Legitimate Zoom Installer
- %User Profile%\node.exe → Legitimate node.exe
- %System Root%\botnet\client_id_file → contains generated_id
- %System Root%\botnet\bot_id_{Generated ID} {Hostname} {IP Address} {Client} → Client Identifier
- %System Root%\botnet\botnet_start.vbs
- %System Root%\botnet\wget.js
- %System Root%\botnet\pyclient.cmd → Copy of the one in %User Temp%
- %System Root%\botnet\scexec-win32.exe
- %System Root%\botnet\scexec-win64.exe
- %System Root%\botnet\Rar.exe
- %System Root%\botnet\K7firewall.exe
- %System Root%\botnet\unzip.exe
- %System Root%\botnet\webcam.exe
- %System Root%\botnet\execute.vbs
- %User Temp%\av → contains result of Anti-Virus Query
Ajoute les processus suivants :
- %System%\cmd.exe /c %User Temp%\pyclient.cmd
- %System%\cmd.exe /c %User Temp%\cmd_shell.exe
- %System%\cmd.exe /c %User Temp%\zoom.exe
- %System%\cmd.exe /c cd %userprofile% & attrib +s +h +a *.vbs & attrib +s +h +a *.bat & reg add Hkey_CURRENT_USER\software\microsoft\windows\currentversion\run /v bootstartup /t reg_sz /d %userprofile%\boot-startup.vbs /f & shell.bat
- %System%\cmd.exe /c "Tasklist /FI WINDOWTITLE eq D3ViL ShaDow"
- %System%\cmd.exe /c "Tasklist /FI WINDOWTITLE eq Administrator: D3ViL ShaDow"
- %System%\cmd.exe attrib +s +h +a %System Root%\botnet
- %System%\cmd.exe copy /y %User Temp%\pyclient.cmd %System Root%\botnet\pyclient.cmd
- %System%\cmd.exe reg add hkcu\software\microsoft\windows\currentversion\run /v botnet /t reg_sz /d C:\botnet\botnet_start.vbs /f
- %System%\cmd.exe ping www.google.com -n 1
- %System&\cmd.exe unzip.exe -ox python_client.zip
- %System%\cmd.exe %System%\WScript.exe %System Root%\botnet\botnet_start.vbs
- %System%\cmd.exe copy /y %System%\cmd.exe %Public%\explorer.exe
- %System%\cmd.exe %User Profile%\node.exe new_script.txt
- %Public%\explorer.exe
- %System&\cmd.exe wmic /namespace:\root\securitycemter2 path antivirusproduct GET displayName, productState, pathToSignedProductExe
Crée les dossiers suivants :
(Remarque :%System Root% est le dossier racine, généralement C:\. Il s'agit également de l'emplacement dans lequel se trouve le système d'exploitation.)
Technique de démarrage automatique
Ajoute les entrées de registre suivantes afin de s'exécuter automatiquement à chaque démarrage système :
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
bootstartup = %User Profile%\boot-startup.vbs
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
botnet = %System Root%\botnet\botnet_start.vbs
Routine de portes dérobées
Exécute les commandes suivantes envoyées par un utilisateur distant malintentionné :
- Update/Reset/Terminate Client (Self)
- Load Client Modules (Self)
- Log Keystrokes
- Take Screenshots
- Record Desktop
- Operate Webcam
- Operate CMD
- Install Programming Languages
- Download/Upload/Execute Files
- Install and Operate Ngrok
- Install and Operate WinVNC
- List and Modify AutoStart Registries
- List, Add and Start Scheduled Tasks
- Check and Elevate User Privileges
- Execute Shellcode and Scripts
- Harvest the Following Information:
- Process List
- Drive List
- Directories and Files List
- System Info
- Startup Items
- AntiVirus Info
- Locally Stored Credentials
Se connecte aux sites Web suivants afin d''envoyer et recevoir des informations :
- https://hosting303.{BLOCKED}hostapp.com
- madleets.{BLOCKED}s.net:4444
Routine de téléchargement
Accède aux sites Web suivant afin de télécharger des fichiers :
- https://raw.{BLOCKED}usercontent.com/DevilBot000/Tools/master/unzip.exe → %System Root%\botnet\unzip.exe
- https://raw.{BLOCKED}usercontent.com/DevilBot000/Tools/master/python_client.zip → %System Root%\botnet\python_client.zip
Step 2
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 3
Identifier et mettre fin à des fichiers détectés comme étant Backdoor.Win32.DEVILSHADOW.THEAABO
[ learnMore ]
[ back ]
- Sous Windows 98 ou ME, il se peut que le gestionnaire de tâches Windows n"affiche pas tous les processus en cours. Dans ce cas, veuillez utiliser le gestionnaire de tâches d"une application tierce, si possible Process Explorer, pour mettre fin au processus du programme malveillant/grayware/programme espion. Vous pouvez télécharger l"outil en question ici.
- Si le fichier détecté est affiché dans le gestionnaire de tâches Windows ou dans Process Explorer, mais que vous ne pouvez pas le supprimer, redémarrez l"ordinateur en mode sans échec. Consultez ce lien pour obtenir le détail des étapes à suivre.
- Si le fichier détecté n"est pas affiché dans le gestionnaire de tâches Windows, ni dans Process Explorer, passez aux étapes suivantes.
Pour mettre fin au processus du programme malveillant/grayware/programme espion :
- Effectuez un scan de l’ordinateur à l’aide de votre produit Trend Micro et prenez note du nom du programme malveillant/grayware/programme espion détecté.
- Ouvrez le gestionnaire de tâches Windows.
• Pour les utilisateurs de Windows 98 et ME, appuyez sur
Ctrl+Alt+Suppr
• Sous Windows NT, 2000, XP et Server 2003, appuyez sur
Ctrl+Maj+Échap, puis cliquez sur l'onglet Processus. - Dans la liste des programmes en cours d'exécution, recherchez un fichier de programme malveillant/grayware/programme espion détecté précédemment.
- Sélectionnez les fichiers détectés, puis cliquez sur Terminer la tâche ou Terminer le processus, selon la version de Windows utilisée.
- Procédez de même pour les autres fichiers de programmes malveillants/graywares/programmes espions détectés figurant dans la liste de programmes en cours d'exécution.
- Pour vérifier que le processus de programme malveillant/grayware/programme espion a bien été interrompu, fermez le gestionnaire de tâches, puis rouvrez-le.
- Fermez le gestionnaire de tâches.
Step 4
Supprimer cette valeur de registre
[ learnMore ]
[ back ]
Important : une modification incorrecte du registre Windows risque de générer des problèmes irréversibles au niveau du système. Ne procédez à cette opération que si vous êtes un utilisateur expérimenté. Vous pouvez aussi demander de l"aide auprès de votre administrateur système. Sinon, commencez par consulter cet article Microsoft avant de modifier le registre de votre ordinateur.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- bootstartup = %User Profile%\boot-startup.vbs
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- botnet = %System Root%\botnet\botnet_start.vbs
Pour supprimer la valeur de registre créée par ce programme malveillant :
- Ouvrez l'éditeur de registre. Pour ce faire, cliquez sur Démarrer>Exécuter, saisissez regedit dans le champ de saisie, puis appuyez sur Entrée.
- Dans le panneau de gauche de la fenêtre de l'éditeur de registre, faites un double-clic à l'endroit suivant :
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run - Dans le panneau de droite, recherchez et supprimez l'entrée :
bootstartup = %User Profile%\boot-startup.vbs - Dans le panneau de droite, recherchez et supprimez l'entrée :
botnet = %System Root%\botnet\botnet_start.vbs - Fermez l'éditeur de registre.
Step 5
Recherche et suppression de ces dossiers
[ learnMore ]
[ back ]
Assurez-vous que la case
Rechercher dans les fichiers et les dossiers cachés est cochée dans les Options avancées afin que les fichiers cachés soient inclus dans les résultats de la recherche.
Pour supprimer les dossiers du programme malveillant/grayware/programme espion :
- Faites un clic droit sur Démarrer Recherche... ou Rechercher..., en fonction de la version de Windows que vous exécutez.
- Dans le champ de saisie de nom, tapez :
- Dans la liste déroulante Regarder dans, sélectionnez Poste de travail, puis appuyez sur entrée.
- Une fois localisé, sélectionnez le dossier et appuyez sur MAJ+SUPPR pour effacer le dossier de manière définitive.
- Répétez les étapes 2 à 4 pour les dossiers restants :
Step 6
Recherche et suppression de ce fichier
[ learnMore ]
[ back ]
Il se peut que certains fichiers de composants soient cachés. Assurez-vous que la case
Rechercher dans les fichiers et les dossiers cachés est cochée dans les Options avancées afin que les fichiers et dossiers cachés soient inclus dans les résultats de la recherche.
- %User Profile%\node.exe
- %System Root%\botnet\client_id_file
- %System Root%\botnet\bot_id_{Generated ID} {Hostname} {IP Address} {Client}%System Root%\botnet\botnet_start.vbs
- %System Root%\botnet\wget.js
- %System Root%\botnet\pyclient.cmd
- %System Root%\botnet\scexec-win32.exe
- %System Root%\botnet\scexec-win64.exe
- %System Root%\botnet\Rar.exe
- %System Root%\botnet\K7firewall.exe
- %System Root%\botnet\unzip.exe
- %System Root%\botnet\webcam.exe
- %System Root%\botnet\execute.vbs
Pour supprimer le fichier du programme malveillant/grayware/programme espion :
- Faites un clic droit sur Démarrer Recherche... ou Rechercher..., en fonction de la version de Windows que vous exécutez.
- Dans le champ de saisie de nom, tapez :
- %User Profile%\node.exe
- %System Root%\botnet\client_id_file
- %System Root%\botnet\bot_id_{Generated ID} {Hostname} {IP Address} {Client}%System Root%\botnet\botnet_start.vbs
- %System Root%\botnet\wget.js
- %System Root%\botnet\pyclient.cmd
- %System Root%\botnet\scexec-win32.exe
- %System Root%\botnet\scexec-win64.exe
- %System Root%\botnet\Rar.exe
- %System Root%\botnet\K7firewall.exe
- %System Root%\botnet\unzip.exe
- %System Root%\botnet\webcam.exe
- %System Root%\botnet\execute.vbs
- Dans la liste déroulante Regarder dans, sélectionnez Poste de travail, puis appuyez sur entrée.
- Une fois localisé, sélectionnez le fichier et appuyez sur MAJ+SUPPR pour effacer le fichier de manière définitive.
Step 7
Effectuez un scan de l’ordinateur à l’aide de votre produit Trend Micro pour supprimer les fichiers spécifiés comme étant Backdoor.Win32.DEVILSHADOW.THEAABO Si les fichiers détectés ont déjà été nettoyés, supprimés ou placés en quarantaine par votre produit Trend Micro, aucune autre procédure n"est nécessaire. Vous pouvez simplement choisir de supprimer les fichiers en quarantaine. Veuillez consulter cette page de base de connaissances pour plus d"informations.
