Trojan.Delf.VH

Trojan.Delf.VH , yüksek riskli bir tehdit olarak sınıflandırılan ve bulaştığı sisteme ciddi ve kalıcı hasar verebilecek kötü amaçlı yazılımlar arasında yer alan, Windows tabanlı bir Truva atıdır. İlk olarak 2009'da tespit edilen bu tehdit, çeşitli biçimlerde yeniden ortaya çıkmaya devam etmektedir; bu da günümüzdeki bilgisayar kullanıcılarının hala nasıl çalıştığının ve nasıl önleneceğinin farkında olmaları gerektiği anlamına gelir.

Trojan.Delf.VH Ne İşe Yarar?

Bir sisteme bulaştıktan sonra, Trojan.Delf.VH sessizce kurulur ve kullanıcıya herhangi bir belirgin işaret göstermeden arka planda çalışır. Kendini meşru bir program gibi gizlemek üzere tasarlanmıştır; bazen sıradan yardımcı yazılımlara benzeyen dosya açıklamaları veya ürün adları altında gizlenerek şüphe uyandırmaktan kaçınır. Bu kılık değiştirme sayesinde, Truva atı, bulaşmış bilgisayar hakkında kullanıcı ve bilgisayar adı gibi bilgiler toplamak da dahil olmak üzere bir dizi kötü amaçlı işlevi yerine getirebilir. Daha da önemlisi, Trojan.Delf.VH, uzaktan saldırganların ele geçirilen makine üzerinde kapsamlı kontrol elde etmelerine olanak tanıyabilir. Bu, dosyaları gizlice silmeyi, ek istenmeyen veya kötü amaçlı yazılımlar yüklemeyi ve sahibinin bilgisi veya izni olmadan sistemi manipüle etmeyi içerebilir.

Genellikle Bilgisayarlara Nasıl Bulaşır?

Trojan.Delf.VH genellikle sistem güvenlik açıklarından ve zafiyetlerinden yararlanarak yayılır. Genellikle kötü amaçlı veya ele geçirilmiş web sitelerinden indirilen yazılımlarla birlikte gelir veya güvenilmeyen veya bilinmeyen göndericilerden e-posta eki olarak gönderilir. Bu ekler çalıştırılabilir dosyalar şeklinde olabilir, ancak saldırganlar bunları, kullanıcıların normalde tehlikeyle ilişkilendirmeyeceği resim veya video dosyası türleri gibi diğer dosya uzantılarını kullanarak da gizleyebilirler. Bu gizleme, kullanıcıları dosyayı zararsız olduğuna inandırarak açmaya kandırmayı amaçlar.

Kullanıcı İçin Riskler

Trojan.Delf.VH, saldırganlara bulaşmış bir sistem üzerinde önemli ölçüde kontrol sağlayabildiği için riskler oldukça büyüktür. Kullanıcılar, silinen dosyalar yoluyla veri kaybı, izinsiz olarak yüklenen ek kötü amaçlı yazılımlardan kaynaklanan daha fazla enfeksiyon ve Truva atı tarafından toplanan kişisel veya sistem bilgilerinin potansiyel olarak ifşa edilmesiyle karşı karşıya kalabilirler. Sessizce çalıştığı için, mağdurlar uzun süreler boyunca saldırıdan habersiz kalabilir ve bu da saldırganlara ele geçirilen sistemi kötüye kullanmak için bolca zaman tanır.

Enfeksiyon Belirtileri

Trojan.Delf.VH gibi Truva atları tespit edilmekten kaçınacak şekilde tasarlanmıştır, bu nedenle belirgin belirtiler genellikle görülmez. Bununla birlikte, kullanıcılar beklenmedik yavaşlamalar, arka planda çalışan bilinmeyen işlemler, açıklama yapılmadan kaybolan dosyalar, kasıtlı olarak yüklenmemiş yeni programların ortaya çıkması veya olağandışı ağ etkinliği gibi olağandışı sistem davranışlarına dikkat etmelidir. Bu tehdit meşru bir dijital imza taşımadığı için, güvenlik araçları bunu imzasız veya şüpheli yazılım olarak işaretleyebilir.

Korunmanın Yolları

Bulaşma riskini azaltmak için kullanıcılar, bilinmeyen veya güvenilmez web sitelerinden yazılım indirmekten ve dosya uzantısı ne olursa olsun bilinmeyen veya beklenmedik kaynaklardan gelen e-posta eklerini açmaktan kaçınmalıdır. Windows işletim sistemini ve yüklü uygulamaları en son güvenlik yamalarıyla güncel tutmak, Trojan.Delf.VH gibi tehditlerin sessiz kurulum için kullandığı güvenlik açıklarını kapatmaya yardımcı olur. Güvenilir, güncel güvenlik yazılımları çalıştırmak ve düzenli sistem taramaları yapmak, bu tür tehditleri önemli zarara yol açmadan önce tespit etmeye ve kaldırmaya yardımcı olabilir. Önemli dosyaların düzenli yedeklerini almak, sistemin tehlikeye girmesi durumunda bile verilerin kurtarılabilmesini sağlar.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Delf.VH
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: 1b62153c0aaa2f7b17d2706df8d097f0 SHA1: 1f207d72b59ec952b4f727a6fd225eb224cccb84 SHA256: DD24EC1DA7941585BBB5C87C7DC39B130233E6D72BA2921DE3C68D856B397B66 Dosya boyutu: 781.82 KB.781824 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have security information
• File has TLS information
• File is 32-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show 2 more

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
Comments	Prerelease build
Company Name	Alexander Yelin
File Description	Diagnostics Utility for Inpro(R) IDC BXL/VR Modems
File Version	1.0.2.33
Internal Name	Idcdiag
Legal Copyright	Copyright (C) 2001-2003 by Alexander Yelin
Original Filename	IDCDiag
Product Name	IDC Modems Diagnostics
Product Version	Version 1.0.2

Dosya Özellikleri

• x86

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	2,225
Potansiyel Olarak Zararlı Bloklar:	1
Beyaz Listeye Alınan Bloklar:	2,150
Bilinmeyen Bloklar:	74

Görsel Harita

... Veriler kırpıldı

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• Banload.XT
• BruteForce.X
• IstBar.X
• Kryptik.BDEA
• Trojan.Injector.Gen.GYD

Show 1 more

• Trojan.Kryptik.Gen.FZB

Değiştirilen Dosyalar

i

Değiştirilen Dosyalar

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.

Dosya	Özellikler
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes

Sicil Değişiklikleri

i

Sicil Değişiklikleri

Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.

Anahtar::Değer	Veri	API Adı
HKLM\software\wow6432node\microsoft\tracing::enableconsoletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::enablefiletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::enableautofiletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::enableconsoletracing		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::filetracingmask	￿	RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::consoletracingmask	￿	RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::maxfilesize		RegNtPreCreateKey
HKLM\software\wow6432node\microsoft\tracing\tapi32::filedirectory	%windir%\tracing	RegNtPreCreateKey

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
User Data Access	GetComputerName GetUserObjectInformation