Trojan.Mekotio.DB

Trojan.Mekotio.DB , bilgisayarlara gizlice sızan ve kullanıcının bilgisi olmadan kötü amaçlı faaliyetler gerçekleştirmek için arka planda çalışan tehlikeli bir Windows tabanlı Truva atıdır. 10 üzerinden 8 tehlike seviyesine sahip olan bu tehdit, uzaktan saldırganlara bulaşmış bir makine üzerinde önemli bir kontrol sağlamak üzere tasarlanmıştır ve bu da hem ev kullanıcıları hem de işletmeler için ciddi bir risk oluşturmaktadır.

Trojan.Mekotio.DB Ne İş Yapar?

Bir sisteme bulaştığında, Trojan.Mekotio.DB arka planda sessizce çalışarak zararlı işlevlerini yerine getirirken varlığının belirgin işaretlerinden kaçınır. Bu Truva atı, siber suçlulara bulaşmış bilgisayar üzerinde kapsamlı ve bazı durumlarda tam kontrol sağlama yeteneği vermek üzere tasarlanmıştır. Bu erişim seviyesiyle, saldırganlar gizlice dosyaları silebilir, sistem ayarlarını değiştirebilir ve ele geçirilen cihaza ek kötü amaçlı yazılım yükleri kurabilirler. Kötü amaçlı yazılım, hata ayıklayıcının varlığını kontrol etme de dahil olmak üzere analiz karşıtı tekniklerle doludur; bu da güvenlik araştırmacıları ve otomatik tarama araçları tarafından tespit edilmekten kaçınmasına yardımcı olur. Ayrıca, tersine mühendisliğe ve imza tabanlı tespite karşı direnç göstermek üzere tasarlanmış kötü amaçlı yazılımların tipik özellikleri olan yüksek entropili ve yoğun şekilde gizlenmiş kod bölümlerine sahip yerel bir 64 bit uygulama olarak oluşturulmuştur.

Genellikle Bilgisayarlara Nasıl Bulaşır?

Trojan.Mekotio.DB genellikle gizli kurulum yöntemleriyle yayılır. Hedef makineye yerleşmek için genellikle yamalanmamış sistem güvenlik açıklarından ve zafiyetlerinden yararlanır. Bir diğer yaygın dağıtım yöntemi ise, Truva atının görünüşte meşru programlarla birlikte paketlendiği kötü amaçlı veya ele geçirilmiş web sitelerinden yazılım indirmeleridir. Güvenilmeyen veya bilinmeyen göndericilerden gelen e-posta ekleri de sık görülen bir enfeksiyon vektörüdür; bu ekler çalıştırılabilir dosyalar, ekran koruyucular, video dosyaları veya hatta resim dosyaları gibi görünebilir, ancak aslında gizlenmiş kötü amaçlı yazılımı içerirler. Korsan yazılım indiren, şüpheli bağlantılara tıklayan veya istenmeyen e-posta eklerini açan kullanıcılar bu tehditle karşılaşma riski altındadır.

Kullanıcı İçin Riskler

Trojan.Mekotio.DB enfeksiyonunun sonuçları ciddi olabilir. Bu kötü amaçlı yazılım, saldırganlara sistem üzerinde neredeyse tam kontrol sağlayabildiği için, mağdurlar yetkisiz veri hırsızlığı, mali kayıp, kimlik hırsızlığı veya fidye yazılımı veya casus yazılım gibi daha fazla kötü amaçlı yazılımın yüklenmesiyle karşı karşıya kalabilirler. Truva atının dosyaları gizlice silme yeteneği de veri kaybına veya sistem kararsızlığına yol açabilir. Düşük seviyeli sistem çağrıları ve dosyalar, bellek ve Windows kayıt defteriyle doğrudan etkileşim kurma tekniklerini kullandığı için, bu Truva atı işletim sistemine derinlemesine yerleşebilir ve özel araçlar olmadan kaldırılması zor olabilir.

Enfeksiyon Belirtileri

Bu tür Truva atları gizlice çalışacak şekilde tasarlandığından, görünür belirtiler minimum düzeyde veya hiç olmayabilir. Bununla birlikte, kullanıcılar beklenmedik yavaşlamalar, Görev Yöneticisi'nde çalışan bilinmeyen işlemler, dosyalarda veya ayarlarda açıklanamayan değişiklikler, artan ağ etkinliği veya güvenlik yazılımının beklenmedik şekilde devre dışı bırakılması gibi olağandışı sistem davranışlarına karşı dikkatli olmalıdır. Trojan.Mekotio.DB'nin geçerli bir dijital imzası olmadığından, sistemde görünen imzasız veya şüpheli yürütülebilir dosyalara ihtiyatla yaklaşılmalıdır.

Korunmanın Yolları

Bulaşma riskini azaltmak için kullanıcılar, bilinen güvenlik açıklarını gidermek amacıyla işletim sistemlerini ve yüklü tüm yazılımlarını tamamen güncel tutmalıdır. Güvenilmeyen veya resmi olmayan web sitelerinden program indirmekten kaçının ve zararsız dosya türleri gibi görünseler bile, bilinmeyen veya beklenmedik göndericilerden gelen e-posta eklerini asla açmayın. Önemli verilerin düzenli yedeklerini almak, saygın ve güncel bir güvenlik çözümü kullanmak ve web'de gezinirken dikkatli olmak, Trojan.Mekotio.DB gibi tehditlere karşı korunmada önemli adımlardır.

Analiz raporu

Genel bilgi

Soyadı:	Trojan.Mekotio.DB
İmza durumu:	No Signature

Bilinen Örnekler

i

Bilinen Örnekler

Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.

MD5: e83f74bcb6286500bb0f8d082c65e588 SHA1: 9fb8a65def3e4b22041bbd1f57fbb39702b8d155 SHA256: 209B132616A9F29645384D72122921765DD4E4F1E2E9CFBB5468DC036681CD1F Dosya boyutu: 9.22 MB.9221304 bayt

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

i

Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri

Bu bölümde, örnek dosyalarda bulunan dosya öznitelikleri listelenmiştir. Bu öznitelikler, dosyaların Windows PE (Taşınabilir Çalıştırılabilir) spesifikasyonundan ve çeşitli sistem bayraklarından çıkarılır. Taşınabilir Çalıştırılabilir Öznitelikler, kötü amaçlı yazılım araştırmacılarına bir dosyanın işlevselliği, çalıştırılabilir ayrıntıları, platformu ve çalışma ortamı hakkında bilgi verir.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have relocations information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 64-bit executable
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)

Show 3 more

• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Dosya Simgeleri

i

Dosya Simgeleri

Bu bölümde, aile örnekleri içinde bulunan simge kaynakları gösterilmektedir. Kötü amaçlı yazılımlar, kullanıcıları kötü amaçlı yazılımın güvenli olduğuna inandırmak için genellikle meşru yazılımlarla ilişkilendirilen simgeleri kopyalar.

Windows PE Sürüm Bilgileri

i

Windows PE Sürüm Bilgileri

Bu bölümde, bu aileye ait örnekler için Windows dosya sürüm bilgisi veri yapısında ayarlanmış değerler ve öznitelikler görüntülenir. Kullanıcıları yanıltmak için, kötü amaçlı yazılım saldırganları genellikle meşru yazılımları taklit eden sahte sürüm bilgileri ekler.

isim	Değer
File Description	6d9PBpbX05w9
File Version	99.99.99.99
Legal Copyright	kHfod2
Original Filename	Gd4505
Product Name	fchyO54EFAH

Dosya Özellikleri

• .vmp0
• 2+ executable sections
• big overlay
• HighEntropy
• x64

Blok Bilgileri

i

Blok Bilgileri

Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.

Toplam Blok Sayısı:	14
Potansiyel Olarak Zararlı Bloklar:	13
Beyaz Listeye Alınan Bloklar:	1
Bilinmeyen Bloklar:	0

Görsel Harita

0 - Muhtemel Güvenli Blok
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme

Benzer Aileler

i

Benzer Aileler

Bu bölümde, EnigmaSoft'un analizine dayanarak bu aileyle benzerlikler gösteren diğer aileler listelenmiştir. Birçok kötü amaçlı yazılım ailesi aynı kötü amaçlı yazılım araç setlerinden oluşturulur ve aynı paketleme ve şifreleme tekniklerini kullanır, ancak işlevselliği benzersiz bir şekilde genişletir. Benzer aileler ayrıca kaynak kodunu, öznitelikleri, simgeleri, alt bileşenleri, tehlikeye atılmış ve/veya geçersiz dijital imzaları ve ağ özelliklerini de paylaşabilir. Araştırmacılar, dosya örneklerini hızlı ve etkili bir şekilde sınıflandırmak ve kötü amaçlı yazılım tespit kurallarını genişletmek için bu benzerliklerden yararlanır.

• Mekotio.DB

Windows API Kullanımı

i

Windows API Kullanımı

Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.

Kategori	API
Syscall Use	ntdll.dll!NtAddAtomEx ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClose ntdll.dll!NtConnectPort ntdll.dll!NtCreateSection ntdll.dll!NtEnumerateKey ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection Show 34 more ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenSection ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtReadRequestData ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWriteFile UNKNOWN
User Data Access	GetUserObjectInformation
Anti Debug	IsDebuggerPresent